Взлом ПО для управления камерами открывает путь в корпоративные сети

Huntress связала несколько инцидентов в сентябре и октябре со взломом приложения CMS.exe для управления камерами. Атакующие запускают обратную оболочку rs.win32.exe, подменяют WpcMon.exe и подгружают вредоносные DLL, соединяясь с сервером 144.172.116.37.

• Вредоносный rs.win32.exe запускается из папки AppData\Roaming\CMS\RemoteSetup
• Копия WpcMon.exe размещена вне системной папки Windows и прописана в автозапуск
• DLL IPHLPAPI.DLL и samcli.dll замаскированы под библиотеки zlib
• Вендор ПО не подтверждён: строки указывают на корейского производителя камер