Program do kamer na zwykłym komputerze z Windows może otworzyć drogę do całej sieci. 27 października 2026 roku firma Huntress opisała kilka włamań z września i października, w których napastnicy weszli do środka, przejmując aplikację do zarządzania kamerami, czyli windowsowego klienta do podglądu i obsługi obrazu z kamer i rejestratorów.

Jak przebiegał atak

Za każdym razem wszystko zaczynało się od pliku CMS.exe zainstalowanego w C:\Program Files (x86)\CMS\. Huntress nie zdołał ustalić, kto go wydał. Plik nie ma informacji o wersji, a program nie zostawiał dzienników. Ciągi znaków w jego wnętrzu wskazują na domenę 3r-dataware.com, powiązaną z koreańską firmą 3R Global, a pakiet z tymi samymi ciągami można pobrać ze strony kvision.ai. Huntress podkreśla, że to tylko możliwe źródło, a nie potwierdzony związek z konkretnym producentem.

Po przejęciu programu napastnicy powtarzali te same kroki:

  • Wgrywali rs.win32.exe do folderu użytkownika AppData\Roaming\CMS\RemoteSetup i uruchamiali go z adresem zdalnym, portem 8000 i loginem admin. Huntress uznał to za zdalną powłokę zestawianą od strony ofiary.
  • Kopiowali prawdziwy program Microsoftu WpcMon.exe, należący do kontroli rodzicielskiej Windows, do AppData\Local\Microsoft\WpcMon, gdzie normalnie się go nie spotyka.
  • Obok niego umieszczali zmienione pliki IPHLPAPI.DLL i samcli.dll. Udają bibliotekę kompresji zlib, ale zawierają kod, który regularnie łączy się z serwerem sterującym. Legalny program sam je wczytuje i uruchamia kod napastników.
  • Dopisywali WpcMon.exe do klucza Run w rejestrze użytkownika, więc furtka uruchamiała się przy każdym logowaniu.

We wszystkich przypadkach zainfekowane komputery łączyły się z tym samym serwerem, 144.172.116.37.

Co z tego wynika poza firmą

Włamania dotyczyły sieci firmowych pod opieką Huntress, ale ten schemat dobrze znają też domy. Do wielu tanich rejestratorów DVR i NVR dołączany jest windowsowy klient „CMS” niewiadomego pochodzenia, rzadko aktualizowany i często łączący się z chmurą producenta. Działa z uprawnieniami użytkownika na komputerze, na którym są też poczta, hasła i dokumenty.

Huntress zaleca:

  • spisać używane programy do kamer i ograniczyć im dostęp do sieci,
  • tam, gdzie się da, blokować uruchamianie programów i bibliotek z folderów, do których użytkownik może zapisywać, takich jak AppData,
  • wyłapywać łańcuch CMS.exe > rs.win32.exe > WpcMon.exe i nietypowe połączenia wychodzące.

W domu najprościej uruchamiać klienta kamer na osobnym komputerze albo zrezygnować z niego i oglądać obraz przez panel WWW rejestratora lub lokalny rejestrator w rodzaju Frigate. Warto też sprawdzić, czy w AppData nie ma pliku WpcMon.exe, i zablokować na routerze podany wyżej adres.