สรุปสั้น

นักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์จากบริษัท Hunt.io เปิดเผยรายละเอียดแคมเปญที่ระบุว่ายึดอุปกรณ์ Dahua ได้มากกว่า 14,530 เครื่องในช่วงระหว่างวันที่ 17 มิถุนายน ถึง 22 กรกฎาคม 2569 ด้วยการผสมสามวิธีเข้าด้วยกันคือการโจมตีข้อมูลรับรอง ช่องโหว่ข้ามการยืนยันตัวตน 2 รายการ และเทคนิครีเลย์แบบ peer-to-peer กิจกรรมนี้ถูกตั้งชื่อรหัสว่า Operation CameraSwarm และประกอบขึ้นใหม่จากไดเรกทอรีทำงานที่ผู้โจมตีเปิดทิ้งไว้ขนาด 407 เมกะไบต์ ซึ่งบรรจุไฟล์ 2,616 ไฟล์กระจายใน 234 ไดเรกทอรีย่อย ทั้งเครื่องมือ ล็อก ประวัติคำสั่งเชลล์ และบันทึกของแคมเปญ นักวิจัยระบุว่าเครื่องที่ยืนยันได้ว่าถูกเจาะกระจุกตัวอยู่ในยูเครนและรัสเซีย

Hunt.io แยกยอดรวมออกเป็นสามเส้นทาง ได้แก่ การโจมตีข้อมูลรับรองที่ครอบคลุมที่อยู่ไอพีไม่ซ้ำกัน 12,324 รายการจากบันทึกแคมเปญ 13,229 รายการ การข้ามการยืนยันตัวตนที่เข้าถึงกล้องได้ 1,923 ตัวผ่าน CVE-2021-33044 และ CVE-2021-33045 ซึ่งกล้องกลุ่มนี้ถูกตั้งบัญชีฝังถาวรไว้ด้วย และเส้นทางรีเลย์ P2P ที่ระบุกล้องได้ 283 ตัวจากหมายเลขซีเรียล รวมถึงอุปกรณ์ที่อยู่หลัง NAT ทั้งนี้ตัวเลขทั้งหมดยังเป็นคำอ้างของ Hunt.io ฝ่ายเดียว และยังไม่ถูกยืนยันโดยอิสระจากผู้ผลิตหรือหน่วยงานภายนอก

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 19 สิงหาคม 2569 ว่า Hunt.io ได้เผยแพร่การวิเคราะห์ Operation CameraSwarm ซึ่งได้ข้อมูลมาจากการที่ผู้ปฏิบัติการเปิดไดเรกทอรีทำงานของตัวเองทิ้งไว้ให้เข้าถึงได้จากภายนอก ทำให้นักวิจัยเห็นทั้งชุดเครื่องมือและบันทึกผลการทำงานของแคมเปญโดยตรง ไม่ใช่การประกอบภาพจากฝั่งเหยื่อเพียงอย่างเดียว

ช่องโหว่ที่ถูกใช้เป็นของเก่าจากปี 2564 ทั้งคู่ CVE-2021-33044 และ CVE-2021-33045 เป็นช่องโหว่ข้ามการยืนยันตัวตนในกล้อง Dahua และผลิตภัณฑ์ที่เกี่ยวข้อง โดย Dahua ให้คะแนน CVSS ไว้ที่ 8.1 พร้อมระบุรายการเฟิร์มแวร์ที่แก้แล้ว ขณะที่ฐานข้อมูล National Vulnerability Database ของสหรัฐฯ ให้คะแนนแต่ละตัวไว้สูงกว่าที่ 9.8 คำอธิบายจากฝั่ง Dahua ระบุสั้น ๆ ว่า “ผู้โจมตีสามารถข้ามการยืนยันตัวตนของอุปกรณ์ได้ด้วยการสร้างแพ็กเก็ตข้อมูลที่เป็นอันตราย” ส่วนรายละเอียดจากการเปิดเผยครั้งแรกโดยนักวิจัยที่ใช้ชื่อ Bashis อธิบายว่า CVE-2021-33044 ถูกกระตุ้นด้วยการอ้างชนิดไคลเอนต์เป็น NetKeyboard ระหว่างขั้นตอนยืนยันตัวตน ขณะที่ CVE-2021-33045 เกี่ยวข้องกับคำขอล็อกอินแบบวนกลับที่ใช้ที่อยู่ 127.0.0.1

จนถึงวันที่ 19 สิงหาคม 2569 ช่องโหว่ทั้งสองยังคงอยู่ในบัญชี Known Exploited Vulnerabilities ของ CISA ซึ่งบันทึกไว้ว่าเป็นช่องโหว่ข้ามการยืนยันตัวตนในกล้องไอพีของ Dahua พร้อมแนะนำให้ใช้มาตรการบรรเทาจากผู้ผลิต หรือเลิกใช้งานอุปกรณ์หากไม่มีมาตรการบรรเทา ซึ่งหมายความว่าอุปกรณ์ที่ยังถูกเจาะได้ในปี 2569 คืออุปกรณ์ที่ไม่ได้รับการอัปเดตมาต่อเนื่องกว่าห้าปี

อีกด้านหนึ่ง ห้องปฏิบัติการ ITRES Labs ซึ่งเผยแพร่การวิเคราะห์ไว้ตั้งแต่เดือนตุลาคม 2568 พบระหว่างการสอบสวนเหตุการณ์ครั้งหนึ่งว่า บนเฟิร์มแวร์ก่อนกลางปี 2567 หมายเลขซีเรียลของ Dahua ที่ถูกต้องสามารถใช้สร้างเส้นทางรีเลย์ผ่านบริการ Easy4IP ได้ก่อนที่อุปกรณ์ปลายทางจะทำการตรวจข้อมูลรับรองของตัวเอง ทำให้อุปกรณ์ที่อยู่หลัง NAT กลายเป็นสิ่งที่เข้าถึงได้ผ่านโครงสร้างพื้นฐานรีเลย์ของผู้ผลิตเอง ITRES Labs สรุปกลไกนี้ไว้ว่า “ตัวรีเลย์สร้างเส้นทางขึ้นมาโดยไม่ต้องยืนยันตัวตนก่อน แล้วปล่อยให้การตรวจล็อกอินเป็นหน้าที่ของเว็บแอปพลิเคชันบนอุปกรณ์”

The Hacker News ระบุว่าได้ติดต่อไปยัง Dahua เพื่อขอคำยืนยันเกี่ยวกับขอบเขตของแคมเปญและข้อค้นพบเรื่อง P2P แล้ว และจะอัปเดตรายงานเมื่อได้รับคำตอบ

Operation CameraSwarm compromised more than 14,500 Dahua devices using credential attacks and P2P relay

รายละเอียดช่องโหว่

สิ่งที่ทำให้กรณีนี้ต่างจากข่าวบ็อตเน็ตกล้องวงจรปิดทั่วไปคือ เส้นทางที่สามไม่ใช่ช่องโหว่ ITRES Labs อธิบายการเปิดเผยผ่านหมายเลขซีเรียลว่าเป็นปัญหาที่ไม่มีเลข CVE เพราะกลไกนี้คือพฤติกรรมตามการออกแบบของโปรโตคอล P2P ที่ผู้ผลิตวางไว้เพื่อให้ผู้ใช้ทั่วไปดูกล้องจากนอกบ้านได้โดยไม่ต้องตั้งค่า port forwarding เอง ระบบจึงต้องยอมสร้างอุโมงค์ให้ก่อนแล้วค่อยตรวจสิทธิ์ทีหลัง ผลข้างเคียงคือใครก็ตามที่รู้หมายเลขซีเรียลจะเปิดช่องทางถึงตัวอุปกรณ์ได้ แม้อุปกรณ์นั้นจะไม่ได้เปิดพอร์ตออกอินเทอร์เน็ตเลยก็ตาม

ที่เก็บโค้ดสาธารณะชื่อ p2pwn ยังคงเข้าถึงได้จนถึงวันที่ 19 สิงหาคม 2569 และยืนยันได้ด้วยตัวเองว่าเครื่องมือนี้รับหมายเลขซีเรียลของ Dahua เป็นข้อมูลนำเข้า ตรวจสอบ CVE-2021-33044 และ CVE-2021-33045 และมีการตั้งค่าบัญชีหลอกเป็นค่าเริ่มต้นอยู่ในตัว ขณะที่ที่เก็บโค้ดพิสูจน์แนวคิดอีกตัวชื่อ dh-p2p ก็แสดงให้เห็นว่าโปรโตคอล P2P ของ Dahua ค้นหาอุปกรณ์ผ่านบริการ Easy4IPCloud ด้วยหมายเลขซีเรียล และสร้างอุโมงค์ไปยังกล้องหรือเครื่องบันทึกวิดีโอผ่านเครือข่ายได้จริง อย่างไรก็ตามที่เก็บโค้ดเหล่านี้ไม่ได้ยืนยันตัวเลข 1,923 กล้องของ Hunt.io และไม่ได้ยืนยันคำกล่าวอ้างที่ว่าบัญชีที่ถูกฝังไว้รอดจากการรีเซ็ตกลับค่าโรงงานบนเฟิร์มแวร์ส่วนใหญ่ อีกทั้งเส้นทาง P2P ก็เป็นคนละเรื่องกับช่องโหว่ข้ามการยืนยันตัวตนทั้งสองตัว

Hunt.io ระบุว่าโค้ดของผู้ปฏิบัติการที่กู้คืนมาได้บันทึกไว้ว่า 89.4 เปอร์เซ็นต์ของหมายเลขซีเรียลที่ยังใช้งานอยู่ให้ช่องทางเปิดโดยไม่ต้องยืนยันตัวตน ตัวเลขนี้ยังเป็นคำอ้างเฉพาะของแคมเปญนี้ และยังไม่มีการทำซ้ำโดยอิสระจาก ITRES Labs, Dahua หรือประกาศของทีมรับมือเหตุฉุกเฉินทางคอมพิวเตอร์ใดที่ค้นพบได้ ณ วันที่ 19 สิงหาคม 2569 ในทางกลับกัน ITRES Labs ระบุว่าการทดสอบของตนพบว่าเส้นทาง P2P ถูกเสริมความแข็งแรงแล้วในเฟิร์มแวร์ที่ออกหลังกลางปี 2567 ซึ่งหมายความว่าอุปกรณ์ที่ยังเสี่ยงคือกลุ่มที่ไม่เคยอัปเดตเฟิร์มแวร์มานาน

อีกจุดที่ต้องระวังในการอ่านรายงานนี้คือเลข CVE 2 ตัวที่ถูกพบพ่วงมากับชุดเครื่องมือที่กู้คืนได้นั้นไม่ได้อธิบายพฤติกรรม P2P แต่อย่างใด CVE-2024-39943 ถูก NVD ระบุว่าเป็นช่องโหว่ command injection ระดับระบบปฏิบัติการใน Rejetto HFS ซึ่งเป็นซอฟต์แวร์คนละตัวกัน ส่วน CVE-2025-31702 นั้น Dahua อธิบายว่าเป็นช่องโหว่ยกระดับสิทธิ์ที่ต้องมีข้อมูลรับรองของผู้ใช้ทั่วไปอยู่ในมือก่อน จึงไม่ใช่ช่องทางเข้าตั้งต้น

ผลกระทบ

ภาพรวมของแคมเปญนี้สะท้อนปัญหาเชิงโครงสร้างของอุปกรณ์เฝ้าระวังภาพมากกว่าจะเป็นเรื่องของช่องโหว่ตัวใดตัวหนึ่ง เส้นทางที่ให้ผลมากที่สุดไม่ใช่ช่องโหว่ที่ซับซ้อน แต่คือการโจมตีข้อมูลรับรองซึ่งกินสัดส่วนราว 12,000 จากยอดรวมกว่า 14,500 เครื่อง นั่นแปลว่าอุปกรณ์ส่วนใหญ่ที่ถูกยึดไม่ได้ต้องการเทคนิคพิเศษอะไรเลยนอกจากรหัสผ่านที่เดาได้หรือรหัสผ่านที่ถูกใช้ซ้ำ ส่วนช่องโหว่อายุห้าปีและกลไก P2P เป็นเพียงส่วนเสริมที่ช่วยเก็บกลุ่มที่เหลือ รวมถึงอุปกรณ์ที่เจ้าของเชื่อว่าปลอดภัยเพราะไม่ได้เปิดพอร์ตออกอินเทอร์เน็ต

จุดที่ควรค้างไว้ในใจผู้ดูแลระบบคือประโยคของ ITRES Labs ที่ว่าตัวรีเลย์สร้างเส้นทางก่อนแล้วค่อยให้อุปกรณ์ตรวจล็อกอินเอง เพราะมันเปลี่ยนสมมติฐานพื้นฐานที่หลายองค์กรใช้ตัดสินความเสี่ยงของกล้องวงจรปิด การอยู่หลัง NAT และไม่มีการทำ port forwarding ไม่ได้แปลว่าเข้าถึงไม่ได้อีกต่อไป ตราบใดที่ฟีเจอร์ P2P ยังเปิดอยู่และหมายเลขซีเรียลรั่วออกไปได้ ซึ่งหมายเลขซีเรียลเป็นข้อมูลที่มักปรากฏในใบเสนอราคา เอกสารส่งมอบงาน และภาพถ่ายการติดตั้ง

การประเมินเรื่องเจตนายังไม่ชัด นักวิจัยอธิบายว่าผู้ปฏิบัติการน่าจะใช้ภาษารัสเซียโดยดูจากร่องรอยทางภาษาที่กู้คืนได้จากไดเรกทอรีทำงาน แต่กิจกรรมนี้ยังไม่ถูกโยงเข้ากับกลุ่มภัยคุกคามที่มีชื่อเรียก หน่วยงานรัฐของรัสเซีย หรือกลุ่มที่รู้จักกลุ่มใด และบริษัทประเมินด้วยความมั่นใจระดับปานกลางว่าบางส่วนของชุดเครื่องมืออาจถูกออกแบบมาเพื่อส่งต่อการเข้าถึงกล้องให้บุคคลที่สาม ซึ่งหากเป็นจริงก็หมายความว่าผู้ที่ยึดอุปกรณ์กับผู้ที่ใช้ประโยชน์จากภาพจากกล้องอาจเป็นคนละรายกัน

ข้อจำกัดของหลักฐานที่ต้องระบุไว้ให้ชัดคือ ณ วันที่ 19 สิงหาคม 2569 ตัวเลขทั้งหมดของแคมเปญ ไม่ว่าจะเป็นอุปกรณ์กว่า 14,530 เครื่อง บัญชีฝังถาวร 1,923 รายการ การเจาะผ่าน P2P 283 เครื่อง และสัดส่วนช่องทางเปิด 89.4 เปอร์เซ็นต์ ยังเป็นข้อมูลที่มาจาก Hunt.io เพียงแหล่งเดียว แหล่งข้อมูลปฐมภูมิสาธารณะที่ตรวจสอบได้ยืนยันเพียงว่าช่องโหว่ข้ามการยืนยันตัวตนทั้งสองตัวมีอยู่จริง เครื่องมือ p2pwn ถูกตั้งค่ามาแบบนั้นจริง และกลไก P2P ที่อาศัยหมายเลขซีเรียลทำงานได้จริง แต่ไม่ได้ยืนยันตัวเลขของ CameraSwarm

คำแนะนำ

ITRES Labs แนะนำให้ผู้ดูแลระบบปิดฟีเจอร์ P2P หากไม่จำเป็นต้องใช้ จำกัดการเชื่อมต่อผ่าน Easy4IP เท่าที่เหมาะสม อัปเดตอุปกรณ์ด้วยเฟิร์มแวร์จากเว็บไซต์ของผู้ผลิตโดยตรง ใช้ข้อมูลรับรองที่แข็งแรงและไม่ซ้ำกันในแต่ละเครื่อง ลบบัญชีที่ไม่ได้ใช้งานออก และแบ่งแยกเครือข่ายของระบบเฝ้าระวังภาพออกจากเครือข่ายส่วนอื่น ส่วน Dahua แนะนำให้ลูกค้าติดตั้งซอฟต์แวร์แก้ไขตามรายการที่ประกาศไว้หรือเฟิร์มแวร์รุ่นใหม่กว่า

ในทางปฏิบัติ ลำดับที่ให้ผลเร็วที่สุดคือเริ่มจากรหัสผ่านก่อน เพราะเป็นเส้นทางที่ผู้โจมตีใช้ได้ผลมากที่สุดในแคมเปญนี้ ตามด้วยการตรวจว่ามีบัญชีผู้ใช้ที่ไม่รู้จักถูกเพิ่มเข้ามาในอุปกรณ์หรือไม่ ซึ่งเป็นร่องรอยหลักของการฝังตัวถาวรที่รายงานนี้ระบุไว้ จากนั้นจึงตรวจรุ่นเฟิร์มแวร์ว่าเก่ากว่ากลางปี 2567 หรือไม่ เพราะนั่นคือเส้นแบ่งที่ ITRES Labs ระบุว่าเส้นทาง P2P ถูกเสริมความแข็งแรงแล้ว

องค์กรที่มีกล้องจำนวนมากกระจายตามสาขาควรถือโอกาสนี้ทำบัญชีทรัพย์สินให้ครบว่ามีอุปกรณ์รุ่นใดอยู่ที่ไหนบ้าง เพราะอุปกรณ์ประเภทนี้มักถูกติดตั้งโดยผู้รับเหมาแล้วไม่มีใครดูแลต่อ และสุดท้ายควรปฏิบัติกับหมายเลขซีเรียลของอุปกรณ์เสมือนเป็นข้อมูลที่ต้องคุ้มครอง ไม่ใช่ข้อมูลสาธารณะที่แปะไว้ในเอกสารส่งมอบงานหรือภาพถ่ายการติดตั้งได้อย่างอิสระ

แหล่งอ้างอิง