Un grupo ha comprometido el software de gestión de cámaras para desplegar malware en ordenadores con Windows. Para lograrlo, utilizaron un programa legítimo de Microsoft que les permitió ejecutar código malicioso y mantener el acceso a los sistemas. Este incidente demuestra que las aplicaciones de vigilancia pueden convertirse en un punto de entrada crítico hacia las redes empresariales.

Han comprometido el software de gestión de cámaras para desplegar malware en ordenadores con Windows, utilizando un programa legítimo de Microsoft para ejecutar código malicioso y mantener el acceso.

Esta actividad muestra cómo el software utilizado para gestionar sistemas de vigilancia puede convertirse en un punto de entrada a las redes empresariales. Los incidentes siguieron un patrón similar: los atacantes obtuvieron acceso a través de la aplicación de la cámara, desplegaron lo que se sospecha es una shell inversa y utilizaron el DLL sideloading para contactar con un servidor externo.

Al igual que en casos anteriores relacionados con el abuso de herramientas de monitoreo, esta actividad resalta los riesgos que rodean al software en el que confías para las operaciones rutinarias.

Investigadores de Huntress identificaron la actividad del malware en varios entornos de clientes durante septiembre y octubre de 2026.

En su investigación del 27 de octubre, Harlan Carvey y Lindsey O’Donnell-Welch describieron un puñado de incidentes vinculados a software de gestión de cámaras comprometido, aunque señalaron lagunas importantes en la comprensión de la intrusión inicial.

Comprometen el software de gestión de cámaras

La aplicación afectada carecía de información de versión de archivo integrada, lo que impidió que los investigadores confirmaran el nombre completo del producto o el desarrollador.

Tampoco pudieron localizar los registros (logs) de la aplicación, por lo que el método exacto utilizado para comprometer el software sigue sin resolverse. El informe no identifica ninguna vulnerabilidad específica o CVE.

Los investigadores encontraron cadenas de texto que conectan el ejecutable con un dominio asociado a la empresa coreana 3R Global. Un paquete de gestión de cámaras disponible a través de otro sitio web contenía cadenas coincidentes.

Sin embargo, Huntress subrayó que estas coincidencias no establecen la identidad del proveedor ni prueban dónde obtuvieron el software los clientes afectados.

Tras obtener el acceso, los atacantes colocaron un ejecutable dentro del directorio de datos de aplicación del usuario. Su línea de comandos especificaba una dirección remota, un puerto de conexión y valores de autenticación.

Combinando esto con su ubicación en una carpeta con permisos de escritura, estos detalles llevaron a los investigadores a evaluar que el programa era una shell inversa. Luego, los atacantes copiaron el "Windows Parental Control Monitor" en otra carpeta de datos de aplicación.

Huntress verificó que este ejecutable era un archivo genuino de Microsoft, pero su ubicación inusual dejó al descubierto el abuso. Casos similares de sideloading de VLC y VMware demuestran por qué un ejecutable confiable por sí solo no puede garantizar que las librerías cercanas sean seguras.

En este caso, el programa de Microsoft cargó DLLs maliciosas colocadas a su lado. Las librerías se asemejaban a componentes legítimos de compresión zlib, pero habían sido modificadas para contactar periódicamente con un servidor de comando y control.

Esta técnica, llamada DLL sideloading, permite a los atacantes ejecutar su código a través de una aplicación que, de otro modo, sería legítima.

La distinción es importante porque el ejecutable en sí no era la carga útil maliciosa. Su función era cargar librerías controladas por el atacante desde la carpeta circundante.

Si solo comprobaras la identidad del archivo de Microsoft sin examinar su ubicación, las DLLs cargadas, el proceso padre y la actividad de red, omitirías la evidencia que conecta un componente de Windows aparentemente normal con la cadena de infección más amplia.

Persistencia, detección y prioridades defensivas

Los atacantes mantuvieron el acceso añadiendo el ejecutable de Microsoft reubicado a la clave de registro Run del usuario. Windows lo lanzaría entonces cada vez que ese usuario iniciara sesión, reiniciando la cadena de carga.

Cada incidente investigado implicó la comunicación con la misma dirección IP de comando y control que se detalla más abajo. Para quienes defienden la red, la señal más útil es la secuencia conectada de eventos más que cualquier nombre de archivo individual.

Que un software de cámara lance un ejecutable inesperado, seguido de un componente de Microsoft que se ejecuta desde una carpeta escribible y realiza conexiones salientes inusuales, justifica una investigación. Huntress recomienda específicamente examinar esa cadena de procesos.

Tú y tu organización deberíais hacer un inventario de las aplicaciones de gestión de cámaras, restringir el acceso y monitorizar su actividad de red. Ataques anteriores de sideloading de EggStreme DLL también abusaron de un ejecutable de Windows desde una carpeta de datos de aplicación, reforzando el valor de comprobar las ubicaciones de ejecución.

Cuando sea práctico, Huntress recomienda controles de aplicación que bloqueen ejecutables y DLLs no aprobados en directorios donde el usuario tenga permisos de escritura. La investigación también deja límites sobre lo que las organizaciones pueden concluir.

Huntress no estableció cómo ocurrió el compromiso inicial del software de la cámara, y la evidencia disponible no justifica describir esto como una brecha confirmada en la cadena de suministro del proveedor.

La lección inmediata es más puntual: las aplicaciones de gestión de cámaras necesitan la misma supervisión de endpoint que cualquier otro software empresarial, en lugar de ser ignoradas por completo.

Fuentes:
https://cybersecuritynews.com/camera-management-software/