🗓️ Contexte

Publié le 6 novembre 2026 par AhnLab ASEC, cet article fait suite à une divulgation de Huntress datée du 27 octobre 2026. Il analyse des cas d’infection confirmés en Corée du Sud impliquant le logiciel de gestion DVR CMS (Central Management Software) développé par une entreprise coréenne spécialisée dans les systèmes CCTV et DVR.

🔗 Chaîne d’infection

L’attaque suit une chaîne de compromission en plusieurs étapes :

  1. CMS.exe installe rs.win32.exe accompagné du fichier malveillant IPHLPAPI.DLL dans %APPDATA%\CMS\RemoteSetup\
  2. rs.win32.exe charge IPHLPAPI.DLL via DLL side-loading (Stage 1 downloader)
  3. IPHLPAPI.DLL télécharge WpcMon.exe (légitime) et samcli.dll (malveillant) depuis le C2, déchiffrés par XOR avec la clé 0x82615458
  4. WpcMon.exe charge samcli.dll via DLL side-loading (Stage 2 downloader)
  5. samcli.dll télécharge et exécute en mémoire le backdoor final Wpcdoor

Une variante alternative utilise QtCore4.dll (Stage 1) et rsaenh.dll (Stage 2) avec modification des variables d’environnement WINDIR et SystemRoot.

🦠 Analyse des composants malveillants

Stage 1 – IPHLPAPI.DLL / QtCore4.dll :

  • Exporte GetAdaptersInfo() pour masquer sa nature
  • Communique avec le C2 via des paquets signés WPCF
  • Déchiffrement XOR avec clé 0x82615458

Stage 2 – samcli.dll / rsaenh.dll :

  • Mutex : Global\81669d8b1539333e96b84c2e5c4dba5d
  • Exécution du payload directement en mémoire
  • Structure de paquets identique au Stage 1

Wpcdoor (backdoor final) :

  • Persistance via clé Run sous le nom WpcMon
  • Vol d’informations système (UUID, username, nom machine, OS, screenshot)
  • Commandes supportées : capture d’écran, keylogging, clipboard hijacking, exécution de commandes, téléchargement/upload de fichiers, port forwarding, HVNC (172.86.127[.]14:8443), dump mémoire, vol de credentials navigateur (cookies, historique, cartes bancaires), vol de seed phrases de wallets crypto

Extensions de wallets ciblées : MetaMask (Chrome & Edge), Coinbase, Phantom, Trust, Ronin, Binance, TronLink, Solflare, SecondFi

🎯 Attribution

AhnLab attribue cette activité à l’acteur Larva-26013, observé dans des attaques au-delà de la Corée du Sud.

📋 Type d’article

Analyse technique détaillée publiée par AhnLab ASEC, visant à documenter la chaîne d’infection, les composants malveillants et les IOCs associés à la campagne Wpcdoor pour les équipes CTI et SOC.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • Larva-26013 (unknown) —

TTP

  • T1574.002 — Hijack Execution Flow: DLL Side-Loading (Defense Evasion)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1059.003 — Command and Scripting Interpreter: Windows Command Shell (Execution)
  • T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (Persistence)
  • T1113 — Screen Capture (Collection)
  • T1115 — Clipboard Data (Collection)
  • T1056.001 — Input Capture: Keylogging (Collection)
  • T1083 — File and Directory Discovery (Discovery)
  • T1005 — Data from Local System (Collection)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1555.003 — Credentials from Password Stores: Credentials from Web Browsers (Credential Access)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1090 — Proxy: Port Forwarding (Command and Control)
  • T1055 — Process Injection (Defense Evasion)
  • T1082 — System Information Discovery (Discovery)
  • T1622 — Debugger Evasion (Defense Evasion)
  • T1027 — Obfuscated Files or Information (Defense Evasion)

IOC

  • IPv4 : 144.172.116.37 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 172.86.127.14 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 172.86.127.89 — AbuseIPDB · VT · ThreatFox
  • MD5 : 0a9cb414b53536ad8fc217fc46a2cf56 — VT · MalwareBazaar
  • MD5 : 14746a3aa1d1882a53d244b39e6895b3 — VT · MalwareBazaar
  • MD5 : 2376baa1ba3a918f754db6bbc15cb1d7 — VT · MalwareBazaar
  • MD5 : 6bafd9065f68ecd5778b8c828bb17134 — VT · MalwareBazaar
  • MD5 : 7e42d1461339572111a2eedfff42e1c2 — VT · MalwareBazaar
  • Fichiers : IPHLPAPI.DLL
  • Fichiers : samcli.dll
  • Fichiers : rsaenh.dll
  • Fichiers : QtCore4.dll
  • Fichiers : WpcMon.exe
  • Fichiers : rs.win32.exe
  • Fichiers : CMS.exe
  • Fichiers : zlib.dll
  • Chemins : %APPDATA%\CMS\RemoteSetup\IPHLPAPI.DLL
  • Chemins : %APPDATA%\CMS\RemoteSetup\rs.win32.exe
  • Chemins : %LOCALAPPDATA%\Microsoft\WpcMon\WpcMon.exe
  • Chemins : %LOCALAPPDATA%\Microsoft\WpcMon\samcli.dll
  • Chemins : %LOCALAPPDATA%\Microsoft\Windows\System32\rsaenh.dll

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 13 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Wpcdoor (backdoor)
  • IPHLPAPI.DLL (loader)
  • samcli.dll (loader)
  • QtCore4.dll (loader)
  • rsaenh.dll (loader)

🟢 Indice de vérification factuelle : 88/100 (haute)

  • ✅ asec.ahnlab.com — source reconnue (Rösti community) (20pts)
  • ✅ 10031 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 21 IOCs dont des hashes (15pts)
  • ✅ 1/3 IOC(s) confirmé(s) (AbuseIPDB, ThreatFox, VirusTotal) (8pts)
  • ✅ 17 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Larva-26013 (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 144.172.116.37 (ip) → VT (5/92 détections)

🔗 Source originale : https://asec.ahnlab.com/en/96477/