Operasi CameraSwarm: Jejak 407 MB yang Mengungkap Skala Serangan
Peneliti keamanan siber dari Hunt.io mengungkap detil kampanye yang kompromikan lebih dari 14.530 perangkat Dahua antara 17 Juni hingga 22 Juli 2026. Serangan yang dinamakan Operation CameraSwarm memanfaatkan kombinasi serangan kata sandi, dua kerentanan yang memungkinkan pelaku melewati proses otentikasi, serta teknik relay peer-to-peer (P2P) untuk mengendalikan kamera dan perangkat NVR milik Dahua.
Hunt.io berhasil merekonstruksi serangan ini setelah menemukan direktori kerja yang terekspos berukuran 407 MB, berisi 2.616 file di 234 sub-direktori. Materi tersebut meliputi tooling peretas, log aktivitas, riwayat perintah shell (shell history), serta catatan kampanye yang mengonfirmasi target-area kompromi tertinggi berada di Ukraina dan Rusia.
Tiga Jalur Serangan Utama
Hunt.io membagi total 14.530+ perangkat yang kompromi ke dalam tiga kategori utama:
- Serangan kredensial: 12.324 alamat IP unik dari 13.229 catatan kampanye.
- Bypass otentikasi: 1.923 kamera melalui CVE-2021-33044 dan CVE-2021-33045, dengan persistent account yang diinstal pelaku.
- Relay P2P: 283 kamera berdasarkan nomor seri, termasuk perangkat yang berada di balik NAT.
Para pengguna perangkat Dahua yang terkena dampak disarankan untuk menginstall perbaikan firmware terbaru, sementara ITRES Labs juga menyarankan untuk menonaktifkan fitur P2P jika tidak diperlukan serta memverifikasi firmware terhadap situs unduh resmi vendor.
CVE-2021-33044 dan CVE-2021-33045: Celah yang Masih Dieksploitasi
Kedua kerentanan bypass otentikasi tahun 2021 ini telah lama tercatat dalam katalog Known Exploited Vulnerabilities (KEV) milik CISA AS dan masih aktif hingga 19 Agustus 2026:
- CVE-2021-33044 — Dipicu oleh tipe klien NetKeyboard saat proses otentikasi. Dahua memberikan skor CVSS 8.1, sementara NVD mengaitkan skor 9.8. Pelaku membangun paket data berbahaya untuk melewati autentikasi identitas perangkat.
- CVE-2021-33045 — Melibatkan permintaan login loopback menggunakan alamat 127.0.0.1, sebagaimana diungkap oleh peneliti keamanan Bashis dalam disclosure awal.
Dahua sendiri mengakui dalam advisory resminya bahwa penyerang dapat melewati autentikasi identitas perangkat dengan membangun paket data berbahaya.
Teknik Relay P2P: Isu Non-CVE yang Berbahaya
ITRES Labs dalam penelitian respons insiden sebelumnya menemukan bahwa pada firmware sebelum pertengahan 2024, nomor seri Dahua yang valid dapat digunakan untuk membangun jalur relay Easy4IP sebelum perangkat melakukan pengecekan kredensial, sehingga perangkat di balik NAT bisa menjadi terjangkau lewat infrastruktur relay vendor.
Repositori publik p2pwn (masih dapat diakses per 19 Agustus 2026) mengonfirmasi bahwa alat ini menerima nomor seri Dahua sebagai input, memeriksa CVE-2021-33044 dan CVE-2021-33045, dan mengandung konfigurasi dummy account bawaan.
Namun perlu dicatat: klaim Hunt.io tentang 89,4% nomor seri live yang mengembalikan saluran terbuka tanpa otentikasi bersumber dari materi operator yang terekspos — klaim ini belum direproduksi secara independen oleh ITRES Labs, Dahua, atau tim CERT publik manapun.
Yang penting: tidak ada CVE resmi yang menjelaskan perilaku P2P itu sendiri. CVE-2024-39943 (NVD) berkaitan dengan kerentanan injeksi perintah OS di Rejetto HFS, sementara CVE-2025-31702 yang disebut Dahua adalah kerentanan privilege-escalation yang memerlukan kredensial pengguna biasa terlebih dahulu. ITRES Labs mengklasifikasikan paparan relay berbasis nomor seri sebagai isu non-CVE, dan pengujian mereka menunjukkan bahwa jalur P2P telah diperkuat di firmware yang dirilis setelah pertengahan 2024.
Rekomendasi Pertahanan untuk Organisasi
Berdasarkan temuan ini, peneliti memberikan sejumlah saran praktis bagi organisasi yang mengandalkan perangkat Dahua:
- Nonaktifkan P2P jika fitur ini tidak dibutuhkan dalam operasional sehari-hari.
- Update firmware ke versi terbaru yang dirilis Dahua, dengan preferensi ke yang keluar setelah pertengahan 2024.
- Verifikasi firmware terhadap situs unduh resmi vendor untuk memastikan integritas.
- Batasi akses Easy4IP hanya pada jaringan terpercaya bila memungkinkan.
- Monitor log kamera untuk aktivitas otentikasi abnormal atau koneksi relay yang tidak dikenal.
- Siagakan skema rotasi kredensial dan hindari penggunaan kata sandi default/factory pada perangkat IP camera dan NVR.
Sumber Informasi
Artikel ini disusun berdasarkan laporan publik dari Hunt.io, ITRES Labs, Dahua Technology, dan CISA KEV Catalog.
🔗 Sumber asli: The Hacker News — Hackers Compromised 14,500+ Dahua Devices Using Credential Attacks, Auth Bypasses, and P2P