Un opérateur compromet 14 530 caméras Dahua en 35 jours, à 89 % sans aucun mot de passe
Entre le 17 juin et le 22 juillet 2026, un seul opérateur a compromis plus de 14 530 caméras Dahua en combinant force brute, une faille de 2021 et le relais P2P du constructeur — dont 89 % sans authentification. L’enquête de Hunt.io révèle une vérité dure : la vidéosurveillance connectée est une porte ouverte par conception.
17 juin 2026. 14 530 caméras. 35 jours. Un opérateur unique a compromis plus de 14 530 caméras IP et enregistreurs Dahua — principalement en Ukraine et en Russie — entre le 17 juin et le 22 juillet 2026. L’enquête publiée par Hunt.io reconstruit la campagne à partir d’un répertoire de travail exposé par l’attaquant lui-même : 2 616 fichiers pour 407 Mo, qui documentent chaque étape de l’opération. Le détail le plus lourd : 89 % des caméras jointes via le relais P2P du constructeur ont répondu sans exiger la moindre authentification.
Une campagne reconstruite par l’erreur de l’attaquant
La découverte, le 23 juillet 2026, tient à une faute opérationnelle. Le crawler AttackCapture de Hunt.io a repéré une activité sur le port TCP/37777, le protocole de gestion binaire Easy4IP de Dahua, puis a remonté jusqu’à un répertoire HTTP ouvert sur le serveur de préparation de l’opérateur. Les horodatages des fichiers et l’historique shell racontent une opération de cinq semaines : la reconnaissance et la force brute commencent le 18 juin, les tests de relais une semaine plus tard, la chaîne d’exploitation basée sur des CVE se déploie le 12 juillet, et la plus grande vague de scan court le 22 juillet — la veille de l’exposition.
L’outillage n’est pas l’œuvre d’un seul auteur : ses composants remontent à au moins six développeurs distincts, assemblés et réécrits au fil de la campagne à travers trois couches linguistiques — espagnol, russe et anglais.
Les trois chemins d’intrusion
L’opérateur a fait tourner trois chemins en parallèle, ce qui explique à la fois l’ampleur et la résilience de la campagne :
- Force brute. Un moteur asyncio passant de 300 à 4 000 travailleurs concurrents a tenté des identifiants par défaut et faibles sur le port 37777, avec une implémentation maison du protocole de connexion Easy4IP. Il a atteint 12 324 adresses IP uniques.
- Contournement d’authentification. Là où la force brute échouait, l’outil p2pwn enchaînait CVE-2021-33044 et CVE-2021-33045, deux failles de 2021 notées CVSS 9.8, pour obtenir une session administrateur complète en moins d’une seconde, sans mot de passe valide.
- Relais P2P. Une boîte à outils distincte abusait du relais cloud de Dahua (
easy4ipcloud.com), en utilisant les identifiants SDK embarqués dans chaque client légitime pour joindre des caméras derrière NAT par leur simple numéro de série.
Le bilan des relais est le chiffre central : environ 9 numéros de série testés sur 10 ont renvoyé un canal ouvert sans authentification. Autrement dit, la majorité de ces compromissions n’a exigé ni identifiant deviné ni CVE — seulement un numéro de série et un relais conçu pour fonctionner.
Le backdoor qui survit au reset
Après chaque contournement, p2pwn installait un compte nommé p2pwn / p2password via RPC. Ce compte est stocké indépendamment du mot de passe administrateur : il survit à un changement de mot de passe et, sur la plupart des firmwares, à une réinitialisation d’usine. Un module distinct reproduisait en outre hors ligne le flux de récupération de compte de Dahua, dérivant un code de récupération administratif transférable pour chaque numéro de série vérifié — indépendamment des identifiants réels de l’appareil.
Chaque identifiant capturé et chaque capture d’écran partaient immédiatement vers un canal Telegram, tandis qu’une routine d’export regroupait les résultats au format XML compatible SMART PSS, prêt à être importé dans la plateforme de gestion d’entreprise de Dahua elle-même. La campagne a laissé un backdoor persistant sur 1 923 caméras, et 283 appareils supplémentaires ont été atteints par le seul chemin du numéro de série.
Ce qu’il faut corriger, dans l’ordre
La correction est une liste d’actions concrètes, car certaines persistent malgré un simple patch :
- Auditer et supprimer le compte p2pwn. Toute caméra joignable sur le port 37777 entre juin et juillet doit être vérifiée. La suppression est manuelle : une réinitialisation d’usine ne l’efface pas sur la plupart des firmwares.
- Désactiver le P2P dans les réglages réseau, sauf besoin réel. Le relais passe par un pool d’adresses d’arrière-plan, pas par un serveur fixe : le blocage par adresse ne suffit pas.
- Appliquer le correctif SA-2021-0130. CVE-2021-33044 et CVE-2021-33045 sont corrigées depuis octobre 2021 ; un firmware non patché est compromis en moins d’une seconde.
- Mettre à jour le firmware pour invalider les codes de récupération émis hors ligne, puis faire tourner tous les identifiants, y compris ceux mis en cache dans les NVR via le mouvement latéral ONVIF.
- Détecter les requêtes de connexion portant un type de client NetKeyboard ou une adresse source de bouclage, signatures des contournements observés.
Le relais P2P, la porte ouverte par conception
Le chiffre de 89 % mérite qu’on s’y arrête, car il explique toute la campagne. Le relais P2P de Dahua a été conçu pour qu’une caméra derrière une box soit joignable depuis l’application mobile sans ouvrir de port et sans configuration réseau. Pour y parvenir, il accepte une requête adressée par numéro de série, et l’authentifie avec des identifiants SDK embarqués dans tous les clients légitimes — des secrets publics par construction.
Le résultat est un canal qui contourne NAT, pare-feu et authentification d’un même mouvement. Le mouvement latéral ONVIF aggrave le bilan : une caméra compromise interroge l’enregistreur NVR voisin, récupère ses identifiants en cache, et propage l’accès à tout le parc. C’est ce qui explique qu’une seule campagne ait atteint des milliers d’appareils avec un effort aussi faible.
Les trois chemins se comparent ainsi :
| Chemin | Accès requis | Vitesse | Persistance |
|---|---|---|---|
| Force brute (37777) | Aucun, devine les identifiants | Lente | Compte p2pwn |
| CVE-2021-33044/33045 | Aucun (firmware non patché) | Moins d’une seconde | Compte p2pwn |
| Relais P2P | Numéro de série | Immédiate | Code de récupération |
La lecture est immédiate : aucun de ces chemins n’exige de connaître un mot de passe valide. La sécurité de l’appareil repose entièrement sur son isolation réseau, pas sur son authentification.
Verdict
Si vous exploitez des caméras Dahua, partez du principe qu’un appareil exposé sur le port 37777 ou inscrit au P2P entre juin et juillet est déjà compromis, pas simplement à risque. L’audit du compte p2pwn et la désactivation du P2P passent avant le patch : ce sont eux qui neutralisent l’accès déjà installé.
Si vous concevez ou déployez de la vidéosurveillance, la leçon est architecturale. Le chiffre de 89 % de canaux ouverts sans authentification n’est pas une faille que l’on corrige — c’est un choix de conception du relais P2P, qui privilégie la simplicité d’installation à la sécurité. Tant que ce choix existe, aucun correctif ne fermera la porte ; il faut la segmenter : réseau dédié, aucun accès direct depuis Internet, et relais cloud désactivé par défaut.