2026-11-01 01:36:54 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

乌克兰（CERT-UA）警告称大华制造的 IP 摄像头遭到未经授权的远程访问

Rhinoer
Rhinoer

犀牛安全

2026年10月30日 00:00
北京

去阅读

乌克兰国家特别通信局（SSSCIP）在上周发布的一份警报中表示： “已记录到一些案件，不法分子入侵IP摄像头和DVR，获取视频流，更改设备配置，并创建第三方帐户。”

攻击中使用的主要初始访问途径是通过Easy4IP，这是一个点对点 (P2P) 平台，允许用户通过智能手机应用程序或网络浏览器扫描二维码或输入硬件序列号 (SN) 来连接其大华 IP 摄像头、NVR 和 DVR，从而远程监控家庭或小型企业。

该机构警告说，序列号具有可预测的结构，包含一个 10 个字符的型号前缀，该前缀对于同一设备系列的所有单元都是相同的，以及一个五字符的十六进制计数器，该计数器几乎是按顺序递增的（例如，7K01F36PCA003E8）。

反过来，这使得攻击者能够通过暴力破解攻击大规模地猜测这些设备，并识别它们是否连接到云端，而无需触及速率限制或被锁定。因此，所有启用了P2P功能的设备都面临风险，即使它们无法直接通过互联网访问。

CERT-UA表示：“假设序列号无人知晓，并不能成为认为设备安全的理由。”

攻击者利用弱密码或已知密码，或利用过时固件版本中的身份验证绕过漏洞（例如 CVE-2021-33044 和 CVE-2021-33045）来绕过身份验证屏障。CERT-UA 已分享了与此活动相关的以下入侵指标 -

存在未知账户
未经授权的配置更改
审计日志包含使用制造商原生协议 (DVRIP) 和来自本地地址 (127.0.0.1) 的身份验证事件，这是 P2P 访问的迹象。

为了应对这种威胁，建议在不需要时禁用 P2P 功能，避免将设备直接暴露在互联网上，并保持软件更新。

该机构尚未透露攻击目标是谁、感染发生的时间、受感染的设备数量以及幕后黑手。然而，这些发现与Hunt.io此前披露的针对乌克兰和俄罗斯IP摄像头的两起攻击活动有相似之处。

其中一次攻击活动据称由一名讲俄语的攻击者发起，该攻击者利用已知的 Dahua 和 Hikvision 漏洞，专门针对乌克兰境内暴露在互联网上的摄像头，最终导致 58 台设备被入侵。此次攻击活动通过集成Ingram（一款公开可用的网络摄像头漏洞扫描器）来利用以下漏洞：

CVE-2017-7921 - 海康威视的身份验证绕过漏洞
CVE-2020-25078 - D-Link 中的凭证泄露漏洞
CVE-2020-25169 - Reolink 中未经身份验证的信息泄露漏洞
CVE-2021-33044 / CVE-2021-33045 - 大华系统中的身份验证绕过漏洞，允许用户无需密码登录
CVE-2021-36260 - 海康威视中存在未经身份验证的远程代码执行漏洞。

与此同时，据称攻击者还利用 CVE-2024-53375 和 CVE-2024-57049 等漏洞，对 15 个欧洲国家（包括乌克兰、波兰、罗马尼亚、摩尔多瓦、匈牙利、捷克、斯洛伐克、保加利亚、德国、法国、荷兰、意大利、西班牙、英国和奥地利）的 TP-Link 和 MikroTik 路由器和摄像头进行了扫描和利用。

第二次攻击活动代号为“摄像头群行动”，据信是由一名单独的攻击者发起的，在 2026 年 6 月 17 日至 7 月 22 日期间，利用凭证暴力破解攻击和对 CVE-2021-33044-CVE-2021-33045 链的利用，入侵了超过 14,530 台大华 IP 摄像头。

该攻击会扫描 TCP 端口 37777（大华使用的默认专有管理和视频流端口），然后收集序列号，利用上述两种利用方法入侵这些设备，然后在近 2000 台摄像机上部署持久后门帐户（“ p2pwn / p2password”），即使更改密码和恢复出厂设置也能继续存在。

Hunt.io当时指出： “1923台摄像机携带持久后门账户（p2pwn/p2password），这些账户是在绕过安全机制后通过RPC安装的。该账户独立于管理员密码存储，即使更改密码，甚至在大多数固件上恢复出厂设置后仍然存在。另有283台摄像机仅通过序列号就通过大华的云中继访问，无需设备地址，而且在大多数情况下也无需任何凭证。”

在某些情况下，攻击者被发现滥用大华云中继，仅使用序列号即可访问 NAT 后面的摄像头。

今年早些时候，荷兰情报机构警告称，俄罗斯方面正在入侵欧盟、北约国家和乌克兰境内的IP摄像头，以进行系统的数字间谍活动并获取军事情报。

2026 年 7 月的公告称：“该攻击者通过图像识别软件对图像进行自动分析，以有针对性地搜索军用车辆及其运输的军用货物”。

“这使得行动者能够获取包括欧盟和北约军事运输路线、运往乌克兰的武器以及乌克兰军事人员位置等在内的相关军事数据。来自乌克兰境内IP摄像头的信息被用于企图消灭乌克兰军事人员并摧毁其军事装备。”