Ukrayna'da Dahua IP Kameralar Ele Geçirildi: P2P Açığı ve Zayıf Şifreler Kapıyı Araladı

Ukrayna Bilgisayar Acil Müdahale Ekibi (CERT-UA) ve Devlet Özel İletişim Hizmetleri (SSSCIP), Dahua markalı IP kameralar ile DVR cihazlarının yetkisiz uzaktan erişime maruz kaldığına ilişkin bir uyarı yayımladı. Açıklamada video akışlarına izinsiz erişildiği, cihaz yapılandırmalarının değiştirildiği ve üçüncü taraf hesapların oluşturulduğu belirtildi. Saldırıların temel giriş noktası olarak Easy4IP adlı eşler arası (P2P) platform işaret edildi.

Easy4IP Platformu Nasıl İstismar Ediliyor?​

Easy4IP, kullanıcıların Dahua IP kameralarını, NVR ve DVR cihazlarını akıllı telefon uygulaması ya da web tarayıcısı aracılığıyla uzaktan izlemesine olanak tanıyan bir P2P platformudur. Bağlantı, QR kod taranması veya donanımın seri numarasının (SN) girilmesiyle kurulmaktadır. CERT-UA'nın tespitine göre bu seri numaraları öngörülebilir bir yapıya sahip: Aynı cihaz ailesindeki tüm birimlerde ortak olan 10 karakterlik bir model öneki ve neredeyse ardışık biçimde artan 5 karakterlik onaltılık bir sayaçtan oluşuyor. Saldırganlar bu yapıyı kaba kuvvet saldırısıyla büyük ölçekte tahmin edebiliyor ve herhangi bir hız sınırı ya da hesap kilitleme mekanizmasıyla karşılaşmadan hangi cihazların buluta bağlı olduğunu tespit edebiliyor.
CERT-UA, "Seri numarasının kimse tarafından bilinmediği varsayımı, cihazı güvenli saymak için yeterli bir gerekçe değildir" uyarısında bulundu. Doğrudan internete açık olmayan cihazlar bile aktif P2P işlevi nedeniyle risk altında bulunuyor.

Kimlik Doğrulama Açıkları ve Kullanılan CVE'ler​

Seri numarası tespitinin ardından saldırganlar kimlik doğrulama engellerini aşmak için iki yöntem kullanıyor: zayıf ya da bilinen şifreler ve eski firmware sürümlerindeki kimlik doğrulama atlama açıkları. Bu açıklar arasında CVE-2021-33044 ve CVE-2021-33045 numaralı Dahua güvenlik açıkları öne çıkıyor; her ikisi de şifresiz girişe olanak tanıyor. CERT-UA, ele geçirilmiş cihazlarda şu belirtilere dikkat çekti: bilinmeyen hesapların varlığı, yetkisiz yapılandırma değişiklikleri ve üreticiye özgü DVRIP protokolü ile yerel adres olan 127.0.0.1 üzerinden gerçekleşen kimlik doğrulama olaylarını içeren denetim günlükleri. Bu son belirti, P2P erişiminin bir göstergesi olarak değerlendiriliyor.

Hunt.io'nun Tespit Ettiği İki Kampanya​

CERT-UA hedef alınan kurum veya kişileri, enfeksiyonların zamanını, etkilenen cihaz sayısını ya da saldırıların arkasındaki aktörü açıklamadı. Ancak bulgular, Hunt.io'nun Ukrayna ve Rusya'daki IP kameraları hedef aldığını açıkladığı iki faaliyet kümesiyle örtüşüyor.
Bunlardan ilki Rusça konuşan bir operatöre atfediliyor. Bu kampanyada saldırgan, kamuya açık bir kamera güvenlik açığı tarayıcısı olan Ingram'ı kullanarak internete açık kameraları hedef aldı ve 58 cihazı ele geçirdi. Kampanyada Hikvision'a ait CVE-2017-7921 kimlik doğrulama atlama açığı, D-Link'e ait CVE-2020-25078 kimlik bilgisi ifşa açığı, Reolink'e ait CVE-2020-25169 kimliksiz bilgi ifşası açığı, Dahua'ya ait CVE-2021-33044 ve CVE-2021-33045 ile Hikvision'a ait CVE-2021-36260 uzaktan kod yürütme açığı kullanıldı. Aynı tehdit aktörünün Ukrayna, Polonya, Romanya, Moldova, Macaristan, Çekya, Slovakya, Bulgaristan, Almanya, Fransa, Hollanda, İtalya, İspanya, Birleşik Krallık ve Avusturya dahil 15 Avrupa ülkesinde TP-Link ve MikroTik yönlendirici ile kameraları CVE-2024-53375 ve CVE-2024-57049 açıklarıyla taradığı ve istismar ettiği de belirtildi.
İkinci kampanya ise "Operation CameraSwarm" (Operasyon KameraSwarm) adıyla anılıyor ve tek bir tehdit aktörüne atfediliyor. 17 Haziran - 22 Temmuz 2026 tarihleri arasında gerçekleştirilen bu operasyonda kaba kuvvet saldırıları ile CVE-2021-33044 ve CVE-2021-33045 açıklarının birlikte kullanılmasıyla 14.530'dan fazla Dahua IP kameranın ele geçirildiği tahmin ediliyor. Saldırı; Dahua'nın varsayılan yönetim ve video akışı portu olan TCP 37777'nin taranması, seri numaralarının toplanması ve ardından iki istismar yönteminin uygulanmasından oluşuyor. Yaklaşık 2.000 kameraya ise fabrika ayarlarına sıfırlamadan dahi kurtulamayan kalıcı bir arka kapı hesabı (p2pwn / p2password) yüklendi. Hunt.io'nun açıklamasına göre 1.923 kamera bu kalıcı arka kapı hesabını taşıyor ve hesap, yönetici şifresinden bağımsız olarak saklanıyor. 283 kameraya ise herhangi bir cihaz adresi ve çoğu durumda kimlik bilgisi olmaksızın yalnızca seri numarasıyla Dahua'nın bulut aktarımı üzerinden erişildi.

Hollanda İstihbarat Uyarısı ve Askeri Boyut​

Hollanda istihbarat teşkilatları da bu yılın başında Rus aktörlerin AB, NATO üyesi ülkeler ve Ukrayna'daki IP kameraları sistematik dijital casusluk amacıyla ele geçirdiği konusunda uyarıda bulunmuştu. Temmuz 2026 tarihli bültende bu aktörün görüntüleri otomatik olarak analiz etmek için görüntü tanıma yazılımı kullandığı ve askeri araçlar ile taşınan askeri kargoya yönelik hedefli aramalar yürüttüğü belirtildi. Bültene göre bu faaliyetler; AB ve NATO askeri ulaşım güzergahlarına, Ukrayna'ya yapılan silah teslimatlarına ve Ukrayna askeri personelinin konumlarına ilişkin veriler elde etmek amacıyla kullanılıyor. Ukrayna'daki kameralardan elde edilen bilgilerin ise Ukrayna askeri personelini etkisiz kılmaya ve askeri teçhizatı imha etmeye yönelik girişimlerde kullanıldığı ifade edildi.

Alınması Gereken Önlemler​

CERT-UA, bu tehdide karşı şu önlemlerin alınmasını tavsiye ediyor: gerekli değilse P2P özelliğinin devre dışı bırakılması, cihazların doğrudan internete açılmaması ve yazılımın güncel tutulması. Kurumun uyarısı, yalnızca Ukrayna'yı değil aktif P2P işlevi bulunan tüm Dahua cihazlarını kapsayan geniş bir güvenlik açığına dikkat çekiyor.

Sıkça Sorulan Sorular​

Easy4IP nedir ve saldırılarda nasıl kullanıldı?​

Easy4IP, Dahua IP kameralar, NVR ve DVR cihazlarının akıllı telefon veya web tarayıcısı üzerinden uzaktan izlenmesini sağlayan bir P2P platformudur. Saldırganlar, platformun seri numarası tabanlı bağlantı mekanizmasını istismar ederek tahmin edilebilir seri numaralarını kaba kuvvetle denedi ve cihazların buluta bağlı olup olmadığını tespit etti.

Hangi güvenlik açıkları bu saldırılarda kullanıldı?​

Saldırılarda öne çıkan açıklar arasında Dahua cihazlarında şifresiz girişe olanak tanıyan CVE-2021-33044 ve CVE-2021-33045 yer alıyor. Bunların yanı sıra Hikvision'a ait CVE-2017-7921 ve CVE-2021-36260, D-Link'e ait CVE-2020-25078, Reolink'e ait CVE-2020-25169 ile TP-Link ve MikroTik cihazlarını etkileyen CVE-2024-53375 ve CVE-2024-57049 de kullanıldı.

Operation CameraSwarm kampanyasında kaç cihaz etkilendi?​

Hunt.io'nun bulgularına göre Operation CameraSwarm adlı kampanyada 17 Haziran - 22 Temmuz 2026 tarihleri arasında 14.530'dan fazla Dahua IP kamera ele geçirildi. Bu cihazların yaklaşık 1.923'üne fabrika ayarlarına sıfırlamadan dahi kurtulamayan kalıcı bir arka kapı hesabı yüklendi.

İnternete doğrudan bağlı olmayan kameralar da risk altında mı?​

Evet. CERT-UA'ya göre P2P işlevi aktif olan tüm cihazlar, internete doğrudan açık olmasalar dahi risk altında. Saldırganlar Dahua'nın bulut aktarım altyapısını kullanarak NAT arkasındaki cihazlara yalnızca seri numarasıyla ulaşabiliyor.

Kullanıcılar bu tehditten korunmak için ne yapmalı?​

CERT-UA, gerekli değilse P2P özelliğinin devre dışı bırakılmasını, cihazların doğrudan internete açılmamasını ve cihaz yazılımının güncel tutulmasını tavsiye ediyor. Ayrıca bilinmeyen hesapların varlığı, yetkisiz yapılandırma değişiklikleri ve DVRIP protokolü ile 127.0.0.1 adresinden gelen kimlik doğrulama olayları ele geçirilme belirtisi olarak değerlendiriliyor.