Sicherheitsforscher des Unternehmens Hunt.io haben eine umfangreiche Cyberkampagne aufgedeckt, bei der tausende IP-Kameras des Herstellers Dahua infiltriert wurden. Unter dem Namen „Operation CameraSwarm“ identifizierten die Experten zwischen Mitte Juni und Ende Juli 2026 insgesamt 14.530 kompromittierte Geräte. Ein Großteil der betroffenen Hardware befindet sich laut den vorliegenden Berichten in der Ukraine und in Russland.
Verschiedene Angriffsvektoren im Einsatz
Die Analyse der Kampagne zeigt, dass die Akteure unterschiedliche technische Methoden nutzten, um Zugriff auf die Systeme zu erlangen. Den größten Anteil machten Brute-Force-Angriffe aus, die direkt auf den TCP-Port 37777 abzielten. Durch das systematische Durchprobieren von Zugangsdaten gelang es den Angreifern, insgesamt 12.324 IP-Adressen zu kompromittieren.
Ein zweiter Vektor basierte auf der Ausnutzung bekannter Sicherheitslücken. Hierbei kamen die Schwachstellen CVE-2021-33044 und CVE-2021-33045 zum Einsatz, die einen Bypass der Authentifizierung ermöglichen. Im Rahmen der Untersuchung wurde festgestellt, dass bei 1.923 Kameras auf diesem Weg eine persistente Backdoor mit der Bezeichnung „p2pwn“ installiert wurde.
Zusätzlich nutzten die Angreifer ein Cloud-Relay-Verfahren über die Seriennummern der Geräte. Auf diese Weise wurden 283 Kameras kompromittiert. Hunt.io gab in diesem Zusammenhang an, dass bei 89,4 % der untersuchten Kanäle keine Authentifizierung vorhanden und diese somit offen zugänglich waren.
Angriffe auf vernetzte Hardware zeigen, wie wichtig ein proaktiver Schutz der gesamten IT-Infrastruktur heute ist. Dieses kostenlose E-Book unterstützt Sie dabei, Sicherheitslücken frühzeitig zu schließen und aktuelle gesetzliche Anforderungen souverän zu erfüllen. Gratis-E-Book: IT-Sicherheit ohne teure Investitionen stärken
Branchenbeobachter wiesen jedoch darauf hin, dass diese spezifische Zahl eines zu fast 90 % offenen Zugangs bislang nicht unabhängig verifiziert werden konnte.
Entdeckung der Infrastruktur und Meldung an Behörden
Im Zuge der Ermittlungen stießen die Forscher auf ein offen zugängliches Verzeichnis der Operatoren. Dieses umfasste ein Datenvolumen von 407 MB und enthielt 2.616 Dateien. Die Funde geben Aufschluss über das Ausmaß der Operation, die bereits am 10. August 2026 den zuständigen Computer Emergency Response Teams (CERTs) sowie dem Hersteller Dahua gemeldet wurde.
Ein kritisches Detail betrifft die Wiederherstellungscodes der betroffenen Kameras. Diese Codes behalten den aktuellen Erkenntnissen zufolge ihre Gültigkeit, solange der Hersteller die Logik hinter deren Ableitung nicht grundlegend ändert. Bemerkenswert ist zudem, dass neuere Sicherheitslücken wie CVE-2024-39943 oder CVE-2025-31702 im Rahmen dieser spezifischen Kampagne offenbar keine Rolle spielten.
Empfehlungen für Betreiber
Um die Sicherheit der Geräte wiederherzustellen und künftige Übernahmen zu verhindern, werden dringende Gegenmaßnahmen empfohlen. IT-Sicherheitsexperten raten dazu, zeitnah verfügbare Patches einzuspielen und die Peer-to-Peer-Funktionen (P2P) der Kameras zu deaktivieren. Zudem sollten Administratoren prüfen, ob das im Zuge der Infektion erstellte „p2pwn“-Konto auf den Geräten existiert, und dieses gegebenenfalls umgehend entfernen.
Der Schutz vor komplexen Cyberbedrohungen und neuen Risiken durch KI wird für moderne Betriebe immer mehr zur Pflichtaufgabe. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungsszenarien Sie jetzt kennen müssen, um langfristig sicher zu bleiben. Kostenlosen Cyber-Security-Report jetzt herunterladen
Die Aufdeckung von Operation CameraSwarm verdeutlicht erneut die Risiken, die von unzureichend gesicherten IoT-Geräten in kritischen Infrastrukturen und privaten Netzwerken ausgehen, insbesondere in Regionen mit erhöhter geopolitischer Spannung.
