Программа для управления камерами видеонаблюдения стала входом в корпоративные сети, а установленный через неё Wpcdoor способен искать даже секреты криптокошельков. Huntress выявила несколько вторжений в сентябре и октябре 2026 года. AhnLab подтвердила заражения по собственным журналам и обнаружила применение того же бэкдора за пределами Южной Кореи.
Общим звеном стал компонент CMS.exe для управления камерами и видеорегистраторами. В коде нашли домен компании 3R Global, а похожий дистрибутив обнаружили на сайте K Vision. Однако Huntress не установила разработчика заражённой сборки и не доказала связь атак с официальной загрузкой. Каким способом злоумышленники проникли в CMS, также неизвестно.
По анализу AhnLab, процесс CMS.exe создавал файлы в каталоге RemoteSetup пользовательского профиля. Программа rs.win32.exe загружала подложенную IPHLPAPI.DLL вместо штатной библиотеки. При подмене DLL легитимное приложение исполняет чужой код из соседнего файла. Такую подмену применяли и при заражении утилит CPU-Z и HWMonitor, хотя путь проникновения отличался.
Первый загрузчик получал с управляющего сервера два файла: штатный компонент Windows WpcMon.exe и вредоносную samcli.dll. После запуска WpcMon.exe подхватывал библиотеку, которая запускала Wpcdoor в памяти. Системную программу помещали в AppData, хотя обычное расположение WpcMon.exe находится в Windows\System32. Так злоумышленники заставляли доверенный файл выполнять чужой код.
Wpcdoor собирает имя пользователя, данные компьютера и версию Windows, делает снимки экрана и передаёт сведения операторам. В арсенале бэкдора есть кража паролей, cookie, истории браузера и платёжных данных, поиск документов, перехват нажатий клавиш и буфера обмена. Также предусмотрены удалённый рабочий стол, пересылка файлов и выполнение команд.
Отдельная функция ищет в памяти процессов MetaMask, Phantom, Coinbase и других криптокошельков строки, похожие на фразы восстановления доступа. Возможность подтверждена анализом кода, однако публичных доказательств кражи конкретных кошельков нет. Для закрепления Wpcdoor добавляет запись WpcMon в автозапуск Windows и возобновляет работу при следующем входе пользователя.
AhnLab выявила и другую цепочку с библиотеками QtCore4.dll и rsaenh.dll. Вредонос задействует штатную FileHistory.exe и меняет переменные окружения, чтобы подгрузить чужой код. Компания связывает активность с группой Larva-26013 и отмечает дополнительные эпизоды распространения Wpcdoor. Следовательно, найденная через CMS схема не описывает все известные заражения.
Подтверждённые случаи касаются компьютеров Windows с ПО управления видео, но не доказывают взлом самих камер или прошивок регистраторов. CVE, оценка CVSS, список уязвимых версий и специальное исправление не опубликованы. Huntress советует ограничить доступ к CMS и отслеживать запуск WpcMon.exe из AppData. AhnLab рекомендует обновлять ПО, проверять настройки и менять учётные данные затронутых систем.
