Przejęty program do zarządzania kamerami posłużył do wejścia do sieci kilku firm

We wrześniu i październiku napastnicy weszli do sieci kilku firm przez przejętą aplikację do zarządzania kamerami. Tak wynika z analizy firmy Huntress. Poprawki brak, a producenta programu nie potwierdzono.

Analitycy znaleźli w kodzie wskazówki co do możliwego producenta, ale traktują je wyłącznie jako trop. Nie znaleźli logów aplikacji, więc nie ustalili też, jak ją przejęto. Opisali za to działania napastników po wejściu do sieci, które zostawiają powtarzalne ślady.

Kogo dotyczy

Zagrożone są firmy, które mają system kamer z aplikacją zarządzającą uruchomioną na komputerach w sieci firmowej. Huntress zwraca uwagę, że takich narzędzi zwykle nie traktuje się jako możliwego punktu wejścia.

Co zrobić

Huntress zaleca spisać takie oprogramowanie, ograniczyć jego dostęp i obserwować nietypowe procesy oraz połączenia wychodzące. Tam, gdzie się da, kontrola aplikacji ma blokować niezatwierdzone pliki wykonywalne i biblioteki DLL w katalogach, do których użytkownik ma prawo zapisu. Sprawdzić należy sekwencję CMS.exe, rs.win32.exe i nietypowego WpcMon.exe oraz niezatwierdzone połączenia wychodzące.