Hunt.io führt die Gesamtzahl von mehr als 14.530 kompromittierten Geräten auf drei Angriffswege zurück. Dazu gehören Zugangsdatenangriffe sowie die beiden Schwachstellen CVE-2021-33044 und CVE-2021-33045, beides Umgehungen der Authentifizierung in Dahua-Kameras und verwandten Produkten. Dahua bewertet die Lücken in einer Herstellerwarnung mit 8,1 nach CVSS und listet behobene Firmware-Versionen auf, während die U.S. National Vulnerability Database ihnen derzeit jeweils einen CVSS-Wert von 9,8 zuweist.
Dahua erklärte in seiner Warnung, Angreifer könnten die Geräteauthentifizierung durch präparierte Datenpakete umgehen. Laut der ursprünglichen Offenlegung des Sicherheitsforschers Bashis wird CVE-2021-33044 durch einen NetKeyboard-Client-Typ während der Authentifizierung ausgelöst. CVE-2021-33045 betrifft demnach eine Loopback-Anmeldeanfrage über die Adresse 127.0.0.1. Beide Schwachstellen stehen mit Stand vom 19. August 2026 weiterhin im KEV-Katalog der U.S. Cybersecurity and Infrastructure Security Agency. CISA führt sie dort als Authentifizierungs-Bypässe in Dahua-IP-Kameras und rät dazu, die Maßnahmen des Herstellers umzusetzen oder die Nutzung einzustellen, falls keine Gegenmaßnahmen verfügbar sind.
Der dritte von Hunt.io beschriebene Pfad ist von diesen beiden CVEs getrennt und betrifft die P2P-Erreichbarkeit. ITRES Labs hatte in einer früheren Incident-Response-Untersuchung festgestellt, dass sich bei Firmware-Versionen von vor Mitte 2024 mit einer gültigen Dahua-Seriennummer ein Easy4IP-Relay-Pfad aufbauen ließ, bevor das verbundene Gerät seine eigene Zugangsdatenprüfung durchführte. Dadurch konnte ein hinter NAT stehendes Gerät über die Relay-Infrastruktur des Herstellers erreichbar werden.
ITRES Labs beschrieb diesen auf Seriennummern basierenden Relay-Zugang als Problem ohne CVE-Kennung. In einer im Oktober 2025 veröffentlichten Analyse erklärte das Unternehmen, der Relay-Mechanismus stelle die Verbindung ohne vorherige Authentifizierung her, während die Anmeldeprüfung der Webanwendung des Geräts überlassen bleibe. Ein erfolgreiches P2P-Relay kann ein Gerät hinter NAT erreichbar machen, dennoch kann für den Zugriff weiterhin eine Authentifizierung auf Geräteebene erforderlich sein. Nach Angaben von ITRES Labs wurde dieser P2P-Pfad in Firmware-Versionen ab Mitte 2024 verstärkt abgesichert.
Öffentlich zugängliche Quellen stützen Teile dieser Analyse. Das Repository p2pwn war mit Stand vom 19. August 2026 weiterhin erreichbar und bestätigt unabhängig, dass das Werkzeug Dahua-Seriennummern als Eingabe akzeptiert, CVE-2021-33044 und CVE-2021-33045 prüft und eine Standardkonfiguration für ein Dummy-Konto enthält. Das Repository belegt jedoch weder Hunt.ios Zahl von 1.923 betroffenen Kameras noch die Behauptung, dass das Konto bei den meisten Firmware-Versionen einen Werksreset übersteht. Auch das Proof-of-Concept-Repository dh-p2p zeigt, dass das Dahua-P2P-Protokoll ein Gerät über Easy4IPCloud anhand seiner Seriennummer lokalisiert und einen Tunnel zur Kamera oder zum Netzwerkvideorekorder aufbauen kann.
Hunt.io erklärte außerdem, der aus dem Operator-Material rekonstruierte Code habe festgehalten, dass bei 89,4 Prozent der aktiven Seriennummern ein offener Kanal ohne Authentifizierung zurückkam. Auch diese Angabe bleibt jedoch eine kampagnenspezifische Behauptung aus dem sichergestellten Material. Sie wurde laut dem vorliegenden Stand weder von ITRES Labs noch von Dahua oder einer öffentlichen CERT-Warnung unabhängig reproduziert.
Zwei CVE-Bezeichnungen, die mit den wiedergefundenen Werkzeugen verknüpft waren, beschreiben das P2P-Verhalten nach den vorliegenden Angaben nicht. CVE-2024-39943 ist laut NVD eine Betriebssystem-Befehlsinjektion in Rejetto HFS. CVE-2025-31702 beschreibt Dahua als Privilegienerweiterung, die bereits zuvor erlangte reguläre Benutzerzugangsdaten voraussetzt.
Dahua fordert Kunden in seiner Warnung auf, die genannte Reparatursoftware oder neuere Firmware zu installieren. ITRES Labs empfiehlt darüber hinaus, P2P zu deaktivieren, wenn es nicht benötigt wird, gegebenenfalls die Easy4IP-Konnektivität einzuschränken, Firmware mit den Dateien von der Herstellerseite zu aktualisieren, starke eindeutige Zugangsdaten zu verwenden, ungenutzte Konten zu entfernen und Videoüberwachungssysteme zu segmentieren. Hunt.io beschreibt den Operator auf Basis sprachlicher Spuren im Arbeitsverzeichnis als russischsprachig, ordnet die Aktivität jedoch weder einem benannten Bedrohungsakteur noch einer russischen Regierungsstelle oder einer anderen bekannten Gruppe zu.