Hackers entran en redes empresariales mediante software de gestión de cámaras

Investigadores de seguridad afirman que los atacantes han utilizado software de gestión de cámaras para obtener acceso inicial a sistemas empresariales. Los investigadores de Huntress Harlan Carvey y Lindsey O'Donnell-Welch observaron un «puñado de incidentes» en septiembre y octubre de 2026. No pudieron identificar el software atacado ni determinar cuántas víctimas hubo.

En todos los incidentes, los atacantes abusaron de un sistema legítimo de gestión de cámaras para cargar lateralmente una DLL maliciosa y acceder al sistema subyacente. Huntress indicó que no pudo confirmar quién creó el software. Algunas cadenas de texto de un ejecutable apuntaban a un posible vínculo con la empresa surcoreana 3R Global, pero los investigadores no pudieron confirmar que procediera de su sitio web.

Tras obtener acceso, los atacantes, según el informe, iniciaron una shell inversa mediante rs.win32.exe. La línea de comandos incluía una dirección IP remota, un puerto y un nombre de usuario administrador. Después utilizaron el archivo legítimo de Windows WpcMon.exe para cargar las DLL maliciosas IPHLPAPI.DLL y samcli.dll. Los archivos parecían bibliotecas de compresión zlib, pero habían sido modificados para contactar con un servidor externo de mando y control.

Huntress también señaló que los atacantes añadieron WpcMon.exe a la clave Run del registro de un usuario para que se ejecutara al iniciar sesión. Los investigadores recomendaron inventariar el software de cámaras, restringir su acceso y vigilar procesos y conexiones salientes inusuales. También aconsejaron usar controles de aplicaciones para impedir que se ejecuten archivos y DLL no aprobados en rutas donde los usuarios puedan escribir.