攻击者利用摄像机管理软件进行初始访问

摘要

攻击者正通过入侵摄像头管理软件来获得对企业环境的初始访问权限。在获取访问权限后，他们会部署反向 shell 并通过合法的 Windows 可执行文件使用 DLL 旁加载技术来保持持久性和建立命令与控制信标。该方法使恶意代码能够与受信任的系统进程一起执行，帮助攻击者逃避检测。

调查

Huntress 分析师识别出了一个活动，其 CMS.exe 被用作初始入口点。调查揭露了 rs.win32.exe 被部署在用户可写目录中，随后滥用 WpcMon.exe 以旁加载修改的 zlib DLL。网络分析还确认了与特定外部 IP 地址通信的信标活动。

缓解措施

组织应盘点摄像头管理平台，限制对它们的访问，并将这些系统视为关键攻击面的一部分。强烈建议实施应用程序控制，以防止从用户可写位置（如 AppData ）启动可执行文件和 DLL。防御者还应监控涉及合法 Windows 可执行文件的异常进程链。

响应

检测到此活动后，安全团队应隔离受影响的端点，以防止进一步的横向移动或 C2 通信。审查进程树中从非标准目录 CMS.exe or rs.win32.exe 启动 WpcMon.exe 的实例。进行环境范围的调查，以寻找识别出的恶意 DLL 和关联的 C2 IP 地址。

模拟执行

• 攻击叙述与命令： 攻击者已成功通过网络钓鱼附件获得初始访问。为了建立持久性和命令与控制，他们计划使用“依赖本地资源”技术（LotL）。他们将利用 rundll32.exe 来执行对已知 C2 服务器 144.172.116.37的网络请求。这是为了与合法的 Windows 系统进程混合在一起，增加仅通过进程名称检测方式识别恶意活动的难度。目标是通过生成与被列入黑名单 IP 的连接触发防火墙规则。

• 回归测试脚本：

  # 模拟脚本以触发 C2 IP 检测规则
  # 我们使用 rundll32 发起对目标 IP 的连接
  # 注意：这可能会在控制台中产生错误，因为 IP 不是有效的 DLL 入口点,
  # 但操作系统/防火墙会记录网络连接尝试。
  
  $C2_IP = "144.172.116.37"
  Write-Host "通过 rundll32.exe 模拟连接到 $C2_IP 的 C2..."
  Start-Process "rundll32.exe" -ArgumentList "javascript:alert('C2_SIM');$C2_IP" -WindowStyle Hidden
  
  # 使用 PowerShell 的替代方法以确保连接尝试
  Write-Host "尝试对 $C2_IP 的 TCP 连接，端口 443..."
  $tcpClient = New-Object System.Net.Sockets.TcpClient
  try {
      $tcpClient.Connect($C2_IP, 443)
  } catch {
      Write-Host "连接失败（IP 可能无法访问），但遥测应已生成。"
  } finally {
      $tcpClient.Close()
  }

• 清理命令：

  # 此特定模拟未创建持久性工件
  Write-Host "模拟清理完成。未修改任何文件或注册表键。"