هکرها از طریق نرم افزار دوربین مدار بسته هک شده به شبکه های شرکت نفوذ می کنند

مهاجمان از نرم افزار مدیریت دوربین برای دستیابی به دسترسی اولیه و پایداری در شبکه ها سوء استفاده کردند

کمپین از بارگذاری جانبی DLL و پوسته های معکوس برای فرار از شناسایی و حفظ کنترل استفاده کرد

محققان توصیه می‌کنند که سیستم‌های دوربین به عنوان دارایی‌های حساس امنیتی تلقی شوند و آنها از نظر فعالیت‌های غیرعادی نظارت شوند محققان امنیتی نسبت به یک کمپین در حال انجام با هدف قرار دادن یک آسیب پذیری آشکار در نرم افزار مدیریت دوربین هشدار داده اند. این آسیب‌پذیری برای دسترسی اولیه استفاده می‌شود و به عوامل تهدید این امکان را می‌دهد تا جای پای خود را در زیرساخت‌های شرکت ایجاد کنند.

زنگ‌های هشدار توسط سازمان امنیتی Huntress به صدا درآمد، که محققین آن هارلان کاروی و لیندزی اودانل ولش گفتند که در سپتامبر و اکتبر 2026، آنها "معده‌ای از حوادث" را مشاهده کردند که از نرم‌افزار مدیریت دوربین سرچشمه می‌گرفت.

در همه موارد، مهاجمان از سیستم مدیریت قانونی دوربین سوء استفاده کردند تا یک فایل DLL مخرب را بارگذاری کنند و به سیستم اصلی دسترسی پیدا کنند.

چه کسی نگهبانان را تماشا می کند؟

با کمال تعجب، این تیم نتوانست تشخیص دهد کدام نرم افزار دوربین هدف قرار گرفته است و نه توسط چه کسی.

آنها گفتند: «تحلیل‌گران Huntress نتوانستند نام کامل یا سازنده/فروشنده نرم‌افزار را تعیین کنند، زیرا فایل حاوی بخش اطلاعات نسخه فایل تعبیه‌شده نبود».

با این حال، آنها یک فایل اجرایی حاوی چند رشته قابل توجه پیدا کردند، که باعث شد فکر کنند یک شرکت کره ای به نام 3R Global می تواند در آن دخیل باشد. با این حال، آنها نمی توانستند با اطمینان بگویند که فایل اجرایی سیستم مدیریت دوربین (CMS) از وب سایت آن شرکت دانلود شده است.

متأسفانه، بدون دانستن نام دقیق نرم افزاری که هدف قرار گرفته است، نمی توان گفت که تعداد قربانیان این حمله چقدر بوده یا سطح حمله چقدر است. لقب «مشتی» هانترس برای توضیح این که چقدر این آسیب‌پذیری خطرناک است، بسیار کم است.

در حالی که فقدان داده‌های کلیدی دید آن‌ها را محدود می‌کرد که دقیقا چگونه عوامل تهدید نرم‌افزار را به خطر می‌اندازند، آنها می‌توانستند ببینند که چه کاری انجام می‌دهند پس از ورود به داخل - راه‌اندازی یک پوسته معکوس و بارگذاری جانبی DLL‌های مخرب.

هنگامی که دسترسی اولیه ایجاد شد، مهاجمان فایلی به نام rs.win32.exe را به نقطه پایانی رها می کردند و آن را از طریق خط فرمان راه اندازی می کردند. خط فرمان یک آدرس IP و پورت راه دور را ارائه می‌کند و یک نام کاربری مدیر را در بر می‌گیرد.

از آنجا، آنها فایلی به نام WpcMon.exe را رها می کنند - یک فایل قانونی نظارت بر کنترل والدین مایکروسافت ویندوز، که برای ویژگی های کنترل والدین و نظارت بر فعالیت استفاده می شود. اما در این مورد، فایل برای بارگیری DLL های مخرب به نام های IPHLPAPI.DLL و samcli.dll استفاده می شود. در ظاهر، هر دو کتابخانه فشرده سازی zlib مشروع به نظر می رسند، اما در واقع، آنها برای ارائه beaconing تغییر یافته و هر از گاهی با سرور خارجی C2 تماس می گیرند.

هانترس نگهبانان را در حال تماشای نگهبانان تماشا می کند

محققان توضیح دادند: "بخشی از فرآیند آلودگی همچنین شامل ایجاد پایداری با افزودن یک مرجع به WpcMon.exe تازه نصب شده در مقداری زیر کلید Run کاربر بود." عاملان تهدید معمولا یک مسیر برنامه را به کلید رجیستری Run کاربر اضافه می‌کنند تا هر زمان که کاربر وارد سیستم شود ویندوز به‌طور خودکار بار خود را راه‌اندازی می‌کند.

بارگذاری جانبی فایل های DLL مخرب یک تکنیک عفونت محبوب است. مهاجمان به‌جای استقرار یک برنامه بدیهی (که ممکن است توسط محصولات آنتی‌ویروس پرچم‌گذاری می‌شود)، یک فایل DLL حاوی کدهای مسلح‌شده را رها کنند و سپس یک برنامه قانونی (مانند نرم‌افزار کنترل والدین) برای اجرای آن دریافت کنند. از آنجایی که فرآیند با یک فایل اجرایی قانونی شروع می شود، شناسایی به عنوان مخرب دشوارتر است.

با این حال، فرار از نرم افزار امنیتی را تضمین نمی کند.

هانترس هشدار داد که مدافعان باید دوربین ها و پلتفرم های مدیریتی آنها را به عنوان نقاط ورود بالقوه به محیط کسب و کار گسترده تر در نظر بگیرند. آنها باید نرم افزار را موجودی کنند، دسترسی به آن را محدود کرده و فرآیندهای غیرعادی و اتصالات خروجی را نظارت کنند.

محققان همچنین به مدافعان توصیه می‌کنند که از کنترل برنامه‌ها برای جلوگیری از اجرای فایل‌های اجرایی و DLL تایید نشده در مسیرهای قابل نوشتن توسط کاربر استفاده کنند و دنباله‌ای از CMS.exe، rs.win32.exe، WpcMon.exe غیرعادی و اتصالات خروجی تایید نشده را بررسی کنند.