提供託管式端點偵測與回應（EDR）服務的資安廠商 Huntress 於 10 月 27 日發布研究指出，監視監控攝影機管理軟體可能成為駭客入侵企業網路的初始管道。其分析師在 9 月至 10 月間於多個客戶環境觀察到數起事件，均可追溯至同一支名為
CMS.exe 的影像管理應用程式。
無法確認軟體廠商，也查無相關日誌
Huntress 表示，駭客究竟如何入侵這套軟體，目前仍不得而知。CMS.exe 執行檔未內嵌檔案版本資訊（File Version Information）區段，分析師因此無法確認軟體的完整名稱與開發商；研究人員也查無該應用程式的相關日誌，無從得知駭客如何取得控制權。
執行檔內含的部分字串，指向一家銷售類比與IP攝影機、數位與網路錄影機的韓國廠商。字串中有一個隸屬該公司網域的網址，而一個可能相關的品牌網站，也提供內含相同字串的CMS套件供下載。不過Huntress強調，這僅是可能來源，並非已確認的廠商關係。
入侵後先投放反向Shell，再側載惡意DLL
雖然駭客的入侵手法仍不明，Huntress 仍從受害端點還原出其後續行動，且各起事件的攻擊鏈大致相同。
駭客控制攝影機管理軟體後，先在使用者的 AppData\Roaming\CMS\RemoteSetup 資料夾投放名為 rs.win32.exe 的檔案，並由 CMS.exe 啟動。Huntress 判斷該檔案被用作反向 Shell（reverse shell）。軟體本身安裝於 C:\Program Files (x86)，rs.win32.exe 卻位於使用者可寫入的路徑。
接著，駭客在 AppData\Local\Microsoft\WpcMon 資料夾放入微軟的合法檔案 WpcMon.exe。Huntress 依 SHA256 雜湊值確認，這是 Windows 親子監護監控程式，正常應位於 Windows 系統資料夾，出現在 AppData 即屬異常。駭客藉此進行 DLL 側載（DLL sideloading）：把惡意 DLL 放在合法程式旁，讓程式載入並執行攻擊者的程式碼。
本次涉及的兩個惡意 DLL 為 IPHLPAPI.DLL 與 samcli.dll，外觀偽裝成 zlib 壓縮函式庫，實際已遭修改，並被加入定期連線外部指揮控制（C2）伺服器的信標（beaconing）功能。駭客同時在使用者的 Run 登錄機碼新增指向 WpcMon.exe 的值，讓惡意程式在每次登入時自動啟動。Huntress 指出，所有事件觀察到的 C2 IP 位址皆為
144.172.116[.]37。
攝影機系統應納入企業攻擊面
Huntress分析師指出，資安團隊常聚焦於已知遭攻擊的軟體，卻忽略任何接觸企業環境的軟體都可能存在弱點，包括不被視為「傳統」攻擊面的工具。他們建議，企業應把攝影機系統及其管理應用程式視為進入內部環境的潛在入口，而非獨立運作的設備。
Huntress提出的防護與偵測建議如下：
- 盤點企業內的攝影機管理軟體並限制其存取，同時監控異常的處理程序與對外連線。
- 在可行範圍內採用應用程式控制，防止未經核准的執行檔與DLL在使用者可寫入的路徑中執行。
- 調查CMS.exe、rs.win32.exe與異常的WpcMon.exe，以及未經核准的對外連線，釐清彼此的串聯順序。
本文轉載自HelpNetSecurity、Huntress研究報告。