https://cyberveille.ch/tags/dvr/ Recent content in DVR on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Fri, 13 Nov 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-11-13-wpcdoor-backdoor-distribue-via-un-logiciel-dvr-coreen-compromis/ Fri, 13 Nov 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-11-13-wpcdoor-backdoor-distribue-via-un-logiciel-dvr-coreen-compromis/ <h2 id="-contexte">🗓️ Contexte</h2> <p>Publié le 6 novembre 2026 par AhnLab ASEC, cet article fait suite à une divulgation de Huntress datée du 27 octobre 2026. Il analyse des cas d&rsquo;infection confirmés en Corée du Sud impliquant le logiciel de gestion DVR <strong>CMS (Central Management Software)</strong> développé par une entreprise coréenne spécialisée dans les systèmes CCTV et DVR.</p> <h2 id="-chaîne-dinfection">🔗 Chaîne d&rsquo;infection</h2> <p>L&rsquo;attaque suit une chaîne de compromission en plusieurs étapes :</p> <ol> <li><strong>CMS.exe</strong> installe <code>rs.win32.exe</code> accompagné du fichier malveillant <code>IPHLPAPI.DLL</code> dans <code>%APPDATA%\CMS\RemoteSetup\</code></li> <li><code>rs.win32.exe</code> charge <code>IPHLPAPI.DLL</code> via <strong>DLL side-loading</strong> (Stage 1 downloader)</li> <li><code>IPHLPAPI.DLL</code> télécharge <code>WpcMon.exe</code> (légitime) et <code>samcli.dll</code> (malveillant) depuis le C2, déchiffrés par XOR avec la clé <code>0x82615458</code></li> <li><code>WpcMon.exe</code> charge <code>samcli.dll</code> via <strong>DLL side-loading</strong> (Stage 2 downloader)</li> <li><code>samcli.dll</code> télécharge et exécute en mémoire le backdoor final <strong>Wpcdoor</strong></li> </ol> <p>Une variante alternative utilise <code>QtCore4.dll</code> (Stage 1) et <code>rsaenh.dll</code> (Stage 2) avec modification des variables d&rsquo;environnement <code>WINDIR</code> et <code>SystemRoot</code>.</p>