📹 Камеры видят всё. Кроме того, что их софт взломали. Huntress нашла бэкдор через ПО управления видеонаблюдением

Коллеги, когда охрана просит «поставить программку для камер на любой свободный компьютер» — это классический пролог к инциденту из отчёта Huntress.

📌 ФАКТЫ (Huntress, 27 октября)
В сентябре–октябре зафиксирована серия компрометаций через софт управления видеонаблюдением CMS.exe (C:\Program Files (x86)\CMS\). Точный вендор — OEM no-name из Китая (Xiongmai / General CMS софт, который пакуют под сотни брендов регистраторов)

Техника атаки: легитимный процесс CMS.exe дропает и спавнит rs.win32.exe в профиле пользователя (AppData\Roaming). Далее для обхода AV/EDR задействован классический DLL Sideloading: копия подписанного системного бинарника Родительского контроля Windows WpcMon.exe подтягивает вредоносные библиотеки-обманки IPHLPAPI.DLL и samcli.dll

Закрепление и C2: прописка в ветках автозагрузки реестра Run, активный маяк и обратный туннель на C2-адрес 144.172.116.37

🛠 ИНВЕНТАРИЗАЦИЯ И ПОИСК АРТЕФАКТОВ (PowerShell)
Запуск от имени администратора:

PowerShell

# 1. Проверяем наличие типового каталога CMS на диске
Test-Path 'C:\Program Files (x86)\CMS\CMS.exe'

# 2. Ищем дропнутые пейлоады и подозрительные DLL в профилях пользователей
Get-ChildItem -Path C:\Users\ -Recurse -Depth 4 -Include rs.win32.exe,WpcMon.exe,samcli.dll -ErrorAction SilentlyContinue |
  Select-Object FullName, Length, LastWriteTime

# 3. Аудит веток автозапуска Run (HKLM и HKCU)
Get-ItemProperty 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Run',
                 'HKLM:\Software\Microsoft\Windows\CurrentVersion\Run' | 
  Select-Object * -ExcludeProperty PS*

# 4. Проверка активных сетевых соединений к C2
Get-NetTCPConnection -RemoteAddress '144.172.116.37' -ErrorAction SilentlyContinue

Маркер компрометации: присутствие

WpcMon.exe

где-либо за пределами

C:\Windows\System32\

— 100% индикатор DLL Sideloading.

😅 ЖИЗНЕННОЕ
ПО для китайских камер обычно разворачивает монтажник систем безопасности с флешки десятилетней давности, дефолтный пароль на RTSP/ONVIF admin / 123456, патчей к этому бинарнику не существует в природе, а сам ПК физически подключён прямо в офисный коммутатор рядом с бухгалтерией и контроллером домена. Атакующим даже не потребовалось искать zero-day.

💡 В ЧЁМ СУТЬ

Любой noname видеонаблюдательный софт, DVR-клиенты и NVR-панели априори должны считаться враждебным кодом:

Сетевая изоляция: регистраторы и видеосерверы уходят в изолированный VLAN/L2 без шлюза в корпоративный сегмент.

Отдельный пост мониторинга: просмотр видео — строго с выделенного тонкого клиента/АРМ вне домена Active Directory.

AppLocker / Software Restriction Policies / WDAC: базовый запрет запуска исполняемых файлов (

.exe

,

.dll

,

.bat

) из пользовательских путей

%LocalAppData%

и

%AppData%

рубит эту цепочку исполнения на первом же шаге.

#security #cctv #windows #threathunting #юмор #sysadmin #admin_future