Güvenlik araştırmacıları, saldırganların şirket sistemlerine ilk erişimi sağlamak için kamera yönetim yazılımı kullandığını söylüyor. Huntress araştırmacıları Harlan Carvey ve Lindsey O'Donnell-Welch, Eylül ve Ekim 2026'da “birkaç olay” gözlemledi. Hedef alınan yazılımı belirleyemediler ve kaç kurbanın etkilendiğini saptayamadılar.
Saldırganlar her olayda meşru bir kamera yönetim sistemini kötüye kullanarak zararlı bir DLL dosyasını yanına yükledi ve temel sisteme erişti. Huntress, yazılımı kimin geliştirdiğini doğrulayamadığını belirtti. Bir çalıştırılabilir dosyadaki dizeler, Güney Koreli 3R Global şirketiyle olası bir bağlantıya işaret etti; ancak araştırmacılar dosyanın şirketin web sitesinden geldiğini doğrulayamadı.
Erişim sağladıktan sonra saldırganların, uzak IP adresi, bağlantı noktası ve yönetici kullanıcı adı içeren bir komut satırıyla rs.win32.exe üzerinden ters kabuk başlattığı bildirildi. Ardından meşru Windows dosyası WpcMon.exe'yi kullanarak IPHLPAPI.DLL ve samcli.dll adlı zararlı DLL dosyalarını yüklediler. Dosyalar zlib sıkıştırma kitaplıkları gibi görünüyordu, ancak harici bir komuta ve kontrol sunucusuyla iletişim kuracak şekilde değiştirilmişti.
Huntress, saldırganların WpcMon.exe'yi kullanıcı oturum açtığında çalışması için kullanıcının Run kayıt defteri anahtarına da eklediğini söyledi. Araştırmacılar savunma ekiplerine kamera yazılımlarını envantere almalarını, erişimi kısıtlamalarını ve olağandışı işlemleri ve dış bağlantıları izlemelerini önerdi. Ayrıca kullanıcıların yazabildiği konumlarda onaylanmamış çalıştırılabilir dosyaları ve DLL'leri engellemek için uygulama denetimi kullanılmasını tavsiye etti.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.