Şirketlerin Güvenlik Kamerası Yazılımı Ağlara Arka Kapı Açtı

Güvenlik masası nasıl açık kapıya dönüştü?

Fiziksel güvenlik ekipmanları çoğu zaman kurumsal ağ savunmasının en zayıf halkası sayılır. Güvenlik şirketi Huntress analistlerine göre kimliği belirsiz bir grup, Eylül ve Ekim 2026 boyunca kurumların iç sistemlerine sızmak için tam da bu zafiyeti kullandı.

Saldırganlar hedef şirketlerin ağına ilk adımı kurumsal kamera kontrol yazılımı üzerinden atıyor. İçeri girdikten sonra komut satırından rs.win32.exe adlı küçük bir aracı çalıştırarak harici bir IP adresine, belirli bir porta ve yönetici yetkilerine bağlanan ters kabuk (reverse shell) açıyorlar. Geçtiğimiz aylarda depolardaki barkod okuyucularda Bluetooth doğrulaması olmaması nedeniyle yaşanan açıklarda gördüğümüz gibi, göz ardı edilen çevre birimleri savunma hattını yine kolayca deldi.

Windows araçlarıyla iz gizleme tekniği

Ağa adım atmak saldırının yalnızca ilk aşaması; asıl tehlike, sistemde alarm vermeden kalıcı olabilmelerinde yatıyor. Saldırganlar kalıcılık sağlamak adına antivirüs yazılımlarının genellikle güvendiği meşru bir Windows bileşeni olan WpcMon.exe dosyasını sisteme bırakıyor.

Ardından 'DLL sideloading' yöntemi devreye giriyor. WpcMon.exe çalıştığında sistem kütüphanelerini çağırırken, araya IPHLPAPI.DLL ve samcli.dll adları verilmiş sahte zlib sıkıştırma kütüphaneleri yerleştiriliyor. Bu zararlı kütüphaneler saldırganların komuta kontrol sunucularına düzenli sinyal gönderiyor.

İşlemin bilgisayar her yeniden başladığında sürmesi için Windows kayıt defterindeki Run anahtarına WpcMon.exe ekleniyor. Güvenlik görevlisi ya da çalışan bilgisayarına her giriş yaptığında gizli arka kapı da kendiliğinden devreye giriyor.

Hangi yazılımın hedef alındığı neden net değil?

Bu saldırı zincirini engellemenin önündeki en tuhaf engel, zafiyet barındıran uygulamanın kime ait olduğunun tam olarak bilinememesi. İncelenen hedef sistemlerdeki ikili dosyalarda standart dosya sürüm bilgisi (File Version Information) üstbilgileri bulunmuyor.

Huntress ekipleri kod dizeleri arasında Güney Koreli gözetim sistemleri tedarikçisi 3R Global'e ait izlere ulaştı. Ancak açığa yol açan Kamera Yönetim Sistemi (CMS.exe) yazılımının doğrudan şirketten mi yoksa beyaz etiketle (white-label) yazılımı yeniden adlandıran dağıtıcılardan mı geldiği teyit edilemedi.

Kaynak netleşmediği için kurumsal bilgi işlem ekiplerinin resmi bir yamayı bekleme lüksü bulunmuyor. Zira birçok işletmede kamera izleme yazılımları, doğrudan şirket ana ağına bağlı standart ofis bilgisayarlarında tüm yetkilerle çalıştırılıyor.

Türkiye'de sistem yöneticileri ne yapmalı?

Türkiye'deki orta ve büyük ölçekli işletmelerde, plazalarda ve fabrikalarda kullanılan CCTV sistemlerinin hatırı sayılır bir kısmı fason ya da beyaz etiketli uzak doğu yazılımlarıyla yönetiliyor. Bu istemcilerin doğrudan muhasebe veya kurumsal etki alanı (Active Directory) ile aynı yerel ağda çalıştırılması çok yaygın bir güvenlik hatası.

Sistem yöneticilerinin derhal CMS.exe, rs.win32.exe işlemlerini ve olağandışı WpcMon.exe çalıştırma kayıtlarını taraması gerekiyor. Kamera görüntüleme yazılımlarının derhal yalıtılmış bir VLAN içine alınması, kullanıcıların dosya yazabildiği dizinlerde yetkisiz .exe ve .dll çalıştırılmasının engellenmesi şart.

Fiziksel güvenlik ekipmanları geleneksel bilişim altyapılarıyla iç içe geçtikçe, çevre birimleri siber korsanların bir numaralı sıçrama tahtası haline geliyor. Güvenlik kamerası kontrol noktalarını sıfır güven (zero-trust) mimarisine dahil etmek artık lüks değil zorunluluk.