Hackare tar sig in i företagsnätverk via kamerahanteringsprogram

Säkerhetsforskare säger att angripare har använt kamerahanteringsprogram för att få initial åtkomst till företagssystem. Huntress-forskarna Harlan Carvey och Lindsey O'Donnell-Welch observerade ett ”fåtal incidenter” i september och oktober 2026. De kunde inte identifiera det utsatta programmet eller fastställa hur många offer som drabbats.

I varje incident missbrukade angriparna ett legitimt kamerahanteringssystem för att sidoladda en skadlig DLL och få åtkomst till det underliggande systemet. Huntress kunde inte bekräfta vem som utvecklat programmet. Strängar i en körbar fil tydde på en möjlig koppling till det sydkoreanska företaget 3R Global, men forskarna kunde inte fastställa att filen hade hämtats från företagets webbplats.

Efter att ha fått åtkomst startade angriparna enligt uppgift ett omvänt skal med rs.win32.exe. Kommandoraden innehöll en fjärr-IP-adress, en port och ett administratörsanvändarnamn. Därefter använde de den legitima Windows-filen WpcMon.exe för att läsa in de skadliga DLL-filerna IPHLPAPI.DLL och samcli.dll. Filerna såg ut som zlib-komprimeringsbibliotek men hade ändrats för att kontakta en extern kommando- och kontrollserver.

Huntress uppgav också att angriparna lade till WpcMon.exe i en användares Run-registernyckel så att programmet startade vid inloggning. Forskarna uppmanade försvarare att inventera kameraprogram, begränsa åtkomsten och övervaka ovanliga processer och utgående anslutningar. De rekommenderade även programkontroll för att blockera ej godkända körbara filer och DLL-filer i skrivbara användarkataloger.