สรุปสั้น

กล้องวงจรปิดและเครื่องบันทึกภาพของ Dahua ผู้ผลิตจากจีน ถูกใช้อย่างแพร่หลายทั้งในบ้าน ร้านค้า และหน่วยงาน และในยูเครนกล้องเหล่านี้กลายเป็นแหล่งข่าวกรองทางทหารให้ฝ่ายรัสเซียมาตั้งแต่ช่วงสงคราม ล่าสุดทีมรับมือเหตุฉุกเฉินคอมพิวเตอร์ของยูเครน (CERT-UA) ภายใต้หน่วยงานบริการสื่อสารพิเศษแห่งรัฐ (SSSCIP) ออกประกาศเตือนเมื่อสัปดาห์ก่อนว่ามีการเข้าถึงกล้อง IP และเครื่องบันทึกภาพ (DVR/NVR) ของ Dahua โดยไม่ได้รับอนุญาต ผู้โจมตีดูภาพสดได้ แก้คอนฟิกของอุปกรณ์ และสร้างบัญชีของตัวเองไว้ ทางเข้าหลัก คือ Easy4IP บริการคลาวด์แบบ P2P ของ Dahua ที่ให้ผู้ใช้ดูกล้องผ่านแอปมือถือด้วยการสแกน QR code หรือใส่หมายเลขซีเรียลของเครื่อง โดยไม่ต้องเปิดพอร์ตออกอินเทอร์เน็ต

จุดอ่อนที่ CERT-UA ชี้ คือ หมายเลขซีเรียลของ Dahua มีโครงสร้างที่คาดเดาได้ ผู้โจมตีจึงไล่เดาซีเรียลได้จำนวนมากเพื่อหาเครื่องที่ต่อคลาวด์อยู่ โดยไม่ติดการจำกัดจำนวนครั้งหรือการล็อก เมื่อเจอเครื่องแล้วจึงใช้รหัสผ่านอ่อนหรือช่องโหว่ข้ามการยืนยันตัวตนในเฟิร์มแวร์เก่า ผลคือกล้องทุกตัวที่เปิด P2P ไว้มีความเสี่ยง แม้จะไม่ได้เข้าถึงจากอินเทอร์เน็ตได้โดยตรงก็ตาม CERT-UA ไม่ได้ระบุผู้อยู่เบื้องหลังหรือจำนวนเครื่องที่ถูกยึด แต่พฤติกรรมคล้ายสองแคมเปญยึดกล้องในยูเครนที่เคยถูกเปิดเผยมาก่อน ผู้ดูแลควรปิด P2P ที่ไม่ได้ใช้ อัปเดตเฟิร์มแวร์ และตรวจหาบัญชีที่ไม่รู้จักทันที

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 27 ตุลาคม 2569 ว่า SSSCIP ระบุในประกาศว่า “มีการบันทึกกรณีที่กล้อง IP และ DVR ถูกเจาะ ทั้งการเข้าถึงภาพสด การเปลี่ยนคอนฟิก และการสร้างบัญชีของบุคคลที่สาม” CERT-UA ย้ำว่า “การสันนิษฐานว่าไม่มีใครรู้หมายเลขซีเรียล ไม่ใช่เหตุผลที่จะถือว่าอุปกรณ์ปลอดภัย”

ด้านรายละเอียดของซีเรียล CERT-UA อธิบายว่าหมายเลขประกอบด้วยรหัสรุ่น 10 ตัวอักษรที่เหมือนกันทุกเครื่องในตระกูลเดียวกัน ตามด้วยตัวนับเลขฐานสิบหก 5 หลักที่เพิ่มขึ้นแทบตามลำดับ เช่น 7K01F36PCA003E8 โครงสร้างนี้ทำให้พื้นที่ที่ต้องเดาเล็กมาก และระบบคลาวด์ก็ไม่มีกลไกจำกัดการเดา

CERT-UA ไม่ได้เปิดเผยว่าใครเป็นเป้าหมาย เหตุเกิดเมื่อไร มีอุปกรณ์ถูกยึดกี่เครื่อง และใครอยู่เบื้องหลัง แต่ The Hacker News ชี้ว่าข้อมูลนี้คล้ายกับสองกลุ่มกิจกรรมที่บริษัท Hunt.io เคยเปิดเผยว่าเล็งกล้อง IP ในยูเครนและรัสเซีย

กลุ่มแรก Hunt.io ระบุว่าเป็นผู้ปฏิบัติการที่พูดภาษารัสเซีย เล็งกล้องในยูเครนที่เปิดออกอินเทอร์เน็ตด้วยช่องโหว่ที่รู้จักของ Dahua และ Hikvision โดยใช้ Ingram เครื่องมือสแกนช่องโหว่เว็บแคมที่เผยแพร่สาธารณะ และยึดได้ 58 เครื่อง ผู้โจมตีรายนี้ยังสแกนและเจาะเราเตอร์กับกล้องของ TP-Link และ MikroTik ใน 15 ประเทศยุโรป รวมถึงยูเครน โปแลนด์ โรมาเนีย เยอรมนี ฝรั่งเศส และสหราชอาณาจักร

กลุ่มที่สอง คือ Operation CameraSwarm ที่ Hunt.io ระบุว่าเป็นผู้โจมตีรายเดียว ยึดกล้อง Dahua ได้กว่า 14,530 ตัวระหว่าง 17 มิถุนายนถึง 22 กรกฎาคม 2569 ซึ่งเคยรายงานไว้ใน 2026/08/117 แคมเปญนี้ฝังบัญชีแบ็กดอร์ถาวรไว้ในกล้อง 1,923 ตัว และเข้าถึงกล้องอีก 283 ตัวด้วยหมายเลขซีเรียลเพียงอย่างเดียวผ่านรีเลย์คลาวด์ของ Dahua โดยไม่ต้องรู้ที่อยู่เครื่อง และส่วนใหญ่ไม่ต้องใช้รหัสผ่าน ซึ่งเป็นแบบแผนเดียวกับที่ CERT-UA เตือนรอบนี้

บริบทที่ทำให้ประกาศนี้สำคัญ คือ เมื่อกรกฎาคม 2569 หน่วยข่าวกรองของเนเธอร์แลนด์เตือนว่าผู้โจมตีฝ่ายรัสเซียเจาะกล้อง IP ทั่วสหภาพยุโรป ประเทศสมาชิก NATO และยูเครน แล้วใช้ซอฟต์แวร์จดจำภาพค้นหายานพาหนะทางทหารและสิ่งของที่ขนส่ง เพื่อหาเส้นทางขนส่งทางทหาร การส่งอาวุธเข้ายูเครน และตำแหน่งของทหารยูเครน ข้อมูลจากกล้องในยูเครนถูกใช้เพื่อพยายามโจมตีทหารและทำลายยุทโธปกรณ์ อย่างไรก็ตาม ยังไม่มีหลักฐานที่เปิดเผยว่าเหตุที่ CERT-UA เตือนรอบนี้เป็นฝีมือกลุ่มเดียวกับในประกาศของเนเธอร์แลนด์หรือแคมเปญของ Hunt.io ความคล้ายกันอยู่ที่เทคนิค ไม่ใช่การระบุตัวผู้โจมตี

วิธีการโจมตี

หาเครื่องผ่านคลาวด์แทนการสแกนอินเทอร์เน็ต — Easy4IP เชื่อมกล้องเข้าคลาวด์ของ Dahua เพื่อให้ดูผ่านแอปได้โดยไม่ต้องเปิดพอร์ต ผู้โจมตีอาศัยจุดนี้ไล่เดาหมายเลขซีเรียลตามโครงสร้างรหัสรุ่นบวกตัวนับ แล้วถามคลาวด์ว่าซีเรียลนั้นออนไลน์อยู่หรือไม่ วิธีนี้ได้ผลเพราะไม่มีการจำกัดอัตราหรือการล็อก และเข้าถึงกล้องที่อยู่หลัง NAT หรือไฟร์วอลล์ได้ ซึ่งเจ้าของมักเชื่อว่าปลอดภัยเพราะไม่ได้เปิดออกอินเทอร์เน็ต

ผ่านด่านล็อกอิน — เมื่อเจอเครื่องแล้ว ผู้โจมตีใช้รหัสผ่านที่อ่อนหรือรหัสผ่านที่รู้จักกันทั่วไป หรืออาศัยช่องโหว่ข้ามการยืนยันตัวตนในเฟิร์มแวร์เก่า ได้แก่ CVE-2021-33044 และ CVE-2021-33045 ซึ่งเปิดให้ล็อกอินเข้า Dahua ได้โดยไม่ต้องใช้รหัสผ่าน ช่องโหว่ทั้งสองถูกเปิดเผยตั้งแต่ปี 2564 และมีแพตช์นานแล้ว แต่ยังได้ผลกับเครื่องที่ไม่เคยอัปเดตเฟิร์มแวร์

ยึดและคงสิทธิ์ — หลังเข้าได้ ผู้โจมตีดูภาพสด แก้คอนฟิก และสร้างบัญชีของตัวเอง ในแคมเปญ CameraSwarm บัญชีแบ็กดอร์ถูกติดตั้งผ่าน RPC และเก็บแยกจากรหัสผ่านแอดมิน จึงยังอยู่แม้เจ้าของเปลี่ยนรหัสผ่าน และในเฟิร์มแวร์ส่วนใหญ่ยังอยู่แม้รีเซ็ตเป็นค่าโรงงาน

ร่องรอยที่ CERT-UA ให้ไว้ — บัญชีที่ไม่รู้จักในเครื่อง การเปลี่ยนคอนฟิกที่ไม่ได้อนุญาต และ audit log ที่มีเหตุการณ์ยืนยันตัวตนผ่านโปรโตคอลของผู้ผลิต (DVRIP) จากที่อยู่ภายในเครื่องเอง (127.0.0.1) ซึ่งเป็นสัญญาณของการเข้าผ่าน P2P

ผลกระทบ

กลุ่มที่เสี่ยงโดยตรง คือ เจ้าของกล้อง IP, NVR และ DVR ของ Dahua ที่เปิดฟังก์ชัน P2P/Easy4IP ไว้ โดยเฉพาะเครื่องที่เฟิร์มแวร์เก่าหรือใช้รหัสผ่านอ่อน กลุ่มนี้รวมถึงกล้องที่เจ้าของตั้งใจซ่อนไว้หลังเครือข่ายภายในแล้ว เพราะการโจมตีไม่ต้องอาศัยการเปิดพอร์ต ขนาดของปัญหาในรอบนี้ CERT-UA ไม่ได้เปิดเผย แต่ตัวเลขจาก CameraSwarm ที่ยึดได้กว่า 14,500 ตัวในห้าสัปดาห์ แสดงว่าวิธีนี้ขยายผลได้เร็วมาก

ผลที่ตามมาจริงหนักกว่าการแอบดูภาพ ในบริบทสงครามยูเครน กล้องที่ถูกยึดกลายเป็นเครื่องมือสอดแนมเส้นทางขนส่ง การส่งอาวุธ และตำแหน่งทหาร ซึ่งนำไปสู่การโจมตีทางกายภาพได้ ส่วนนอกพื้นที่สงคราม กล้องที่ถูกยึดเปิดเผยภาพภายในบ้าน สำนักงาน และสถานที่สำคัญ และบัญชีแบ็กดอร์ที่อยู่รอดแม้รีเซ็ตเครื่องทำให้การกู้คืนยากกว่าอุปกรณ์ทั่วไป บทเรียนเชิงโครงสร้าง คือ ความปลอดภัยของกล้องไม่ได้ขึ้นกับการซ่อนเครื่องจากอินเทอร์เน็ตเพียงอย่างเดียว เมื่อผู้ผลิตเปิดช่องทางคลาวด์ที่ใช้ซีเรียลเดาได้เป็นตัวระบุ

คำแนะนำ

  • ปิด P2P/Easy4IP ทันทีหากไม่จำเป็น — นี่คือทางเข้าหลักของการโจมตีรอบนี้ หากต้องดูกล้องจากระยะไกล ให้ใช้ VPN ขององค์กรแทนบริการคลาวด์ของผู้ผลิต
  • อัปเดตเฟิร์มแวร์ — ให้พ้นช่องโหว่ CVE-2021-33044 และ CVE-2021-33045 อุปกรณ์ที่หมดการรองรับและไม่มีเฟิร์มแวร์ใหม่ควรวางแผนเปลี่ยน
  • เปลี่ยนรหัสผ่านทุกบัญชีบนอุปกรณ์ — ใช้รหัสผ่านยาวและไม่ซ้ำกันทุกเครื่อง และอย่าใช้รหัสผ่านเริ่มต้นจากโรงงาน
  • ตรวจว่าโดนแล้วหรือยัง — ไล่ดูรายชื่อบัญชีบนอุปกรณ์หาบัญชีที่ไม่รู้จัก ตรวจคอนฟิกว่ามีการเปลี่ยนที่ไม่ได้อนุญาตหรือไม่ และค้น audit log หาการยืนยันตัวตนผ่าน DVRIP จาก 127.0.0.1
  • ถ้าพบบัญชีแปลกปลอม — อย่าเชื่อว่าการเปลี่ยนรหัสผ่านหรือรีเซ็ตค่าโรงงานจะล้างได้ เพราะแบ็กดอร์บางแบบอยู่รอดทั้งสองวิธี ให้ลบบัญชีนั้น อัปเดตเฟิร์มแวร์ใหม่ทั้งหมด และพิจารณาเปลี่ยนอุปกรณ์หากยังพบบัญชีกลับมา
  • ไม่เปิดกล้องออกอินเทอร์เน็ตโดยตรง — ปิดพอร์ตจัดการและสตรีมของ Dahua โดยเฉพาะ TCP 37777 จากภายนอก และแยกกล้องไว้ในเครือข่าย VLAN ของตัวเอง

แหล่งอ้างอิง