Виявлено небезпечну кампанію, яка використовує вразливості в програмному забезпеченні для керування камерами відеоспостереження. Зловмисники отримують первинний доступ до корпоративних мереж, що дозволяє їм закріпитися на інфраструктурі компаній. Фахівці з кібербезпеки застерігають щодо зростаючої загрози.
Дослідники з компанії Huntress повідомили про серію інцидентів, що відбувалися протягом вересня та жовтня 2026 року. У всіх випадках кіберзлочинці застосовували легітимне програмне забезпечення для керування камерами, щоб завантажити шкідливий DLL-файл, який надавав їм доступ до операційної системи.
Незважаючи на детальний аналіз, команда Huntress не змогла точно встановити, програмне забезпечення яких саме виробників було скомпрометоване, і хто стоїть за цими атаками. Файли не містили інформації про версію, що ускладнювало ідентифікацію.
Однак, у одному з виявлених файлів були присутні рядки, що наштовхують на думку про причетність південнокорейської компанії 3R Global. Точно визначити, чи було виконане програмне забезпечення CMS (Camera Management System) завантажене з офіційного сайту цієї компанії, не вдалося.
Відсутність конкретних даних щодо назви програмного забезпечення робить неможливим визначення точної кількості постраждалих компаній та масштабу потенційної загрози. Словосполучення “кілька інцидентів” від Huntress не дає чіткого розуміння реальної небезпеки.
Під час атаки, після отримання первинного доступу, зловмисники розгортали файл rs.win32.exe на комп’ютерах жертв. Потім запускали його через командний рядок, вказуючи віддалену IP-адресу та порт, а також облікові дані адміністратора. Це свідчить про використання зворотної оболонки.
Далі використовувався легітимний файл WpcMon.exe, який є частиною системи батьківського контролю Windows. Однак, у цьому випадку він застосовувався для завантаження шкідливих DLL-файлів: IPHLPAPI.DLL та samcli.dll. Зовні вони виглядають як стандартні бібліотеки для роботи з мережею, але насправді надавали зловмисникам можливість постійного зв’язку із сервером керування.
Для забезпечення стійкості в мережі, атакувальники додавали посилання на встановлений WpcMon.exe до реєстрового ключа “Run” користувача. Це гарантувало автоматичний запуск шкідливого програмного забезпечення при кожному вході користувача в систему.
Завантаження шкідливих DLL-файлів є поширеною технікою. Замість запуску очевидно небезпечних програм, зловмисники використовують легітимні додатки для запуску зловмисного коду. Це ускладнює виявлення атак антивірусними програмами.
Huntress рекомендує розглядати камери спостереження та їх програмне забезпечення як потенційні точки входу до корпоративних мереж. Необхідно проводити інвентаризацію програмного забезпечення, обмежувати доступ до нього та відслідковувати підозрілу активність.
Також радять використовувати засоби контролю додатків для блокування запуску неавторизованих виконуваних файлів та DLL-бібліотек. Важливо аналізувати послідовність запуску CMS.exe, rs.win32.exe, нетипової роботи WpcMon.exe та несанкціонованих вихідних з’єднань.
