Зловмисники Використовують Програмне Забезпечення Управління Камерами для Первинного Доступу

Резюме

Нападники компрометують програмне забезпечення для керування камерами, щоб отримати початковий доступ до підприємницьких середовищ. Після встановлення доступу вони розгортають зворотну оболонку та використовують завантаження DLL через легітимні бінарні файли Windows для підтримки стійкості та встановлення маячників командування і контролю. Цей підхід дозволяє виконувати шкідливий код поруч із довіреними системними процесами та допомагає нападникам уникати виявлення.

Дослідження

Аналітики Huntress ідентифікували кампанію, у якій CMS.exe служила початковою точкою входу. Розслідування виявило розгортання rs.win32.exe у каталогах з правами користувачів, після чого відбулося зловживання WpcMon.exe для побічного завантаження модифікованих бібліотек zlib DLL. Мережевий аналіз також підтвердив активність маячника, що спілкується з певною зовнішньою IP-адресою.

Захист

Організації повинні провести інвентаризацію платформ керування камерами, обмежити доступ до них і розглядати ці системи як частину критичної поверхні атаки. Запровадження контролю додатків, щоб запобігти запуску виконуваних файлів і DLL з каталогів з правами користувача, таких як AppData рекомендується. Захисникам слід також стежити за незвичайними ланцюгами процесів, що включають легітимні бінарні файли Windows.

Відповідь

Коли ця активність виявляється, команди безпеки повинні ізолювати уражені кінцеві точки, щоб запобігти подальшому бічному переміщенню або комунікаціям C2. Перевірте дерева процесів на випадки CMS.exe or rs.win32.exe запуску WpcMon.exe з нестандартних каталогів. Проведіть загальносистемне переслідування для виявлених шкідливих DLL і пов’язаної IP-адреси C2.

Виконання симуляції

• Сценарій атаки та команди: Супротивник успішно отримав початковий доступ через фішинговий додаток. Щоб встановити стійкість і командування і контроль, вони мають намір використати техніку “Життя поза землею” (LotL). Вони будуть використовувати rundll32.exe для виконання мережевого запиту до відомого сервера C2 144.172.116.37. Це робиться для того, щоб змішатися з легітимними системними процесами Windows, ускладнюючи для базових детекцій по іменах процесів ідентифікацію шкідливої активності. Мета — викликати правило фаєрволу шляхом генерування з’єднання з внесеною до чорного списку IP.

• Скрипт для регресійного тесту:

  # Скрипт симуляції для активації правила детекції C2 IP
  # Ми використовуємо rundll32 для ініціації з'єднання з цільовою IP
  # Зазначення: це може викликати помилку в консолі, оскільки IP не є дійсною точкою входу DLL, 
  # але спроба мережевого з'єднання буде зафіксована ОС/фаєрволом.
  
  $C2_IP = "144.172.116.37"
  Write-Host "Симуляція підключення C2 до $C2_IP через rundll32.exe..."
  Start-Process "rundll32.exe" -ArgumentList "javascript:alert('C2_SIM');$C2_IP" -WindowStyle Hidden
  
  # Альтернативний метод з використанням PowerShell для забезпечення спроби підключення
  Write-Host "Спроба TCP з'єднання з $C2_IP на порт 443..."
  $tcpClient = New-Object System.Net.Sockets.TcpClient
  try {
      $tcpClient.Connect($C2_IP, 443)
  } catch {
      Write-Host "Підключення невдале, як очікувалося (IP, мабуть, недосяжний), але телеметрія повинна бути згенерована."
  } finally {
      $tcpClient.Close()
  }

• Команди очищення:

  # Ця симуляція не створює постійних артефактів
  Write-Host "Очищення симуляції завершено. Файли або ключі реєстру не були змінені."