Hackers usan las cámaras de seguridad de oficinas como vía para robar contraseñas

Un programa para gestionar cámaras de videovigilancia se convirtió en una puerta de entrada a redes corporativas, y el Wpcdoor instalado a través de él puede incluso buscar los secretos de monederos de criptomonedas. Huntress detectó varias intrusiones en septiembre y octubre de 2026. AhnLab confirmó las infecciones según sus propios registros y detectó el uso del mismo backdoor fuera de Corea del Sur.

El nexo común fue el componente CMS.exe para gestionar cámaras y grabadores de video. En el código se encontró el dominio de la empresa 3R Global, y se detectó una distribución similar en el sitio de K Vision. Sin embargo, Huntress no identificó al desarrollador de la compilación infectada ni demostró vínculo de los ataques con la descarga oficial. Tampoco se sabe cómo los atacantes ingresaron a CMS.

Según el análisis de AhnLab, el proceso CMS.exe creaba archivos en el directorio RemoteSetup del perfil de usuario. El programa rs.win32.exe cargaba una IPHLPAPI.DLL manipulada en lugar de la biblioteca legítima. Al sustituir la DLL, la aplicación legítima ejecuta código ajeno desde el archivo vecino. Esa sustitución también se usó en la infección de las utilidades CPU-Z y HWMonitor, aunque la vía de intrusión fue distinta.

El primer cargador recibía del servidor de control dos archivos: el componente legítimo de Windows WpcMon.exe y la maliciosa samcli.dll. Tras iniciarse, WpcMon.exe cargaba la biblioteca, que arrancaba Wpcdoor en memoria. El programa del sistema se colocaba en AppData, aunque la ubicación habitual de WpcMon.exe es Windows\System32. Así los atacantes lograban que un archivo de confianza ejecutara código ajeno.

Wpcdoor recopila el nombre de usuario, datos del equipo y la versión de Windows, toma capturas de pantalla y transmite la información a los operadores. En el arsenal del backdoor están el robo de contraseñas, cookies, el historial del navegador y datos de pago, la búsqueda de documentos, la interceptación de pulsaciones de teclas y del portapapeles. También incluye escritorio remoto, envío de archivos y ejecución de comandos.

Una función aparte busca en la memoria de procesos de MetaMask, Phantom, Coinbase y otros monederos de criptomonedas cadenas parecidas a las frases de recuperación. La capacidad fue confirmada por el análisis de código; sin embargo, no hay pruebas públicas de robo de monederos concretos. Para persistir, Wpcdoor añade la entrada WpcMon al inicio automático de Windows y se reanuda en el siguiente inicio de sesión del usuario.

AhnLab identificó otra cadena con las bibliotecas QtCore4.dll y rsaenh.dll. El malware utiliza el FileHistory.exe legítimo y modifica variables de entorno para cargar código ajeno. La empresa relaciona la actividad con el grupo Larva-26013 y señala episodios adicionales de propagación de Wpcdoor. Por lo tanto, el esquema detectado a través de CMS no describe todas las infecciones conocidas.

Los casos confirmados afectan a equipos Windows con software de gestión de video, pero no prueban la compromisión de las propias cámaras o de los firmware de los grabadores. No se han publicado CVE, la puntuación CVSS, la lista de versiones vulnerables ni un parche específico. Huntress aconseja restringir el acceso a CMS y monitorizar la ejecución de WpcMon.exe desde AppData. AhnLab recomienda actualizar el software, revisar la configuración y cambiar las credenciales de los sistemas afectados.