Безбедносните истражувачи од Huntress предупредуваат на кампања во која напаѓачите користат софтвер за управување со CCTV-камери како влезна точка во корпоративни мрежи. Случаите биле забележани во септември и октомври 2026 година, а истражувачите идентификувале неколку инциденти со сличен начин на компромитирање.

Напаѓачите злоупотребувале легитимен систем за управување со камери за да вчитаат злонамерни DLL-датотеки. Оваа техника, позната како DLL sideloading, се потпира на доверлива извршна датотека која потоа активира изменета библиотека со штетен код. Поради тоа што процесот почнува со легитимен софтвер, ваквата активност може потешко да се препознае како закана.

Huntress не успеал со сигурност да го утврди точниот назив ниту производителот на засегнатиот софтвер. Анализираната датотека немала вградени информации за верзијата, но одредени ознаки во извршната датотека укажувале на можна поврзаност со корејската компанија 3R Global. Сепак, нема потврда дека софтверот бил преземен од страницата на таа компанија.

По почетниот пристап, напаѓачите поставувале датотека наречена rs.win32.exe и ја стартувале со команда што содржела оддалечена IP-адреса, порта и администраторско корисничко име. Според истражувачите, ова укажува на употреба на reverse shell, односно механизам што овозможува далечинска контрола врз компромитираниот систем.

Потоа бил користен WpcMon.exe, легитимна Windows-датотека поврзана со родителските контроли и следењето на активностите. Наместо вообичаената намена, таа служела за вчитување на злонамерни DLL-датотеки именувани како IPHLPAPI.DLL и samcli.dll. Тие се претставувале како библиотеки за компресија zlib, но биле изменети за периодично да комуницираат со надворешен команден сервер.

За да останат активни и по ново најавување во Windows, напаѓачите додавале запис за WpcMon.exe во Run-клучот на корисникот во системскиот регистар. Така, програмата автоматски се стартува при пријавување.

Huntress препорачува системите за камери и нивните платформи за управување да се третираат како чувствителни безбедносни средства. Организациите треба да имаат евиденција за инсталираниот софтвер, да го ограничат пристапот и да следат невообичаени процеси и излезни мрежни врски.