CameraSwarm adlı saldırı kampanyasının 17 Haziran ile 22 Temmuz tarihleri arasında gerçekleştirildiği bildirildi. Saldırının ilk aşamasında Rusya, Meksika ve Vietnam'daki internet servis sağlayıcılarının ağları hedef alındı. Faaliyetler daha sonra Rusya ve Bağımsız Devletler Topluluğu bölgesindeki telekom ağlarına yoğunlaştı.
Yapılan incelemeler, 35 gün içinde 14 bin 530'dan fazla cihazın kontrol altına alındığını ortaya koydu. Saldırganların 12 bin 324 farklı IP adresine yönelik parola denemeleri yaptığı tespit edildi. Ayrıca, 1.923 kameraya uzaktan bağlantı protokolü aracılığıyla kalıcı bir arka kapı hesabı eklendiği belirlendi.
Bu hesapların, yönetici parolasından bağımsız olduğu ve parola değişikliklerinden etkilenmediği belirtildi. Bazı yazılım sürümlerinde fabrika ayarlarına dönüldüğünde dahi hesabın cihazda kalabildiği aktarıldı. Saldırıda parola denemelerinin yanı sıra, Dahua cihazlarını etkileyen çeşitli güvenlik açıkları da kullanıldı.
Saldırganların kimlik doğrulamasını aşmak için CVE-2021-33044 ve CVE-2021-33045 gibi birden fazla güvenlik açığını birlikte kullandığı bildirildi. Bazı durumlarda Dahua'nın bulut bağlantı altyapısından yararlanılarak, NAT arkasındaki kameralara yalnızca seri numaraları üzerinden erişim sağlandı. Saldırı altyapısının en az bir yıl önce hazırlandığı tahmin ediliyor.
Ele geçirilen kameraların hangi amaçla kullanılmak istendiği ve saldırının arkasındaki grubun nihai hedefi henüz belirlenmiş değil.
