Atacantes Exploram Software de Gestão de Câmeras para Acesso Inicial

Resumo

Os atacantes estão comprometendo o software de gerenciamento de câmeras para obter acesso inicial a ambientes empresariais. Após estabelecer o acesso, eles implantam um shell reverso e usam o sideloading de DLL através de binários legítimos do Windows para manter a persistência e estabelecer a comunicação de comando-e-controle. Esta abordagem permite que o código malicioso seja executado junto com processos de sistema confiáveis e ajuda os atacantes a evadir a detecção.

Investigação

Analistas da Huntress identificaram uma campanha na qual CMS.exe serviu como o ponto de entrada inicial. A investigação revelou a implantação de rs.win32.exe em diretórios graváveis pelo usuário, seguida pelo abuso de WpcMon.exe para carregar DLLs zlib modificadas. A análise de rede também confirmou atividades de comunicação com um IP externo específico.

Mitigação

As organizações devem inventariar as plataformas de gerenciamento de câmeras, restringir o acesso a elas e tratar esses sistemas como parte da superfície crítica de ataque. Implementar controle de aplicativos para evitar que executáveis e DLLs sejam iniciados em locais graváveis pelo usuário, como AppData é fortemente recomendado. Defensores também devem monitorar cadeias de processos incomuns envolvendo binários legítimos do Windows.

Resposta

Quando essa atividade é detectada, as equipes de segurança devem isolar os endpoints afetados para evitar movimento lateral adicional ou comunicação C2. Revisar árvores de processos para instâncias de CMS.exe or rs.win32.exe lançando WpcMon.exe de diretórios não padrão. Conduzir uma busca abrangente no ambiente para as DLLs maliciosas identificadas e o endereço IP C2 associado.

Execução de Simulação

• Narrativa & Comandos de Ataque: O adversário obteve com sucesso o acesso inicial por meio de um anexo de phishing. Para estabelecer persistência e comando-e-controle, eles pretendem usar uma técnica “Living off the Land” (LotL). Eles utilizarão rundll32.exe para executar uma solicitação de rede para o servidor C2 conhecido 144.172.116.37. Isso é feito para se misturar com processos legítimos do sistema Windows, tornando mais difícil para as detecções baseadas apenas no nome do processo identificar a atividade maliciosa. O objetivo é acionar a regra de firewall gerando uma conexão para o IP na lista negra.

• Script de Teste de Regressão:

  # Script de simulação para acionar a regra de detecção do IP C2
  # Usamos rundll32 para iniciar uma conexão com o IP alvo
  # Nota: Isso pode gerar um erro no console, pois o IP não é um ponto de entrada válido de DLL,
  # mas a tentativa de conexão de rede será registrada pelo SO/Firewall.
  
  $C2_IP = "144.172.116.37"
  Write-Host "Simulando conexão C2 para $C2_IP via rundll32.exe..."
  Start-Process "rundll32.exe" -ArgumentList "javascript:alert('C2_SIM');$C2_IP" -WindowStyle Hidden
  
  # Método alternativo usando PowerShell para garantir tentativa de conexão
  Write-Host "Tentando conexão TCP para $C2_IP na porta 443..."
  $tcpClient = New-Object System.Net.Sockets.TcpClient
  try {
      $tcpClient.Connect($C2_IP, 443)
  } catch {
      Write-Host "Conexão falhou como esperado (IP provavelmente inalcançável), mas a telemetria deve ser gerada."
  } finally {
      $tcpClient.Close()
  }

• Comandos de Limpeza:

  # Nenhum artefato persistente é criado por esta simulação específica
  Write-Host "Limpeza da simulação completa. Nenhum arquivo ou chave de registro modificado."