Phân tích kỹ thuật: Chiến dịch tấn công qua phần mềm quản lý camera

• Phương thức tấn công: Kẻ tấn công lợi dụng phần mềm quản lý camera làm điểm xâm nhập ban đầu, sau đó triển khai reverse shell và thực hiện kỹ thuật DLL sideloading.
• Kỹ thuật né tránh: Sử dụng các tệp thực thi hợp lệ của Microsoft (Windows Parental Control Monitor) để tải các thư viện độc hại, nhằm qua mặt các giải pháp bảo mật truyền thống.
• Dấu hiệu nhận biết: Sự xuất hiện của các tiến trình lạ trong thư mục AppData và các kết nối mạng bất thường tới địa chỉ IP C2 đã xác định.

Trong các tháng 9 và 10 năm 2026, các nhà nghiên cứu bảo mật từ Huntress đã ghi nhận một chiến dịch tấn công mạng tinh vi nhắm vào môi trường doanh nghiệp thông qua các ứng dụng quản lý hệ thống giám sát. Mặc dù chưa xác định được lỗ hổng cụ thể hay mã CVE liên quan, báo cáo đã chỉ ra quy trình xâm nhập có hệ thống, biến các phần mềm quản lý camera trở thành cửa ngõ cho các hoạt động độc hại.

Cơ chế tấn công và kỹ thuật DLL Sideloading

Kẻ tấn công đã thực hiện xâm nhập bằng cách triển khai một tệp thực thi độc hại vào thư mục dữ liệu ứng dụng của người dùng. Tệp này hoạt động như một reverse shell, với các tham số dòng lệnh được cấu hình sẵn để kết nối tới máy chủ điều khiển (C2). Điểm đáng chú ý trong chiến dịch này là việc lạm dụng các tệp tin hợp lệ của Microsoft để duy trì sự hiện diện.

Cụ thể, kẻ tấn công đã sao chép tệp WpcMon.exe (Windows Parental Control Monitor) vào một thư mục dữ liệu ứng dụng có quyền ghi. Tại đây, tệp thực thi này bị ép buộc tải các thư viện DLL độc hại được đặt cùng thư mục, thay vì các thư viện hệ thống chuẩn. Kỹ thuật này được gọi là DLL sideloading, cho phép mã độc thực thi dưới danh nghĩa một tiến trình đáng tin cậy.

# Cấu trúc lệnh thực thi reverse shell quan sát được: 
rs.win32.exe -p 8000 -u admin -a 1234567a7654321

Phân tích các chỉ số IOCs và dấu vết kỹ thuật

Việc kiểm tra danh tính của tệp thực thi mà không xem xét vị trí tệp, các thư viện DLL được tải, tiến trình cha và hoạt động mạng sẽ dẫn đến những đánh giá sai lệch. Dưới đây là bảng tổng hợp các chỉ số IOCs quan trọng được ghi nhận trong quá trình điều tra:

⚠️ Cảnh báo quan trọng: Các địa chỉ IP và tên miền trong báo cáo này đã được làm mờ (defanged) để đảm bảo an toàn. Các quản trị viên hệ thống cần thực hiện kiểm tra trong môi trường sandbox hoặc các nền tảng Threat Intelligence chuyên dụng như VirusTotal hoặc hệ thống SIEM nội bộ.

Chiến lược phòng thủ và săn tìm mối đe dọa

Để đối phó với các cuộc tấn công tương tự, các tổ chức cần thực hiện kiểm kê chặt chẽ các phần mềm quản lý camera và giám sát chặt chẽ hoạt động mạng của chúng. Việc áp dụng các chính sách kiểm soát ứng dụng (Application Control) để chặn các tệp thực thi và DLL không được phê duyệt trong các thư mục có quyền ghi của người dùng là biện pháp phòng thủ then chốt.

• Kiểm soát thực thi: Thiết lập chính sách chặn thực thi từ các thư mục như AppData hoặc các thư mục tạm thời.
• Giám sát tiến trình: Theo dõi chuỗi tiến trình (process chain), đặc biệt là khi các ứng dụng quản lý camera khởi chạy các tệp thực thi lạ hoặc các thành phần hệ thống từ vị trí không chuẩn.
• Phân tích Registry: Kiểm tra các khóa Run trong Registry để phát hiện các tệp thực thi được thiết lập để tự động khởi chạy cùng hệ thống.

Mặc dù chưa có bằng chứng xác thực về một cuộc tấn công chuỗi cung ứng phần mềm (supply-chain attack) quy mô lớn, nhưng sự cố này là lời nhắc nhở rằng các ứng dụng giám sát cần được quản lý với tiêu chuẩn bảo mật tương đương với các phần mềm nghiệp vụ quan trọng khác trong doanh nghiệp.