Хакери са компрометирали софтуер за управление на охранителни камери, за да разпространяват зловреден код на компютри с Windows, използвайки легитимна програма на Microsoft за изпълнение на злонамерен код и поддържане на достъп.
Дейността показва как софтуерът, използван за управление на системи за видеонаблюдение, може да се превърне във входна точка към корпоративните мрежи. Инцидентите следват сходен модел: атакуващите получават достъп през приложението за камери, внедряват предполагаем reverse shell и използват техниката DLL sideloading за осъществяване на връзка с външен сървър.
Подобно на по-ранни случаи, свързани със злоупотреба с инструменти за мониторинг, тази активност подчертава рисковете, свързани със софтуер, ползващ се с доверие за рутинни операции.
Изследователи от Huntress са идентифицирали активността на зловредния софтуер в средите на няколко клиента през септември и октомври 2026 г.
В разследването си от 27 октомври Харлан Карви и Линдзи О'Донъл-Уелч описват няколко инцидента, свързани с компрометиран софтуер за управление на камери, като същевременно отбелязват значителни пропуски в изясняването на първоначалния пробив.
Хакери компрометират софтуер за управление на камери
В засегнатото приложение липсва вградена информация за версията на файла, което пречи на изследователите да потвърдят пълното име на продукта или неговия разработчик.
Те също така не успяват да открият регистрационни файлове (logs) на приложението, което оставя неизяснен точния метод, използван за компрометиране на софтуера. Докладът не идентифицира конкретна уязвимост или CVE.
Разследващите откриват низове, свързващи изпълнимия файл с домейн, асоцииран с корейската компания 3R Global. Пакет за управление на камери, достъпен през друг уебсайт, съдържа съвпадащи низове.
Въпреки това от Huntress подчертават, че тези съвпадения не установяват категорично самоличността на доставчика и не доказват откъде засегнатите клиенти са се сдобили със софтуера.
След получаване на достъп атакуващите са поставили изпълним файл в директорията с данни на приложението на потребителя (AppData). Неговите параметри на командния ред указват отдалечен адрес, порт за връзка и стойности за удостоверяване.
В комбинация с местоположението му в папка с права за запис, тези детайли карат изследователите да определят програмата като reverse shell. След това атакуващите копират Windows Parental Control Monitor в друга папка с данни на приложения.
От Huntress потвърждават, че този изпълним файл е оригинален файл на Microsoft, но необичайното му местоположение разкрива злоупотребата. Подобни случаи на sideloading през VLC и VMware демонстрират защо самият надежден изпълним файл не може да гарантира, че намиращите се в същата директория библиотеки са безопасни.
В този случай програмата на Microsoft зарежда зловредни DLL библиотеки, поставени редом с нея. Библиотеките наподобяват легитимни компоненти за компресиране zlib, но са били модифицирани, за да се свързват периодично със сървър за управление и контрол (C2).
Тази техника, наричана DLL sideloading, позволява на киберпрестъпниците да изпълняват своя код чрез иначе легитимно приложение.
Разграничението е съществено, тъй като самият изпълним файл не е злонамереният код. Неговата роля е била да зареди контролираните от атакуващите библиотеки от съответната папка.
Проверката само на идентичността на файла на Microsoft, без да се анализират неговото местоположение, заредените DLL файлове, родителският процес и мрежовата активност, би пропуснала доказателствата, свързващи привидно нормалния компонент на Windows с по-широката верига на заразяване.
Устойчивост, засичане и приоритети при защита
Атакуващите са запазили постоянен достъп, като са добавили преместения изпълним файл на Microsoft към системния регистър в Run ключа на потребителя. По този начин Windows го стартира при всяко влизане на потребителя в системата, задействайки отново веригата на зареждане.
Всеки разследван инцидент включва комуникация с един и същ IP адрес за управление и контрол, посочен по-долу. За защитниците най-полезният сигнал е свързаната последователност от събития, а не отделното име на файл.
Софтуер за камери, стартиращ неочакван изпълним файл, последван от компонент на Microsoft, работещ от папка с права за запис и осъществяващ необичайни изходящи връзки, изисква задълбочено разследване. Huntress препоръчва специално да се анализира тази верига от процеси.
Организациите трябва да направят опис на приложенията за управление на камери, да ограничат достъпа до тях и да наблюдават мрежовата им активност. По-ранните атаки с DLL sideloading чрез EggStreme също са злоупотребявали с изпълним файл на Windows от папка с данни на приложения, което затвърждава важността на проверката на локациите на изпълнение.
Където е приложимо, Huntress препоръчва контроли за приложения, които блокират неодобрени изпълними файлове и DLL в директории с права за запис от потребителя. Разследването също така очертава граници относно изводите, които организациите могат да направят.
Huntress не установява как е извършен първоначалният пробив в софтуера за камери, а наличните доказателства не дават основание това да се определя като потвърден пробив по веригата за доставки на доставчика.
Непосредственият извод е по-конкретен: приложенията за управление на камери се нуждаят от същия контрол и наблюдение на крайните точки, както всеки друг бизнес софтуер, вместо да бъдат напълно пренебрегвани.
Индикатори за компрометиране (IoCs):-
| Тип | Индикатор | Контекст |
|---|---|---|
| SHA256 | 1fb4af4862643dcab1459872f723f574f1a588855b020916b600df5c20681144 | rs.win32.exe; предполагаем reverse shell |
| SHA256 | 8f8e88c54a9c56174974711eff99b4beb79536642fcca1902acdc3d4b1fd1035 | Зловреден samcli.dll |
| SHA256 | 70b2345302264c41504d59e6a63d6d908969740424b42b7373f10b4c8d74c87a | Зловреден IPHLPAPI.DLL |
| C2 адрес | 144.172.116[.]37 | Споделен между наблюдаваните инциденти |
| Път на приложението | C:\Program Files (x86)\CMS\CMS.exe | Първоначално приложение; изисква се контекст |
| Директория за разполагане | C:\Users\<user>\AppData\Roaming\CMS\RemoteSetup\ | Местоположение на внедрения reverse shell |
| Директория за sideloading | C:\Users\<user>\AppData\Local\Microsoft\WpcMon\ | Местоположение за зареждане на релокирания WpcMon.exe |
| Параметри на изпълнение | -p '8000'; 'admin'; '1234567a7654321' | Наблюдавани стойности за порт и автентикация |
| Вградени низове | developerslavery; d3e3v4e3l9o9p0e3r4s2l9a1v4e3r4y6 | Единствено улики за идентификация на софтуера |
| Вграден URL | hxxp://cloudapi.3r-dataware[.]com/sso/ | Улика за произхода на софтуера; не е потвърден C2 |
| Свързани домейни | 3r-dataware[.]com; kvision[.]ai | Контекст на разследването, не са потвърдени като зловредни |
Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно разрешаване на имена или хипервръзки. Възстановете оригиналния вид само в контролирани платформи за анализ на заплахи като MISP, VirusTotal или вашата SIEM система.