Nach den Erkenntnissen von Hunt.io setzte CameraSwarm drei Angriffswege gleichzeitig ein. Neben der Ausnutzung von Schwachstellen und dem Erraten von Zugangsdaten per Brute Force nutzte das Toolkit einen Wiederherstellungsmechanismus, der auf der Seriennummer der Kamera basiert. Dadurch konnte der Operator über den regulären Passwort-Wiederherstellungsprozess von Dahua neue Codes einlösen, ohne das aktuelle Administrator-Passwort zu kennen.
Die Forscher stießen im Toolkit außerdem auf zwei irreführende Verweise auf Schwachstellen: CVE-2024-39943 und CVE-2025-31702. Nach Angaben von Hunt.io wurden diese beiden CVEs in den beobachteten Angriffen jedoch nicht ausgenutzt.
Die Analyse zeigt laut Hunt.io, dass die Suche nach potenziellen Zielen global angelegt war. Zunächst sei der russische Adressraum geprüft worden, danach der gesamte IPv4-Bereich. „Der Fokus des Operators verlagerte sich auf russische und GUS-Telekommunikations-Netzblöcke“, schreiben die Forscher. Zugleich fanden sie russische Kommentare in verändertem Code, der in umfunktionierte öffentliche Werkzeuge eingefügt worden war.
Am 10. August informierte Hunt.io nach eigenen Angaben nationale CERTs sowie Dahuas PSIRT über die CameraSwarm-Kampagne. Dahua-Kameras, die zwischen Juni und Juli über Port 37777 erreichbar waren, sollten als potenziell kompromittiert betrachtet werden. Besitzer sollen ihre Geräte auf das Vorhandensein eines Kontos namens „p2pwn“ prüfen und dieses entfernen.
Hunt.io weist allerdings darauf hin, dass das Entfernen dieses Hintertür-Kontos die vom Toolkit erzeugten Wiederherstellungscodes nicht ungültig macht. Diese bleiben demnach nutzbar, bis Dahua die serverseitige Ableitung ändert.
Zusätzlich empfehlen die Forscher, P2P zu deaktivieren, wenn die Funktion nicht benötigt wird. Außerdem sollen Nutzer die von Dahua unter SA-2021-0130 bereitgestellten Firmware-Updates für CVE-2021-33044 und CVE-2021-33045 oder eine neuere Firmware-Version einspielen.
Entscheidend für die Rekonstruktion der Kampagne war ein offenes Verzeichnis auf einem HTTP-Server des Operators. Daraus konnte Hunt.io 407 Megabyte an Daten mit 2.616 Dateien aus 234 Verzeichnissen sichern. Die Funde reichten von Quellcode und Protokollen über Zugangsdaten und Kamerabilder bis zu Shell-Verläufen und Ergebnissen der Ausnutzung und ermöglichten den Forschern, die Operation detailliert nachzuzeichnen.