Фахівці з кібербезпеки виявили небезпечну кампанію, яка використовує вразливості в програмному забезпеченні для керування камерами відеоспостереження. Зловмисники отримують первинний доступ до корпоративних мереж і можуть закріпитися в їхній інфраструктурі. Дослідники компанії Huntress попереджають про зростаючу загрозу, адже камери часто залишаються поза увагою служб безпеки.
За даними Huntress, серія інцидентів відбувалася протягом вересня та жовтня 2026 року. У всіх випадках кіберзлочинці застосовували легітимне програмне забезпечення для керування камерами, щоб завантажити шкідливий DLL-файл, який давав їм доступ до операційної системи. Попри детальний аналіз, дослідники не змогли точно встановити, ПЗ яких саме виробників було скомпрометовано, і хто стоїть за атаками. Файли не містили інформації про версію, що ускладнювало ідентифікацію, а отже і оцінку того, наскільки широко поширена проблема.
В одному з виявлених файлів були рядки, які наштовхують на думку про причетність південнокорейської компанії 3R Global. Проте визначити, чи було ПЗ CMS (Camera Management System) завантажене з офіційного сайту цієї компанії, не вдалося. Через відсутність конкретних даних про назву програмного забезпечення неможливо встановити точну кількість постраждалих компаній і масштаб загрози. Формулювання про «кілька інцидентів» також не дає чіткого уявлення про реальні ризики для бізнесу.
Під час атаки, після отримання первинного доступу, зловмисники розгортали файл rs.win32.exe на комп’ютерах жертв і запускали його через командний рядок. Вони вказували віддалену IP-адресу, порт і облікові дані адміністратора, що свідчить про використання зворотної оболонки, тобто каналу, через який атакувальник може віддалено керувати заражено системою. Далі застосовувався легітимний файл WpcMon.exe, який є частиною системи батьківського контролю Windows. У цьому випадку він використовувався для завантаження шкідливих DLL-файлів IPHLPAPI.DLL та samcli.dll. Зовні вони схожі на стандартні мережеві бібліотеки, але насправді забезпечували постійний зв’язок зі сервером керування.
Для закріплення в мережі зловмисники додавали посилання на WpcMon.exe до реєстрового ключа «Run» користувача. Це гарантувало автоматичний запуск шкідливого ПЗ під час кожного входу в систему, тож доступ зберігався навіть після перезавантаження комп’ютера. Завантаження шкідливих DLL через легітимні застосунки є поширеною технікою: вона ускладнює виявлення атак антивірусними програмами, адже замість очевидно небезпечних файлів використовується довірений софт, який система вже сприймає як безпечний.
Huntress рекомендує розглядати камери спостереження та їхнє програмне забезпечення як потенційні точки входу до корпоративних мереж. Компаніям радять проводити інвентаризацію ПЗ, обмежувати доступ до нього та відстежувати підозрілу активність. Також пропонується використовувати засоби контролю застосунків, які блокують запуск неавторизованих виконуваних файлів і DLL-бібліотек. Важливо аналізувати послідовність запуску CMS.exe, rs.win32.exe, нетипової роботи WpcMon.exe та несанкціонованих вихідних з’єднань, адже саме така комбінація подій може вказувати на атаку.