El CERT-UA alerta de cámaras Dahua hackeadas vía Easy4IP que permiten ver el vídeo en directo sin abrir un solo puerto.
El equipo de respuesta a incidentes ucraniano fechó su aviso el 23 de octubre. En él describe un acceso remoto no autorizado a cámaras IP y grabadores de vídeo del fabricante chino: los intrusos han visto el vídeo en vivo, han modificado ajustes del equipo y han creado cuentas propias con las que volver a entrar cuando les convenga. El comunicado no identifica a las víctimas ni cuantifica los dispositivos afectados. Esa omisión es la grieta por la que se cuela la especulación.
Usted probablemente tenga una de estas cámaras en el garaje, en el portal de la comunidad o en el pasillo de la nave. No importa. Lo decisivo es que el vector no exige que el aparato esté expuesto a internet, y eso rompe el modelo mental con el que media España monta videovigilancia IP: contrato, cámara, router, y a dormir.
El agujero no está en la cámara: está en la nube que la llama a casa
El mecanismo se llama Easy4IP y es la función de nube P2P de Dahua. Cuando está activa, la cámara o el grabador inicia por su cuenta una conexión saliente hacia la infraestructura del fabricante y se registra con su número de serie. Desde ese instante, cualquiera que conozca el identificador puede alcanzar el equipo a través de la nube.
El cortafuegos del router deja de ser una frontera real. No hay puertos publicados, no hay IP fija, no hay nada visible en el panel del administrador. Los números de serie siguen patrones predecibles, así que se pueden generar de forma automatizada y comprobar cuáles están dados de alta. Guardar ese número en secreto no protege de nada.
Una cámara sin exposición a internet puede seguir siendo accesible desde cualquier punto del planeta. La nube del fabricante es la puerta que nadie cerró.
Superada la sesión, queda el login. Y ahí aparecen dos viejos conocidos: CVE-2021-33044 y CVE-2021-33045, ambas permiten saltarse la autenticación sin contraseña. Una clave robusta no sirve de nada sobre un firmware vulnerable. El ataque deja de ser una cuestión de higiene de contraseñas y pasa a ser una cuestión de inventario.
Las señales de compromiso son tres. Cuentas que usted no creó. Ajustes alterados, incluidos rótulos de texto superpuestos sobre la imagen de vídeo. Y registros de auditoría con inicios de sesión por el protocolo DVRIP desde 127.0.0.1, que es la huella del salto por la nube. Ojo: la ausencia de esas marcas no significa que el equipo esté limpio.
La recomendación de la alerta oficial de CERT-UA tiene cuatro pasos y ninguno es exótico: desactivar P2P y el acceso a la nube si no se usa; sacar las cámaras de internet; para acceso remoto, VPN con lista blanca de direcciones; revisar la lista de cuentas y desvincular nubes desconocidas; y actualizar el firmware a mano, con rutina periódica. Añado uno mío: inventario. Sin inventario no hay defensa posible.
Anatomía del acceso: serie predecible, DVRIP y dos CVE de 2021
Lo que CERT-UA describe no es un exploit nuevo. Es la reutilización industrial de un patrón viejo. En 2016, la botnet Mirai reclutó cámaras IP y grabadores DVR mal configurados para tumbar Dyn y, con él, media internet estadounidense. Diez años después el eslabón sigue siendo el mismo: dispositivos baratos, firmware congelado y una nube de por medio que nadie audita.
La diferencia es la escala de la sospecha. Entonces se trataba de vandalismo monetizado. Hoy, cuando una agencia estatal emite una alerta sobre acceso no autorizado a videovigilancia, la pregunta obligada es quién miraba y a qué. El CERT-UA no lo dice. Y cuando una agencia no lo dice, en este oficio solo hay dos lecturas: o no lo sabe, o prefiere no enseñar sus cartas.
Permítame una observación incómoda. Estos equipos están desplegados en ayuntamientos, polígonos, obras, domicilios particulares y en un número creciente de instalaciones que rozan la infraestructura crítica. La videovigilancia IP es la puerta trasera más barata del internet de las cosas, y sigue sin recibir el trato de seguridad que recibe un servidor cualquiera.
Nadie audita lo que nadie mira.
Escribí hace años en El quinto elemento que el próximo 11S empezará con un clic. Sigo pensando que el vector no será un misil, sino un dispositivo olvidado en una pared que alguien actualizó por última vez en 2019. En España hay 8.000 infraestructuras críticas catalogadas y una parte de la videovigilancia perimetral cuelga de fabricantes con ciclos de firmware larguísimos.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza. Ciberataque basado en la explotación de una funcionalidad legítima del fabricante —el túnel P2P Easy4IP— combinada con debilidades de autenticación documentadas desde 2021. No es una vulnerabilidad de día cero: es la conversión de una comodidad de instalación en un canal de acceso persistente. Lo relevante es que el atacante no necesita tocar la red de la víctima; le basta con hablar con la nube del fabricante.
Agencias implicadas. Atacante: sin atribución pública. CERT-UA no identifica actor, ni sello de APT, ni infraestructura de mando y control. Defensora: el propio CERT-UA, dependiente del Servicio Estatal de Comunicaciones Especiales de Ucrania. Terceros interesados: cualquier servicio con capacidad SIGINT sobre el tráfico hacia nubes de fabricantes chinos, desde el aparato de contrainteligencia ruso hasta los socios de Five Eyes. El CNI y el CCN-CERT no aparecen en la alerta, pero les afecta de lleno: hay miles de instalaciones Dahua en suelo español y ninguna auditoría pública de cuántas mantienen Easy4IP activo.
Nivel de clasificación estimado. A juzgar por el contenido —ajustes de dispositivo, cuentas creadas, rótulos sobreimpresos en el vídeo— estimo material de nivel Reservado en su origen, escalable a Confidencial si las cámaras comprometidas pertenecen a instalaciones de defensa, energía o transporte. La alerta pública se queda en el nivel técnico y no nombra objetivos. Eso no es prudencia: es compartimentación.
Hay un punto débil en este análisis y no pienso esconderlo. La nube de Dahua es infraestructura china y la tentación de atribuir el acceso a un servicio estatal es altísima. No existe prueba técnica pública que lo sostenga. La atribución en ciberguerra exige correlacionar tres cosas: infraestructura, código y patrón temporal. Aquí solo tenemos la alerta de una agencia que, además, está en guerra. Puede consultarse el detalle técnico de una de las vulnerabilidades en la ficha de CVE-2021-33044 en el NIST.
Con la atribución no se especula. Se documenta.
Lo que sí es seguro es el coste. Un acceso así entrega plano de instalación, horarios de personal, rutinas de apertura de puertas y, de propina, audio si el equipo lo capta. Para una operación HUMINT de reclutamiento, eso vale más que cualquier dead drop. Le adelanto el siguiente hito verificable: las recomendaciones de CERT-UA obligan a revisar todos los equipos Dahua de la red, incluidos los olvidados. El primer informe técnico independiente sobre cuántos siguen con Easy4IP expuesto dirá más que cien comunicados oficiales.
Mientras tanto, apague la función. Hoy.
