摘要
- 攻击者利用摄像头管理软件漏洞获取初始访问权限，并在目标网络中建立持久化驻留。
- 恶意活动采用 DLL 侧载技术与反向外联机制，以规避安全检测并维持控制权。
- Huntress 研究人员呼吁企业将摄像机系统视为关键安全资产，实施异常行为监控。
安全研究机构 Huntress 近期发出警告，指出存在针对相机管理软件（Camera Management Software）的活跃攻击行动。威胁行为者利用该软件中的明显漏洞作为初始访问向量，进而渗透至公司基础设施内部并建立立足点。
Huntress 的研究人员 Harlan Carvey 和 Lindsey ODonnell-Welch 披露，他们在 2026 年 9 月和 10 月期间监测到数起源自摄像头管理软件的入侵事件。在所有观察到的案例中，攻击者均滥用合法的摄像头管理系统，通过横向加载恶意动态链接库（DLL）文件来获取底层系统的访问权限。
难以溯源的攻击载体
令人担忧的是，调查团队目前无法确定具体被利用的摄像机软件名称。由于相关可执行文件中缺失嵌入的文件版本信息部分，分析师未能识别出软件的完整名称或供应商身份。
尽管在可执行文件中发现了若干值得关注的字符串特征，但研究人员尚无法确认该摄像头管理系统（CMS）的可执行文件是否直接下载自官方站点。这种关键信息的缺失导致无法统计受害者的确切数量，也难以全面评估该漏洞的危险程度。
虽然缺乏关于软件如何被攻破的具体细节限制了可见性，但一旦初始访问权限确立，攻击链便迅速展开。攻击者在终端部署名为 rs.win32.exe 的文件，并通过命令行启动它。该命令行参数包含远程 IP 地址、端口号以及管理员用户名。
随后，攻击者投放一个名为 WpcMon.exe 的文件。这是一个合法的 Microsoft Windows 家长控制监视器程序，在此处被用于加载两个恶意 DLL：IPHLPAPI.DLL 和 samcli.dll。表面上，这两个文件看似合法的 zlib 压缩库，实则承载了恶意代码。
DLL 侧载与持久化机制
研究人员解释称，感染过程的一部分涉及创建持久性机制：通过在用户注册表的“运行”键值中添加对新安装 WpcMon.exe 的引用，确保当用户登录时，Windows 会自动启动攻击载荷。
DLL 侧载是一种广泛使用的感染技术。攻击者不直接部署明显的恶意程序（这容易被防病毒产品标记），而是放置包含武器化代码的 DLL 文件，并诱导合法程序（如家长控制软件）加载并执行它。由于进程由可信的可执行文件发起，这种隐蔽性使得恶意行为难以被传统安全软件识别。
然而，这并不意味着防御体系毫无破绽。保护者应当重新审视摄像机及其管理平台的安全定位，将其视为进入更广泛商业环境的潜在入口。建议措施包括对软件进行资产清单管理、限制其网络访问权限，并密切监控异常的进程行为和出站连接。
Huntress 还建议维护人员启用应用程序控制策略，防止未经批准的可执行文件和 DLL 在用户可写的路径中运行。同时，应重点调查涉及 CMS.exe、rs.win32.exe、异常的 WpcMon.exe 以及未经授权的出站连接的序列行为。
