Cybersécurité
Quand le logiciel des caméras devient le cheval de Troie du réseau
Ce qui s’est passé
Entre septembre et octobre, les équipes de Huntress ont observé le même scénario chez plusieurs clients. Tout part d’un programme nommé CMS.exe, installé dans un dossier « CMS » de Program Files : un logiciel de supervision de caméras comme on en trouve fourni avec beaucoup d’enregistreurs d’entrée de gamme.
La suite est un classique des attaques modernes :
- le logiciel de caméras lance un exécutable déposé dans le profil de l’utilisateur, vraisemblablement un accès à distance pour l’attaquant ;
- l’attaquant copie un programme Windows légitime dans un dossier utilisateur et lui fait charger des bibliothèques piégées (le « DLL sideloading ») ;
- une clé de registre relance le tout à chaque ouverture de session ;
- les postes infectés communiquent avec le même serveur de commande.
Ce qui reste flou est aussi intéressant que ce qui est connu. Huntress n’a pas pu déterminer comment le logiciel a été compromis au départ, faute de journaux, ni confirmer avec certitude quel éditeur se cache derrière ce CMS.exe. Prudence donc avant d’accuser une marque en particulier.
Pourquoi ça me parle
Le client de visualisation vidéo, c’est souvent le logiciel qu’on installe en fin de chantier, « vite fait », sur le PC de l’accueil ou du gardien. On le télécharge parfois depuis un site peu officiel, on le lance avec des droits administrateur, on le laisse démarrer automatiquement… et on n’y touche plus pendant des années. Personne ne le met à jour, et l’équipe informatique ne sait parfois même pas qu’il existe.
Huntress résume parfaitement l’enjeu : ces systèmes doivent être « treated as part of the enterprise attack surface ». Autrement dit, la vidéosurveillance fait partie du système d’information, avec les mêmes exigences que le reste.
Mes conseils pour vos installations
- Téléchargez uniquement depuis le site officiel du fabricant, et conservez une trace de la version installée et de sa provenance dans le dossier d’ouvrage.
- Faites l’inventaire des clients de vidéosurveillance installés chez vos clients : quels postes, quelles versions, quels comptes.
- Pas de droits administrateur pour l’usage quotidien du logiciel de visualisation.
- Un poste dédié et segmenté pour la supervision vidéo quand c’est possible, plutôt que le PC qui sert aussi aux mails et à la navigation.
- Associez l’informatique : l’antivirus ou l’EDR doit surveiller ce poste comme les autres, et un contrôle des applications peut bloquer l’exécution de programmes depuis les dossiers utilisateurs.
- Préférez des logiciels maintenus : un éditeur qui publie des mises à jour et des bulletins de sécurité, c’est un vrai critère de choix, au même titre que la résolution des caméras.
Le lien avec la réglementation
Avec NIS2 et bientôt le Cyber Resilience Act, la question « qui maintient ce logiciel et comment ? » ne sera plus facultative. Pour un intégrateur, c’est aussi une occasion de se différencier : livrer un système documenté, à jour et cloisonné, c’est un argument face aux offres « kit pas cher ».
Mon avis
On parle beaucoup des caméras piratées, beaucoup moins des PC qui les regardent. Cette affaire rappelle que le maillon faible n’est pas toujours là où on l’attend. Un petit audit de vos postes de supervision vidéo, c’est peu de temps pour beaucoup de tranquillité 🙂.