Атакуващи проникват в бизнес мрежи чрез софтуер за управление на охранителни камери, сочат нови данни от компанията за киберсигурност Huntress, която проследи няколко инцидента през септември и октомври обратно до компрометирано приложение.

Неидентифицирано приложение

Анализаторите на компанията не успяха да определят със сигурност конкретния софтуер, а поради липсата на открити регистрационни файлове (logs), свързани с приложението, не можаха да установят и точния начин, по който атакуващите са го компрометирали.

Изпълнимият файл на софтуера – CMS.exe – „не съдържаше вградена секция с информация за версията на файла“, но част от откритите символни низове насочват към вероятен производител: корейска компания, предлагаща аналогови и IP камери, както и цифрови и мрежови видеорекордери.

Низовете включват уеб адрес към домейн, свързан с компанията, а CMS пакет със същите характерни низове се предлага за изтегляне от вероятно свързана търговска марка. Въпреки това анализаторите от Huntress подчертават, че това е само възможен източник, а не потвърдена връзка с доставчика.

Ограничаване на риска и търсене на заплахи

Това, което анализаторите успяха да проследят ясно, бяха действията на атакуващите след проникването – дейност, оставила последователни следи, които специалистите по защита могат да търсят:

  • Файл с име rs.win32.exe, използван като обратна обвивка (reverse shell), разположен в потребителската папка AppData\Roaming\CMS\RemoteSetup и стартиран от CMS.exe
  • Копие на легитимния файл на Microsoft WpcMon.exe в AppData\Local\Microsoft\WpcMon, вместо в обичайното му местоположение в системната папка на Windows
  • Две зловредни библиотеки (DLL), IPHLPAPI.DLL и samcli.dll, маскирани като библиотеки за компресиране zlib и странично заредени (sideloaded) от WpcMon.exe
  • Стойност в системния регистър (Run registry key) на потребителя, сочеща към новоинсталирания WpcMon.exe, така че зловредният код да се стартира при всяко вписване в системата
  • Изходящи връзки към сървър за управление и контрол (C2) на адрес 144.172.116[.]37

„Екипите по сигурност често се фокусират върху софтуера, за който знаят, че е честа цел на киберпрестъпниците. Но слабости в сигурността могат да съществуват във всяка програма, функционираща в средата на дадена организация, включително инструменти, които може да не се разглеждат като част от традиционната повърхност на атака“, отбелязват анализаторите и съветват организациите да третират системите от камери и техните приложения за управление като потенциални входни точки в средата си.

„Бизнесът трябва да направи инвентаризация на софтуера, да ограничи достъпа му и да следи за необичайни процеси и изходящи връзки. Където е практически приложимо, организациите трябва също да използват контрол на приложенията, за да предотвратят стартирането на неодобрени изпълними файлове и DLL библиотеки от директории с права за запис от потребителя, както и да разследват последователността от CMS.exe, rs.win32.exe, анормален WpcMon.exe и неодобрени изходящи връзки“, обобщават те.