Bezbednosni istraživači iz Huntress-a upozoravaju na kampanju u kojoj napadači koriste softver za upravljanje CCTV-kamerama kao ulaznu tačku u korporativne mreže. Slučajevi su zabeleženi u septembru i oktobru 2026. godine, a istraživači su identifikovali nekoliko incidenata sa sličnim načinom kompromitovanja.

Napadači su zloupotrebljavali legitiman sistem za upravljanje kamerama kako bi učitali zlonamerne DLL datoteke. Ova tehnika, poznata kao DLL sideloading, oslanja se na pouzdanu izvršnu datoteku koja zatim aktivira izmenjenu biblioteku sa štetnim kodom. Pošto proces počinje legitimnim softverom, takva aktivnost se teže može prepoznati kao pretnja.

Huntress nije uspeo sa sigurnošću da utvrdi tačan naziv niti proizvođača pogođenog softvera. Analizirana datoteka nije imala ugrađene informacije o verziji, ali su određene oznake u izvršnoj datoteci ukazivale na moguću povezanost sa korejskom kompanijom 3R Global. Ipak, nema potvrde da je softver preuzet sa stranice te kompanije.

Nakon početnog pristupa, napadači su postavljali datoteku pod nazivom rs.win32.exe i pokretali je komandom koja je sadržala udaljenu IP adresu, port i administratorsko korisničko ime. Prema istraživačima, to ukazuje na upotrebu reverse shell-a, odnosno mehanizma koji omogućava daljinsku kontrolu nad kompromitovanim sistemom.

Zatim je korišćen WpcMon.exe, legitimna Windows datoteka povezana sa roditeljskim kontrolama i praćenjem aktivnosti. Umesto uobičajene namene, služila je za učitavanje zlonamernih DLL datoteka pod nazivima IPHLPAPI.DLL i samcli.dll. One su se predstavljale kao zlib biblioteke za kompresiju, ali su bile izmenjene da periodično komuniciraju sa spoljnim komandnim serverom.

Da bi ostali aktivni i nakon novog prijavljivanja u Windows, napadači su dodavali unos za WpcMon.exe u Run ključ korisnika u sistemskom registru. Tako se program automatski pokreće prilikom prijavljivanja.

Huntress preporučuje da se sistemi za kamere i njihove platforme za upravljanje tretiraju kao osetljiva bezbednosna sredstva. Organizacije treba da imaju evidenciju o instaliranom softveru, ograniče pristup i prate neuobičajene procese i izlazne mrežne veze.