Обнаружена опасная кампания, использующая уязвимости в программном обеспечении для управления камерами видеонаблюдения. Злоумышленники получают первичный доступ к корпоративным сетям, что позволяет им закрепиться в инфраструктуре компаний. Специалисты по кибербезопасности предостерегают о растущей угрозе.
Исследователи из компании Huntress сообщили о серии инцидентов, происходивших в течение сентября и октября 2026 года. Во всех случаях киберпреступники применяли легитимное программное обеспечение для управления камерами, чтобы загрузить вредоносный DLL-файл, который предоставлял им доступ к операционной системе.
Несмотря на детальный анализ, команда Huntress не смогла точно установить, программное обеспечение каких именно производителей было скомпрометировано, и кто стоит за этими атаками. Файлы не содержали информации о версии, что затрудняло идентификацию.
Однако, в одном из обнаруженных файлов присутствовали строки, наводящие на мысль о причастности южнокорейской компании 3R Global. Точно определить, было ли исполняемое программное обеспечение CMS (Camera Management System) загружено с официального сайта этой компании, не удалось.
Отсутствие конкретных данных относительно названия программного обеспечения делает невозможным определение точного количества пострадавших компаний и масштаба потенциальной угрозы. Словосочетание «несколько инцидентов» от Huntress не дает четкого понимания реальной опасности.
Во время атаки, после получения первичного доступа, злоумышленники разворачивали файл rs.win32.exe на компьютерах жертв. Затем запускали его через командную строку, указывая удаленный IP-адрес и порт, а также учетные данные администратора. Это свидетельствует об использовании обратной оболочки.
Далее использовался легитимный файл WpcMon.exe, который является частью системы родительского контроля Windows. Однако, в данном случае он применялся для загрузки вредоносных DLL-файлов: IPHLPAPI.DLL и samcli.dll. Внешне они выглядят как стандартные библиотеки для работы с сетью, но на самом деле предоставляли злоумышленникам возможность постоянной связи с сервером управления.
Для обеспечения устойчивости в сети, атакующие добавляли ссылку на установленный WpcMon.exe в реестровый ключ «Run» пользователя. Это гарантировало автоматический запуск вредоносного программного обеспечения при каждом входе пользователя в систему.
Загрузка вредоносных DLL-файлов является распространенной техникой. Вместо запуска очевидно опасных программ, злоумышленники используют легитимные приложения для запуска вредоносного кода. Это затрудняет обнаружение атак антивирусными программами.
Huntress рекомендует рассматривать камеры наблюдения и их программное обеспечение как потенциальные точки входа в корпоративные сети. Необходимо проводить инвентаризацию программного обеспечения, ограничивать доступ к нему и отслеживать подозрительную активность.
Также советуют использовать средства контроля приложений для блокировки запуска неавторизованных исполняемых файлов и DLL-библиотек. Важно анализировать последовательность запуска CMS.exe, rs.win32.exe, нетипичной работы WpcMon.exe и несанкционированных исходящих соединений.
