烏克蘭電腦緊急應變小組（CERT-UA）上週發布警示，指出監控設備廠商大華（Dahua）的網路攝影機（IP camera）與數位錄影機（DVR）出現遭未經授權遠端存取的案例。外媒報導，攻擊者主要經由大華的遠端監控服務
Easy4IP 取得初始存取，再以弱密碼或過時韌體的驗證漏洞突破防線。
CERT-UA 與烏克蘭國家特殊通訊暨資訊保護局（SSSCIP）的警示指出，已記錄到攻擊者入侵攝影機與 DVR 後，取得影像串流、更改設備設定，並建立第三方帳號。不過，該單位並未公布受害對象、入侵時間與受影響設備數量，也未說明是誰所為。
序號結構可預測，P2P 成為入口
Easy4IP 是一項點對點（P2P）服務。使用者透過手機 App 或瀏覽器，掃描 QR code 或輸入硬體序號（serial number），就能遠端監看家庭或小型企業的攝影機、網路錄影機（NVR）與 DVR。
CERT-UA 指出，這些序號的結構可預測。前 10 碼是同一產品系列共用的型號前綴，後 5 碼是近乎循序遞增的十六進位計數器，例如 7K01F36PCA003E8。攻擊者因此能以暴力破解（brute force）大規模猜測序號，確認設備是否連上雲端，過程中不會觸發速率限制或帳號鎖定。
CERT-UA 表示，只要啟用 P2P 功能，即使設備無法從網際網路直接連線，也有風險。該單位強調，不能因為認為序號無人知曉，就認定設備安全。
驗證防線被弱密碼與舊漏洞突破
取得序號後，攻擊者利用弱密碼或已知密碼，或利用過時韌體中的驗證繞過（authentication bypass）漏洞
CVE-2021-33044 與
CVE-2021-33045 通過驗證。這兩項漏洞可讓攻擊者免密碼登入。
與 Hunt.io 揭露的行動有相似之處
外媒指出，這些發現與威脅情報業者 Hunt.io 先前揭露、針對烏克蘭與俄羅斯 IP 攝影機的兩起活動有相似之處。
其中一起代號 Operation CameraSwarm，Hunt.io 認為由單一行為者所為。該行為者於 2026 年 6 月 17 日至 7 月 22 日間，結合帳密暴力破解與上述漏洞組合，入侵逾 14,530 台大華攝影機。攻擊流程先掃描大華預設的管理與影像串流連接埠 TCP 37777 並蒐集序號，再入侵設備，並在 1,923 台設備植入後門帳號 p2pwn。Hunt.io 指出，該帳號獨立於管理員密碼之外，變更密碼後仍存在，多數韌體在原廠重設後也不會消失。另有 283 台攝影機僅憑序號，就經由大華雲端中繼（relay）被觸及，多數情況下不需任何憑證。
另一起由 Hunt.io 歸因於俄語操作者，鎖定暴露於網際網路的烏克蘭攝影機，利用大華與海康威視（Hikvision）的已知漏洞，入侵 58 台設備。
防護建議與入侵跡象
CERT-UA 建議管理者採取下列措施：
- 不需要時停用 P2P 功能
- 避免讓設備直接暴露於網際網路
- 保持軟體更新
CERT-UA 列出的入侵跡象包括：
- 出現不明帳號
- 設備設定遭未經授權變更
- 稽核日誌（audit log）出現使用原廠專屬協定 DVRIP、且來源為本機位址 127.0.0.1 的驗證事件，這是 P2P 存取的跡象
本文轉載自 TheHackerNews。