Des caméras Dahua piratées via le cloud, même derrière des pare-feu

Les pare-feu seuls ne suffisent pas toujours à empêcher des attaquants de prendre le contrôle de caméras de sécurité connectées au cloud.

L’équipe ukrainienne d’intervention en cas d’urgence informatique, CERT-UA, a averti en octobre 2026 que des attaquants avaient compromis des caméras et des enregistreurs vidéo de vidéosurveillance Dahua via un accès compatible avec le cloud. L’agence a documenté des accès non autorisés aux flux vidéo, des configurations modifiées et des comptes malveillants.

Les attaques exploitent le service d’accès à distance Easy4IP de Dahua, qui peut rendre les appareils accessibles derrière des pare-feu. Les attaquants peuvent ensuite exploiter des identifiants faibles ou un firmware vulnérable pour prendre le contrôle des appareils sans autorisation.

« Les caméras de sécurité sont censées contribuer à protéger les organisations, mais lorsqu’elles sont compromises, elles peuvent devenir des outils de surveillance pour les attaquants », a déclaré Phillip Wylie, chief security evangelist chez Suzu Labs. Il a averti que les attaquants pourraient avoir une visibilité sur le personnel, les opérations et la sécurité physique.

Comment Easy4IP expose des caméras derrière des pare-feu

Selon l’alerte de sécurité de CERT-UA, Easy4IP permet une surveillance pair à pair (P2P) orchestrée par le cloud. Des schémas prévisibles de numéros de série peuvent aider les attaquants à identifier les appareils connectés sans analyser les ports de gestion exposés.

Deux vulnérabilités permettant de contourner l’authentification, CVE-2021-33044 et CVE-2021-33045, affectent certains produits Dahua. La Cybersecurity and Infrastructure Security Agency les a toutes deux ajoutées à son catalogue des vulnérabilités connues comme étant exploitées le 21 août 2024. L’avis de sécurité de Dahua recense les produits concernés et les correctifs, bien que leur utilisation lors des incidents d’octobre n’ait pas été confirmée.

Une campagne antérieure illustre l’ampleur potentielle du phénomène. L’enquête Operation CameraSwarm de Hunt.io a recensé plus de 14 530 appareils Dahua compromis entre le 17 juin et le 22 juillet 2026. Les chercheurs ont identifié 1 923 caméras dotées de comptes de porte dérobée persistants et 283 appareils accessibles via des relais cloud. Certaines portes dérobées ont résisté aux changements de mot de passe et aux réinitialisations d’usine. Aucun lien avec les incidents d’octobre n’a été établi.

Audits des accès cloud et vérification des compromissions

Wylie a rappelé que les appareils IoT sont souvent installés puis oubliés, laissant sans réponse les problèmes de firmware obsolète, d’identifiants faibles et d’exposition inutile à Internet. Les équipes de sécurité doivent donner la priorité aux mesures suivantes :

1. Inventorier les appareils et restreindre l’accès au cloud : Identifier les connexions Easy4IP actives, désactiver les accès P2P inutiles, examiner les comptes liés au cloud et restreindre le trafic sortant.
2. Mettre à jour le firmware et remplacer les appareils non pris en charge : Appliquer les correctifs pris en charge par le fournisseur et remplacer les équipements qui ne peuvent pas être sécurisés. Les récentes vulnérabilités des caméras Cisco Meraki renforcent la nécessité d’utiliser un firmware pris en charge.
3. Renforcer l’authentification : Remplacer les identifiants faibles, examiner les autorisations administratives et rechercher les comptes inconnus, notamment lap2pwn porte dérobée identifiée lors d’attaques antérieures.
4. Surveiller les activités suspectes : Examiner les événements d’authentification DVRIP impliquant 127.0.0.1, un indicateur possible d’un accès P2P. Mettre les résultats en corrélation avec les modifications de configuration avant de conclure à une compromission.
5. Segmenter les réseaux de vidéosurveillance : Restreindre l’accès de gestion et isoler les caméras des systèmes critiques. Des risques similaires apparaissent lorsque des attaquants compromettent des infrastructures de confiance, notamment des routeurs Cisco.
6. Préserver les preuves et vérifier la restauration : Collecter les journaux avant la remédiation, supprimer les accès non autorisés et vérifier la restauration. Les récentes attaques contre les VPN Ivanti montrent que des identifiants volés peuvent rester utilisables après l’application des correctifs.
7. Tester les plans de réponse aux incidents : Simuler l’isolement des appareils, le confinement des comptes cloud, la collecte des preuves et la restauration avec les équipes de sécurité et des services généraux.

Wylie a exhorté les fabricants à donner la priorité à des paramètres sécurisés par défaut, à une authentification robuste et à des mises à jour fiables du firmware, tout en soulignant la responsabilité des organisations en matière de sécurité des appareils.

« En définitive, une caméra de sécurité est un ordinateur de plus connecté à votre réseau et doit bénéficier du même niveau d’attention en matière de sécurité que n’importe quel autre terminal », a-t-il déclaré.

CERT-UA n’a pas indiqué le nombre d’appareils compromis en octobre ni identifié les attaquants. Les organisations doivent rechercher les accès non autorisés et vérifier la remédiation plutôt que de compter uniquement sur les protections des pare-feu.

Restez informé : suivez les dernières évolutions technologiques, de l’IA et de la cybersécurité en Europe. Abonnez-vous gratuitement à Tech Insider Europe pour bénéficier d’une couverture essentielle de l’évolution du paysage technologique de la région.