Wpcdoor : backdoor distribué via un logiciel DVR coréen compromis
🗓️ Contexte Publié le 6 novembre 2026 par AhnLab ASEC, cet article fait suite à une divulgation de Huntress datée du 27 octobre 2026. Il analyse des cas d’infection confirmés en Corée du Sud impliquant le logiciel de gestion DVR CMS (Central Management Software) développé par une entreprise coréenne spécialisée dans les systèmes CCTV et DVR. 🔗 Chaîne d’infection L’attaque suit une chaîne de compromission en plusieurs étapes : CMS.exe installe rs.win32.exe accompagné du fichier malveillant IPHLPAPI.DLL dans %APPDATA%\CMS\RemoteSetup\ rs.win32.exe charge IPHLPAPI.DLL via DLL side-loading (Stage 1 downloader) IPHLPAPI.DLL télécharge WpcMon.exe (légitime) et samcli.dll (malveillant) depuis le C2, déchiffrés par XOR avec la clé 0x82615458 WpcMon.exe charge samcli.dll via DLL side-loading (Stage 2 downloader) samcli.dll télécharge et exécute en mémoire le backdoor final Wpcdoor Une variante alternative utilise QtCore4.dll (Stage 1) et rsaenh.dll (Stage 2) avec modification des variables d’environnement WINDIR et SystemRoot. ...