Una campaña detectada en septiembre y octubre de 2026 pone de relieve un riesgo que a menudo pasa inadvertido: los sistemas de gestión de cámaras pueden convertirse en puntos de acceso a la infraestructura empresarial. Investigadores de Huntress observaron varios incidentes en los que los atacantes aprovecharon software de gestión de cámaras para acceder a equipos y mantener su presencia en la red.
Según los investigadores Harlan Carvey y Lindsey O’Donnell-Welch, los atacantes utilizaron una técnica conocida como carga lateral de DLL. En lugar de ejecutar directamente un archivo claramente malicioso, recurrieron a programas legítimos para cargar bibliotecas modificadas que contenían código dañino. Esta estrategia puede dificultar la detección, aunque no garantiza que las herramientas de seguridad no identifiquen la actividad.
## Un software cuya identidad sigue sin estar clara
Huntress no pudo determinar el nombre completo ni el proveedor del software afectado. El archivo analizado carecía de información de versión integrada. Algunos indicios apuntaban a una posible relación con la empresa surcoreana 3R Global, pero los investigadores no pudieron confirmar que el ejecutable de gestión de cámaras procediera de su sitio web.
Esta falta de información también impide establecer con precisión cuántas organizaciones resultaron afectadas o cuál es el alcance de la exposición. Por ello, los hallazgos describen una actividad preocupante, pero no permiten medir por completo la magnitud de la campaña.
## Shell inversa y persistencia en el equipo
Una vez obtenido el acceso inicial, los atacantes depositaban un archivo llamado `rs.win32.exe` y lo ejecutaban desde la línea de comandos, indicando una dirección IP remota y un puerto. Huntress interpretó esta configuración como una shell inversa, que permite a un atacante controlar el equipo a través de una conexión iniciada desde el sistema comprometido.
Después, los intrusos introducían `WpcMon.exe`, un ejecutable legítimo de Microsoft asociado a funciones de control parental y supervisión de actividad. En este contexto, el programa se utilizaba para cargar las DLL maliciosas `IPHLPAPI.DLL` y `samcli.dll`. Aunque parecían bibliotecas legítimas relacionadas con la compresión zlib, habían sido modificadas para comunicarse periódicamente con un servidor de comando y control.
La campaña también incorporaba un mecanismo de persistencia. Los atacantes añadían una referencia a `WpcMon.exe` en una clave «Run» del Registro de Windows, de modo que el programa se iniciara automáticamente cuando el usuario volviera a iniciar sesión.
## Cómo reducir el riesgo
Los sistemas de cámaras y sus plataformas de gestión deben tratarse como activos sensibles, no como dispositivos periféricos aislados. Si tienen acceso a la red corporativa, pueden ofrecer una vía hacia otros sistemas cuando no se inventarían, restringen y supervisan adecuadamente.
Huntress recomienda a las organizaciones:
– Mantener un inventario actualizado del software de gestión de cámaras y limitar quién puede acceder a él.
– Aplicar controles de aplicaciones para impedir la ejecución de programas y DLL no autorizados desde rutas donde los usuarios puedan escribir.
– Vigilar procesos inusuales y conexiones salientes, especialmente las dirigidas a destinos externos desconocidos.
– Investigar la aparición de `CMS.exe`, `rs.win32.exe` o versiones anómalas de `WpcMon.exe`, así como cualquier conexión externa no aprobada relacionada con ellos.
La campaña demuestra que la seguridad de una organización también depende de los sistemas que suelen quedar fuera de la gestión cotidiana de TI. Incorporarlos al inventario, restringir su acceso y monitorizar su actividad puede ayudar a detectar una intrusión antes de que se extienda por la red.
from Latest from TechRadar https://ift.tt/OecSLA6
via IFTTT IA
