USA oferują 10 mln dolarów za informacje o domniemanym operatorze kampanii Hafnium

Wprowadzenie do problemu / definicja

Administracja USA ogłosiła nagrodę do 10 mln dolarów za informacje prowadzące do identyfikacji lub lokalizacji Zhang Yu, obywatela Chin oskarżonego o udział w kampanii Hafnium wymierzonej w serwery Microsoft Exchange. Sprawa ponownie zwraca uwagę branży cyberbezpieczeństwa na operacje sponsorowane przez państwa, w których wykorzystywane są krytyczne luki w powszechnie stosowanym oprogramowaniu serwerowym do masowych włamań, kradzieży danych i działań wywiadowczych.

W skrócie

USA oferują do 10 mln dolarów za informacje o Zhang Yu.
Śledczy łączą go z operacjami przypisywanymi grupie Hafnium.
Ataki dotyczyły m.in. podatności w Microsoft Exchange Server.
Sprawa ma związek zarówno z próbami pozyskania danych dotyczących badań nad COVID-19, jak i późniejszą falą masowych kompromitacji serwerów Exchange.
Nagroda została ogłoszona w ramach programu Rewards for Justice.

Kontekst / historia

Kampania Hafnium pozostaje jednym z najważniejszych i najgłośniejszych incydentów ostatnich lat w obszarze bezpieczeństwa poczty elektronicznej oraz infrastruktury serwerowej. W marcu 2021 roku ujawniono szeroko zakrojone ataki wykorzystujące krytyczne luki typu zero-day w lokalnych wdrożeniach Microsoft Exchange Server. Umożliwiały one zdalne wykonanie kodu, eskalację uprawnień oraz utrzymanie trwałego dostępu do przejętych środowisk.

Według amerykańskich organów ścigania aktywność oskarżonych mogła rozpocząć się już w 2020 roku, kiedy celem były amerykańskie uczelnie oraz badacze prowadzący prace związane z COVID-19. Następnie, w 2021 roku, te same osoby miały uczestniczyć w wykorzystywaniu podatności Exchange w ramach działań przypisywanych Hafnium. Akt oskarżenia wobec Zhang Yu i Xu Zewei został ujawniony w lipcu 2025 roku, a jeden z podejrzanych został później wydany do USA z Włoch w kwietniu 2026 roku.

Analiza techniczna

Znaczenie tej sprawy wynika nie tylko z jej wymiaru geopolitycznego, ale przede wszystkim z technicznego charakteru operacji. Ataki na Microsoft Exchange były szczególnie groźne, ponieważ dotyczyły systemów kluczowych dla funkcjonowania organizacji: poczty elektronicznej, kalendarzy, kontaktów oraz często mechanizmów uwierzytelniania i archiwizacji danych.

Schemat działania kampanii przypisywanej Hafnium opierał się na wykorzystaniu podatności pozwalających uzyskać nieautoryzowany dostęp do serwera, a następnie na instalacji web shelli zapewniających trwałą obecność w środowisku. Taki mechanizm umożliwia operatorowi wykonywanie poleceń, pobieranie danych, przemieszczanie się boczne w sieci oraz uruchamianie kolejnych etapów operacji bez konieczności ponownego wykorzystywania pierwotnej luki.

Z perspektywy obrony szczególnie istotne jest to, że masowe wykorzystanie Exchange nie ograniczało się do pojedynczych, starannie wyselekcjonowanych ofiar. Model działania zakładał szerokie skanowanie internetu, identyfikację podatnych instancji oraz szybkie wdrażanie mechanizmów utrwalających dostęp. W praktyce oznaczało to, że nawet organizacje niebędące klasycznym celem cyberwywiadu mogły zostać skompromitowane wyłącznie dlatego, że korzystały z niezałatanego serwera.

Dodatkowym aspektem sprawy jest wskazywane przez śledczych powiązanie oskarżonego z podmiotami działającymi na styku sektora prywatnego i aparatu państwowego. Taki model współpracy jest dobrze znany z analiz operacji APT i znacząco utrudnia zarówno atrybucję, jak i egzekwowanie odpowiedzialności prawnej.

Konsekwencje / ryzyko

Skutki podobnych kampanii są wielowarstwowe. Na poziomie operacyjnym kompromitacja Exchange może prowadzić do przejęcia korespondencji, kradzieży danych uwierzytelniających, uzyskania dostępu do systemów wewnętrznych oraz wdrożenia dodatkowego złośliwego oprogramowania. Na poziomie strategicznym oznacza to możliwość długotrwałego cyberwywiadu, monitorowania procesów biznesowych i gromadzenia informacji o wysokiej wartości.

W tym przypadku ryzyko wykraczało poza klasyczne naruszenie poufności. Jeśli atakujący uzyskali dostęp do badań naukowych i komunikacji ekspertów medycznych, incydent dotyczył również bezpieczeństwa badań, własności intelektualnej oraz ciągłości procesów badawczo-rozwojowych. Skala wykorzystania luk w Exchange pokazała ponadto, że pojedyncza podatność w szeroko wdrożonej technologii może doprowadzić do kompromitacji tysięcy organizacji w bardzo krótkim czasie.

Nagroda finansowa ogłoszona przez USA ma również wymiar odstraszający i polityczny. To sygnał, że działania operatorów powiązanych z państwami mogą być ścigane nie tylko przez sankcje i presję dyplomatyczną, ale także przy użyciu instrumentów prawa karnego, ekstradycji i międzynarodowej współpracy organów ścigania.

Rekomendacje

Organizacje powinny traktować ten przypadek jako wyraźne przypomnienie, że bezpieczeństwo systemów pocztowych nadal pozostaje jednym z priorytetów operacyjnych. W praktyce oznacza to konieczność utrzymywania rygorystycznego procesu zarządzania poprawkami, zwłaszcza dla usług wystawionych do internetu oraz systemów pełniących centralną rolę w komunikacji.

Kluczowe jest także aktywne wyszukiwanie śladów kompromitacji po ujawnieniu krytycznych luk. Samo wdrożenie poprawek nie gwarantuje bezpieczeństwa, jeśli atakujący wcześniej zainstalował web shell lub uzyskał uprzywilejowany dostęp. Dlatego zespoły SOC i IR powinny analizować logi serwerów, nietypowe żądania HTTP, artefakty w katalogach aplikacji webowych, anomalie w procesach IIS oraz oznaki lateral movement.

Priorytetowo łatać systemy wystawione do internetu.
Prowadzić retrospektywną analizę logów po publikacji informacji o nowych lukach.
Weryfikować obecność web shelli i innych mechanizmów trwałości.
Wdrożyć MFA dla kont uprzywilejowanych.
Segmentować infrastrukturę i ograniczać uprawnienia administracyjne.
Monitorować dostęp do skrzynek pocztowych oraz repozytoriów danych.
Rozwijać zdolności threat huntingu i szybkiego reagowania na kampanie masowej eksploatacji.

W środowiskach hybrydowych warto również regularnie przeglądać relacje zaufania między systemami on-premises a usługami chmurowymi. Przypadek Hafnium pokazał, że czas między ujawnieniem podatności a jej wykorzystaniem na dużą skalę może być bardzo krótki, a opóźnienia w reakcji istotnie zwiększają powierzchnię ataku.

Podsumowanie

Sprawa Zhang Yu oraz nagrody do 10 mln dolarów oferowanej przez USA pokazuje, że kampania Hafnium nadal pozostaje punktem odniesienia dla analiz zagrożeń APT, bezpieczeństwa serwerów Exchange i odpowiedzialności za operacje sponsorowane przez państwa. Dla obrońców najważniejsza lekcja pozostaje niezmienna: szybkie łatanie systemów musi iść w parze z aktywnym wykrywaniem śladów wcześniejszej kompromitacji oraz gotowością do reagowania na szeroko zakrojone kampanie eksploatacji.