Dahua-Kameras über Cloud-Zugriff gekapert – selbst hinter Firewalls

Firewalls allein können Angreifer möglicherweise nicht daran hindern, mit der Cloud verbundenen Überwachungskameras zu kapern.

Das ukrainische Computer-Notfallteam CERT-UA warnte im Oktober 2026, dass Angreifer Dahua-Überwachungskameras und Videorekorder über den cloudbasierten Zugriff kompromittiert hatten. Die Behörde dokumentierte den unbefugten Zugriff auf Videostreams, veränderte Konfigurationen und von Angreifern angelegte Konten.

Bei den Angriffen kommt Dahuas Fernzugriffsdienst Easy4IP zum Einsatz, durch den Geräte hinter Firewalls erreichbar werden können. Angreifer können anschließend schwache Zugangsdaten oder anfällige Firmware ausnutzen, um unbefugte Kontrolle zu erlangen.

„Sicherheitskameras sollen eigentlich zum Schutz von Organisationen beitragen. Werden sie jedoch kompromittiert, können sie zu Überwachungswerkzeugen für Angreifer werden“, sagte Phillip Wylie, Chief Security Evangelist bei Suzu Labs. Er warnte, dass Angreifer Einblick in Personal, Abläufe und die physische Sicherheit erhalten könnten.

Wie Easy4IP Kameras hinter Firewalls erreichbar macht

Laut der Sicherheitswarnung von CERT-UA ermöglicht Easy4IP eine cloudvermittelte Peer-to-Peer-Überwachung (P2P). Vorhersehbare Seriennummernmuster können Angreifern dabei helfen, verbundene Geräte zu identifizieren, ohne exponierte Verwaltungsports zu scannen.

Zwei Schwachstellen zur Umgehung der Authentifizierung, CVE-2021-33044 und CVE-2021-33045, betreffen bestimmte Dahua-Produkte. Die Cybersecurity and Infrastructure Security Agency nahm beide am 21. August 2024 in ihren Katalog bekannter ausgenutzter Schwachstellen auf. Dahuas Sicherheitsbulletin nennt betroffene Produkte und verfügbare Fehlerbehebungen, wobei ihr Einsatz bei den Vorfällen im Oktober bislang unbestätigt ist.

Eine frühere Kampagne veranschaulicht das mögliche Ausmaß. Die Untersuchung Operation CameraSwarm von Hunt.io dokumentierte zwischen dem 17. Juni und dem 22. Juli 2026 mehr als 14.530 kompromittierte Dahua-Geräte. Die Forschenden identifizierten 1.923 Kameras mit dauerhaft eingerichteten Backdoor-Konten sowie 283 Geräte, auf die über Cloud-Relays zugegriffen wurde. Einige Backdoors überstanden Passwortänderungen und das Zurücksetzen auf die Werkseinstellungen. Ein Zusammenhang mit den Vorfällen im Oktober wurde nicht festgestellt.

Cloud-Zugriffe prüfen und Kompromittierungen erkennen

Wylie warnte, dass IoT-Geräte häufig installiert und dann vergessen würden, sodass veraltete Firmware, schwache Zugangsdaten und eine unnötige Erreichbarkeit aus dem Internet unbeachtet blieben. Sicherheitsteams sollten diese Maßnahmen priorisieren:

1. Geräte inventarisieren und den Cloud-Zugriff beschränken: Identifizieren Sie aktive Easy4IP-Verbindungen, deaktivieren Sie unnötigen P2P-Zugriff, überprüfen Sie mit der Cloud verknüpfte Konten und beschränken Sie ausgehenden Datenverkehr.
2. Firmware aktualisieren und nicht mehr unterstützte Geräte ersetzen: Wenden Sie vom Hersteller unterstützte Fehlerbehebungen an und ersetzen Sie Geräte, die sich nicht absichern lassen. Aktuelle Schwachstellen in Cisco-Meraki-Kameras unterstreichen die Notwendigkeit unterstützter Firmware.
3. Authentifizierung verbessern: Ersetzen Sie schwache Zugangsdaten, überprüfen Sie Administratorberechtigungen und untersuchen Sie unbekannte Konten, darunter die p2pwn in früheren Angriffen identifizierte Backdoor.
4. Verdächtige Aktivitäten überwachen: Untersuchen Sie DVRIP-Authentifizierungsereignisse, 127.0.0.1die auf einen möglichen P2P-Zugriffsindikator hindeuten. Stellen Sie einen Zusammenhang zwischen den Erkenntnissen und Konfigurationsänderungen her, bevor Sie von einer Kompromittierung ausgehen.
5. Überwachungsnetzwerke segmentieren: Beschränken Sie den Verwaltungszugriff und isolieren Sie Kameras von kritischen Systemen. Ähnliche Risiken entstehen, wenn Angreifer vertrauenswürdige Infrastruktur, darunter Cisco-Router, kompromittieren.
6. Beweise sichern und Wiederherstellung überprüfen: Sichern Sie Protokolle vor der Bereinigung, entfernen Sie unbefugte Zugriffe und überprüfen Sie die Wiederherstellung. Aktuelle Angriffe auf Ivanti-VPNs zeigen, dass gestohlene Zugangsdaten auch nach dem Einspielen von Patches nutzbar bleiben können.
7. Pläne zur Reaktion auf Vorfälle testen: Üben Sie die Isolierung von Geräten, die Eindämmung von Cloud-Konten, die Beweissicherung und die Wiederherstellung gemeinsam mit den Sicherheits- und Facility-Teams.

Wylie forderte die Hersteller auf, sichere Standardeinstellungen, starke Authentifizierung und zuverlässige Firmware-Updates zu priorisieren, betonte jedoch zugleich die Verantwortung der Organisationen für die Sicherheit ihrer Geräte.

„Letztlich ist eine Sicherheitskamera ein weiterer Computer, der mit Ihrem Netzwerk verbunden ist. Sie muss mit derselben Aufmerksamkeit für die Sicherheit behandelt werden wie jeder andere Endpunkt“, sagte er.

CERT-UA hat weder die Zahl der im Oktober kompromittierten Geräte offengelegt noch die Angreifer identifiziert. Organisationen sollten unbefugte Zugriffe untersuchen und die Behebung überprüfen, statt sich allein auf den Schutz durch Firewalls zu verlassen.

Bleiben Sie informiert: Halten Sie sich über Europas neueste Entwicklungen in den Bereichen Technologie, KI und Cybersicherheit auf. Abonnieren Sie Tech Insider Europe kostenlos für eine umfassende Berichterstattung über die sich wandelnde Technologielandschaft der Region.