Nach Angaben von Hunt.io installierte der Bedrohungsakteur auf 1.923 Kameras über Remote Procedure Call (RPC) ein dauerhaftes Hintertür-Konto. Dieses verwendet die Kombination p2pwn als Benutzername und p2password als Passwort. Hunt.io erklärt, das Konto werde unabhängig vom Administratorkennwort gespeichert und überstehe sowohl eine Passwortänderung als auch bei den meisten Firmware-Versionen einen Werksreset.
Für das Brute-Forcing von Zugangsdaten nutzten die Angreifer laut Hunt.io ein öffentlich verfügbares asyncio-Framework. Zusätzlich setzten sie eine kompilierte Go-Binärdatei ein, um die Authentifizierung zu umgehen. Dabei wurden drei Schwachstellen verkettet: die Umgehungen über CVE-2021-33044 und CVE-2021-33045 sowie CVE-20244-39943, um das Hintertür-Konto einzuspielen.
Hunt.io beschreibt CVE-2021-33044 als Ausnutzung eines bedingungslosen Vertrauens in Clients, die sich als NetKeyboard-Hardware-Controller ausgeben. Wenn clientType auf NetKeyboard gesetzt ist, werde das Passwortfeld nie ausgewertet. CVE-2021-33045 nutze aus, dass die Firmware die behauptete Quelladresse aus dem Anfragekörper statt aus der TCP-Verbindung lese. Laut Hunt.io liefern diese Umgehungen ohne Authentifizierung eine vollständige Administratorsitzung zurück; die Binärdatei lege anschließend das Konto p2pwn / p2password per RPC an.
In einigen Fällen missbrauchten die Angreifer nach Angaben von Hunt.io auch Dahuas Cloud-Relay, um Kameras hinter NAT-Grenzen zu erreichen. Dafür hätten lediglich die Seriennummern der Geräte ausgereicht.
Bei der Untersuchung stieß Hunt.io zudem auf Hinweise zur Vorbereitung der Kampagne. Demnach richtete der Bedrohungsakteur die verwendete Infrastruktur mindestens ein Jahr vor den Angriffen ein. Das eingesetzte Werkzeugset enthalte sowohl eigenen Code als auch veränderten Code von mindestens vier anderen Entwicklern.
Hunt.io kommt zu der Einschätzung mit mittlerer Sicherheit, dass das Werkzeugset darauf ausgelegt war, den Zugang an Dritte weiterzugeben. Als Begründung nennt das Unternehmen das übertragbare Design des Wiederherstellungscodes und eine Export-Pipeline im Unternehmensformat. Für die Einordnung als bestätigten kommerziellen Betrieb reichten die Belege laut Hunt.io jedoch nicht aus.
Welches Motiv der Betreiber letztlich verfolgte und wofür die kompromittierten Kameras vorgesehen waren, lässt sich aus dem Bericht nicht ableiten. Hunt.io stellt ausdrücklich fest, dass der Bericht weder die endgültige Motivation des Akteurs noch die beabsichtigte Nutzung der kompromittierten Kameras belegt.