اختراق 14,500 جهاز Dahua: استغلال ثغرات قديمة ومستمرة

مقدمة تحليلية

أعلنت شركة Hunt.io لأبحاث الأمن السيبراني عن حملة اختراق استهدفت أكثر من 14,530 جهاز Dahua بين 17 يونيو و22 يوليو 2026. العملية، التي أُطلق عليها اسم "CameraSwarm"، استغلت هجمات بيانات الاعتماد، وثغرتين لتجاوز المصادقة، وتقنية الترحيل P2P لاختراق الأجهزة. تركزت الاختراقات المؤكدة في أوكرانيا وروسيا، مما يشير إلى دافع محدد أو استهداف جغرافي واضح للمشغل الذي وصفته Hunt.io بأنه يتحدث الروسية. جمع الباحثون أدلة الحملة من دليل عمل مكشوف بحجم 407 ميجابايت، يحتوي على 2,616 ملفاً عبر 234 دليلاً فرعياً، بما في ذلك الأدوات والسجلات وسجل أوامر الشل وسجلات الحملة التشغيلية.

هذه الأرقام تؤكد فشلاً مستمراً في تحديث الأجهزة وتطبيق التصحيحات، حتى بعد سنوات من الإبلاغ عن الثغرات ذات الصلة. كما تم تحديد 1,923 كاميرا تم إعدادها بحساب دائم خلال العملية، وتم الوصول إلى 283 كاميرا عبر مسار P2P، مما يبرز اتساع نطاق الثغرة الأمنية وقدرة المهاجمين على استغلال آليات متعددة للوصول.

التحليل التقني

اعتمدت عملية "CameraSwarm" على ثلاثة مسارات رئيسية لتنفيذ الاختراقات:

• هجمات بيانات الاعتماد: استهدفت 12,324 عنوان IP فريداً عبر 13,229 سجلاً للحملة، مما يشير إلى استخدام كلمات مرور ضعيفة أو افتراضية كطريقة وصول أولية.
• تجاوز المصادقة: تم اختراق 1,923 كاميرا باستخدام الثغرتين CVE-2021-33044 وCVE-2021-33045. صنفت Dahua هاتين الثغرتين بدرجة 8.1 على نظام CVSS، بينما خصصت NVD الأمريكية لهما درجة 9.8، مما يعكس خطورة عالية. تصف Dahua هاتين الثغرتين بأنهما تسمحان للمهاجمين بتجاوز مصادقة الجهاز عبر بناء حزم بيانات ضارة. تستخدم CVE-2021-33044 نوع عميل NetKeyboard أثناء المصادقة، بينما تستغل CVE-2021-33045 طلب تسجيل دخول حلقي باستخدام العنوان 127.0.0.1، وفقاً للكشف الأصلي من الباحث الأمني Bashis في أكتوبر 2021. تظل كلتا الثغرتين مدرجتين في قائمة CISA للثغرات المعروفة والمستغلة (KEV) حتى 19 أغسطس 2026، مع توصيات بتطبيق تصحيحات البائع أو وقف استخدام الأجهزة.
• ترحيل P2P: تم تحديد 283 كاميرا عبر الرقم التسلسلي، بما في ذلك الأجهزة خلف ترجمة عناوين الشبكة (NAT). وجد ITRES Labs، في تحليل نشر في أكتوبر 2025، أن الترحيل ينشئ المسار دون مصادقة مسبقة، ويترك التحقق من تسجيل الدخول لتطبيق الويب الخاص بالجهاز. خلال تحقيق سابق، اكتشف ITRES Labs أنه قبل منتصف عام 2024، يمكن استخدام رقم تسلسلي صالح لإنشاء مسار ترحيل Easy4IP قبل أن يقوم الجهاز المتصل بإجراء فحص الاعتماد الخاص به، مما يجعل الجهاز خلف NAT قابلاً للوصول عبر البنية التحتية للترحيل الخاصة بالبائع. يؤكد مستودع dh-p2p proof-of-concept أن بروتوكول Dahua P2P يحدد موقع الجهاز عبر Easy4IPCloud باستخدام رقمه التسلسلي ويمكنه إنشاء نفق إلى الكاميرا أو مسجل الفيديو الشبكي، على الرغم من أن المصادقة على مستوى الجهاز قد تظل مطلوبة للوصول.

يعرض مستودع p2pwn العام، الذي لا يزال متاحاً حتى 19 أغسطس 2026، دعمه لإدخال أرقام Dahua التسلسلية، وفحص CVE-2021-33044 وCVE-2021-33045، ويتضمن إعداد حساب افتراضي. تدعي Hunt.io أن الكود المستعاد من المشغل سجل أن 89.4% من الأرقام التسلسلية النشطة أعادت قناة مفتوحة دون مصادقة، وهو رقم لم يتم التحقق منه بشكل مستقل من قبل ITRES Labs أو Dahua أو أي فريق استجابة للحوادث.

السياق وتأثير السوق

يعكس استغلال ثغرات Dahua، التي يعود تاريخ بعضها إلى عام 2021 وتصنفها NVD بدرجة 9.8 على مقياس CVSS، فشلاً متواصلاً في إدارة الأمن عبر دورة حياة المنتج. إن حقيقة أن CISA لا تزال تدرج CVE-2021-33044 وCVE-2021-33045 في كتالوج الثغرات المعروفة والمستغلة (KEV) حتى تاريخ 19 أغسطس 2026، تشير إلى أن تصحيحات البائع، التي صدرت في يونيو 2021 ضمن بيان Dahua الاستشاري dhcc-sa-202106-001، لم تصل إلى قاعدة كبيرة من الأجهزة المنتشرة أو لم يتم تطبيقها بفعالية. هذا الموقف يضع Dahua في موقع دفاعي مقارنة بمنافسين رئيسيين في سوق المراقبة مثل Hikvision، التي تواجه أيضاً تحديات أمنية خاصة بها، لكن استمرارية استغلال الثغرات القديمة بهذا النطاق (أكثر من 14,530 جهازاً) يشكل نقطة ضعف حرجة. قبل هذه الهجمات، كان يُفترض أن تحديثات البرامج الثابتة ستحمي الأجهزة، لكن البيانات تبرز أن الاعتماد على مجرد التحديث غير كافٍ، خاصة مع آليات مثل P2P التي يمكن أن تتجاوز NAT وتكشف الأجهزة.

توصيات ITRES Labs بإلغاء تنشيط P2P وتقييد اتصال Easy4IP حيثما كان مناسباً، وتحديث الأجهزة باستخدام البرامج الثابتة من موقع البائع، واستخدام بيانات اعتماد فريدة وقوية، وإزالة الحسابات غير المستخدمة، وتجزئة أنظمة المراقبة بالفيديو، هي إجراءات أساسية كان يجب أن تكون جزءاً من ممارسات الأمن الافتراضية للمستخدمين والبائع. يُظهر تقييم Hunt.io، الذي يشير إلى أن أجزاء من مجموعة الأدوات قد صُممت لنقل الوصول إلى الكاميرا لطرف ثالث، نموذجاً لقطاع المراقبة حيث يتم تداول الوصول إلى الأجهزة المخترقة، مما يزيد من مخاطر الخصوصية والأمن على المستوى الوطني والفردي.

رؤية Glitch4Techs

تؤكد بيانات عملية "CameraSwarm" على حقيقة قاسية: اختراق أكثر من 14,530 جهاز Dahua ليس نتاج تهديد سيبراني متطور جديد، بل نتيجة مباشرة للإهمال المزمن في تطبيق التصحيحات الأمنية الأساسية وإدارة الأجهزة. الثغرتان CVE-2021-33044 وCVE-2021-33045، المصنفتان بدرجة 9.8 CVSS، كانتا معروفتين ومصححتين من قبل Dahua منذ عام 2021، ومع ذلك تم استغلالهما على نطاق واسع في 2026. هذا يشير إلى أن التحديثات المقدمة لم يتم تبنيها بشكل كافٍ أو أن البائع لم يفرض تطبيقها بفاعلية. إضافة إلى ذلك، فإن تقنية P2P، التي سمحت باختراق 283 كاميرا، كانت نقطة ضعف تم تحليلها من قبل ITRES Labs في أكتوبر 2025، وتتعلق بمسار ترحيل Easy4IP الذي لا يتطلب مصادقة مسبقة على البرامج الثابتة القديمة.

لذا، فإن الادعاء بأن 89.4% من الأرقام التسلسلية الحية أعادت قناة مفتوحة دون مصادقة، إن ثبتت صحته، يمثل فشلاً بنيوياً في التصميم الأمني. الحكم هو أن هذه الحادثة هي دليل على الاستهتار المستمر بالأمن السيبراني ضمن سلسلة توريد كاميرات المراقبة، وعبء المسؤولية يقع بالتساوي على البائعين الذين يصممون هذه الثغرات وعلى المستخدمين الذين يفشلون في تحديث أجهزتهم لسنوات، حتى بعد إدراج الثغرات في كتالوج CISA KEV.