Злоумышленники, вероятно, проникли через ПО для управления камерами

Huntress зафиксировала несколько инцидентов, в которых злоумышленники, по всей видимости, получили первоначальный доступ через программное обеспечение для управления камерами, а затем использовали скомпрометированные среды для развертывания вредоносного ПО.

Расследователи не смогли точно установить способ компрометации программы: им не удалось однозначно определить её поставщика или найти журналы приложений. Домен 3r-dataware.com, связанный с южнокорейской компанией 3R Global, может дать представление об источнике программы, однако однозначную связь не установили.

Получив доступ, злоумышленники поместили файл rs.win32.exe и использовали легитимный исполняемый файл Windows WpcMon.exe из папки AppData пользователя для подмены вредоносных библиотек DLL. Файлы IPHLPAPI.DLL и samcli.dll, по всей видимости, были модифицированными версиями библиотек сжатия zlib. Их дополнительная функциональность периодически отправляла сигналы на сервер управления по адресу 144.172.116.37. Для закрепления злоумышленники использовали ключ Run в Windows.

По оценке Huntress, скомпрометированная платформа управления камерами может стать путём проникновения в более широкую среду, а подмена DLL (DLL sideloading) через доверенный исполняемый файл Windows может сделать вредоносный код менее заметным. Авторы отчёта рекомендуют:

• рассматривать программное обеспечение для управления камерами как часть корпоративной поверхности атаки;
• ограничивать доступ к этому программному обеспечению;
• ограничивать выполнение кода из расположений, доступных для записи пользователям;
• расследовать подозрительную активность процессов и исходящих соединений.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.