Wojciech Ciemski, Autor w serwisie Security Bez Tabu

Aktywne ataki na Fortinet FortiSandbox. Trzy krytyczne luki umożliwiają zdalne przejęcie systemu

Wprowadzenie do problemu / definicja

FortiSandbox to platforma służąca do analizy podejrzanych plików i ładunków w odizolowanym środowisku. Jej zadaniem jest wykrywanie złośliwego oprogramowania oraz dostarczanie informacji o zagrożeniach do pozostałych elementów infrastruktury bezpieczeństwa. Z tego powodu skuteczne przejęcie takiego systemu może mieć znacznie poważniejsze konsekwencje niż naruszenie zwykłego serwera aplikacyjnego.

Obecnie organizacje muszą zmierzyć się z aktywną eksploatacją trzech krytycznych podatności w Fortinet FortiSandbox. Luki pozwalają na zdalny atak bez uwierzytelnienia i mogą prowadzić do pełnej kompromitacji urządzenia, kradzieży danych oraz wykorzystania platformy bezpieczeństwa jako punktu wejścia do dalszej penetracji sieci.

W skrócie

Aktywnie wykorzystywane są trzy luki: CVE-2026-39813, CVE-2026-39808 oraz CVE-2026-25089.
Wszystkie podatności otrzymały wysoką ocenę CVSS 9.1.
Dwie luki załatano w kwietniu 2026 roku, a trzecią dopiero w czerwcu 2026 roku.
Atak obejmuje obejście uwierzytelnienia oraz wstrzyknięcie poleceń systemowych.
Największe ryzyko dotyczy instancji z wystawionym interfejsem administracyjnym lub API.

Kontekst / historia

Rozwiązania Fortinet od lat pozostają atrakcyjnym celem dla cyberprzestępców. Wynika to zarówno z ich szerokiego wykorzystania w środowiskach korporacyjnych, jak i z wartości operacyjnej urządzeń bezpieczeństwa po ich przejęciu. Kompromitacja produktu chroniącego organizację daje napastnikowi uprzywilejowaną pozycję, dostęp do danych telemetrycznych i możliwość wpływania na procesy detekcji.

W przypadku FortiSandbox sytuacja jest szczególnie istotna, ponieważ system analizuje próbki malware, współpracuje z innymi narzędziami ochronnymi i często funkcjonuje w zaufanych segmentach infrastruktury. Najnowsze obserwacje pokazują, że atakujący równolegle wykorzystują trzy odrębne błędy, co zwiększa presję na zespoły odpowiedzialne za aktualizację i monitoring tych środowisk.

Analiza techniczna

Pierwsza z podatności, CVE-2026-39813, dotyczy interfejsu JRPC API i jest klasyfikowana jako path traversal. Tego typu błąd pozwala manipulować ścieżką żądania w taki sposób, aby ominąć założenia logiki dostępu. W praktyce może to doprowadzić do obejścia uwierzytelnienia i uzyskania dostępu do funkcji przeznaczonych wyłącznie dla zalogowanych administratorów.

Druga luka, CVE-2026-39808, polega na wstrzyknięciu poleceń systemowych. Jeżeli dane wejściowe nie są poprawnie walidowane i trafiają do powłoki systemowej, napastnik może uruchomić nieautoryzowane komendy. W efekcie możliwe staje się zdalne wykonanie kodu, modyfikacja konfiguracji, instalacja dodatkowych narzędzi oraz osadzenie mechanizmów trwałości na urządzeniu.

Trzecia podatność, CVE-2026-25089, również należy do kategorii OS command injection i obejmuje FortiSandbox, FortiSandbox Cloud oraz FortiSandbox PaaS WEB UI. Szczególne znaczenie ma fakt, że została załatana stosunkowo niedawno, co zwiększa prawdopodobieństwo, że część organizacji nie zdążyła jeszcze wdrożyć poprawek. Nawet niedopracowane narzędzia exploitacyjne mogą okazać się skuteczne wobec słabo zabezpieczonych lub publicznie dostępnych instancji.

Kluczowym elementem wszystkich trzech scenariuszy jest brak wymaganego uwierzytelnienia dla ścieżki ataku. Oznacza to, że zagrożone są przede wszystkim systemy dostępne z Internetu, sieci współdzielonych lub niedostatecznie odseparowanych stref administracyjnych. W takich przypadkach czas między ujawnieniem luki a pierwszymi próbami jej masowego wykorzystania bywa bardzo krótki.

Konsekwencje / ryzyko

Ryzyko związane z tymi podatnościami należy uznać za wysokie. FortiSandbox przetwarza wrażliwe dane dotyczące analizowanych zagrożeń, konfiguracji i integracji z innymi narzędziami bezpieczeństwa. Przejęcie takiego systemu może przełożyć się nie tylko na utratę kontroli nad samym urządzeniem, ale także na naruszenie szerszego ekosystemu ochronnego.

zdalne wykonanie kodu i pełna kompromitacja appliance,
kradzież konfiguracji, poświadczeń i tokenów serwisowych,
manipulacja wynikami analizy zagrożeń,
wykorzystanie urządzenia do ruchu bocznego w sieci,
ukrywanie śladów aktywności poprzez ingerencję w logi i ustawienia bezpieczeństwa.

W praktyce organizacje powinny zakładać, że niezałatana i wystawiona instancja może stać się celem zautomatyzowanych kampanii skanujących. Szczególnie groźne są środowiska, w których urządzenie ma szeroką łączność z systemami zarządzania, pocztą, SIEM, EDR, firewallami lub repozytoriami próbek.

Rekomendacje

Najważniejszym działaniem jest natychmiastowe ustalenie, czy w środowisku działają podatne wersje FortiSandbox, FortiSandbox Cloud lub FortiSandbox PaaS, a następnie jak najszybsze wdrożenie poprawek producenta. Sama aktualizacja nie powinna jednak kończyć procesu reagowania.

przeprowadzić pilny przegląd wersji i porównać je z opublikowanymi biuletynami bezpieczeństwa,
ograniczyć dostęp do interfejsów administracyjnych wyłącznie do zaufanych adresów i wydzielonych sieci zarządzających,
wyłączyć publiczną ekspozycję paneli WWW i API, jeśli nie jest bezwzględnie konieczna,
przeanalizować logi HTTP, logi systemowe oraz zdarzenia administracyjne pod kątem prób obejścia autoryzacji i wykonywania poleceń,
sprawdzić integralność konfiguracji, kont administracyjnych i harmonogramów zadań,
zweryfikować nietypowe połączenia wychodzące z urządzenia,
wdrożyć dodatkowe reguły detekcyjne w SIEM, WAF i NDR,
przygotować procedurę izolacji oraz odtworzenia systemu z zaufanego obrazu w razie oznak kompromitacji.

W organizacjach o podwyższonym profilu ryzyka warto traktować niezałataną ekspozycję jako potencjalne naruszenie do momentu jednoznacznego potwierdzenia, że urządzenie nie zostało wykorzystane przez atakujących.

Podsumowanie

Aktywna eksploatacja trzech krytycznych luk w Fortinet FortiSandbox pokazuje, że urządzenia bezpieczeństwa pozostają jednym z najbardziej wartościowych celów dla cyberprzestępców. Połączenie obejścia uwierzytelnienia i wstrzyknięcia poleceń systemowych tworzy scenariusz prowadzący bezpośrednio do zdalnej kompromitacji.

Dwie podatności były dostępne z poprawkami od kwietnia 2026 roku, natomiast trzecia została załatana w czerwcu 2026 roku. To oznacza, że organizacje powinny działać natychmiast: aktualizować systemy, ograniczać ekspozycję interfejsów zarządzania i prowadzić retrospektywną analizę śladów potencjalnego wykorzystania.

Źródła

DragonForce ukrywa ruch C2 w infrastrukturze Microsoft Teams Relay

Wprowadzenie do problemu / definicja

Cyberprzestępcy coraz częściej wykorzystują legalne usługi chmurowe do maskowania komunikacji z serwerami dowodzenia i kontroli. W najnowszym przypadku grupa ransomware DragonForce ukrywała ruch C2 w infrastrukturze relay powiązanej z Microsoft Teams, przez co złośliwa aktywność mogła przypominać zwykły ruch biznesowy do zaufanej platformy.

To ważny sygnał dla zespołów bezpieczeństwa, ponieważ klasyczne podejście oparte na reputacji domen, adresów IP i listach usług dozwolonych staje się coraz mniej skuteczne. Jeśli malware tuneluje komunikację przez powszechnie wykorzystywane środowisko SaaS, wykrycie incydentu wymaga znacznie głębszej korelacji danych z sieci, endpointów i tożsamości.

W skrócie

DragonForce wykorzystał malware Backdoor.Turn do ukrywania komunikacji C2 w infrastrukturze TURN używanej przez Microsoft Teams.
Atakujący pozyskiwali anonimowy token gościa i zestawiali połączenie przez legalny relay, aby ruch wyglądał jak zaufana komunikacja.
Kampania została powiązana z atakiem na dużą firmę usługową w USA.
W łańcuchu ataku użyto także DLL sideloading, technik BYOVD, eskalacji uprawnień i finalnego wdrożenia ransomware po eksfiltracji danych.

Kontekst / historia

DragonForce jest znaną operacją ransomware aktywną co najmniej od 2023 roku. Grupa była wcześniej opisywana jako podmiot działający w modelu zbliżonym do kartelu, korzystający z rozproszonego zaplecza przestępczego i elastycznych metod prowadzenia ataków.

W analizowanym incydencie szczególną uwagę zwrócił nie tylko sam etap szyfrowania danych, ale przede wszystkim sposób utrzymywania ukrytej komunikacji po uzyskaniu dostępu do środowiska ofiary. To właśnie wykorzystanie infrastruktury Microsoft Teams Relay pokazuje, że techniki znane dotąd z analiz badawczych zaczynają być stosowane w realnych operacjach ransomware.

Znaczenie tego przypadku wzmacnia wcześniejsze zainteresowanie badaczy możliwością nadużywania usług konferencyjnych i mechanizmów TURN do tworzenia ukrytych tuneli komunikacyjnych. Obecnie widać już wyraźne przejście od koncepcji teoretycznej do praktycznego użycia w atakach wymierzonych w przedsiębiorstwa.

Analiza techniczna

Centralnym elementem kampanii było złośliwe oprogramowanie Backdoor.Turn, opisane jako trojan zdalnego dostępu napisany w języku Go. Malware wykorzystywał protokół TURN, czyli mechanizm pośredniczący w komunikacji sieciowej w sytuacji, gdy bezpośrednie połączenie między stronami jest utrudnione, na przykład przez translację adresów lub ograniczenia sieciowe.

Schemat działania polegał na uzyskaniu anonimowego tokenu gościa Microsoft Teams, a następnie na zainicjowaniu komunikacji przez legalny serwer relay. W praktyce pozwalało to tunelować ruch C2 tak, aby z perspektywy monitoringu przypominał standardowe połączenia związane z usługą Teams. To znacząco utrudnia wykrywanie oparte wyłącznie na analizie miejsca docelowego ruchu.

Według opisu incydentu atak rozpoczął się prawdopodobnie od wykorzystania nieznanej podatności w serwerze SQL lub MSSQL. Po uzyskaniu dostępu napastnicy pobrali archiwum ZIP zawierające legalny plik wykonywalny, taki jak VirtualBox lub DbgView, oraz złośliwą bibliotekę DLL przeznaczoną do sideloadingu. Taki mechanizm pozwala uruchomić szkodliwy kod w kontekście zaufanego procesu i utrudnia analizę operacyjną.

Kolejny etap obejmował utrwalanie dostępu i osłabianie zabezpieczeń. Atakujący tworzyli nieautoryzowane konta użytkowników, modyfikowali polityki bezpieczeństwa Windows, zmieniali ustawienia zapory oraz przygotowywali środowisko do dalszych działań. Następnie zastosowali technikę Bring Your Own Vulnerable Driver, wykorzystując podatne sterowniki do uzyskania uprawnień jądra i wyłączania narzędzi ochronnych.

W analizie wskazano użycie kilku podatnych lub nadużywanych sterowników, a także złośliwego sterownika ABYSSWORKER podszywającego się pod legalny komponent. To istotny element łańcucha ataku, ponieważ BYOVD pozwala omijać ochronę endpointów jeszcze przed wdrożeniem właściwego ładunku ransomware.

Sam Backdoor.Turn został wstrzyknięty do procesu DbgView64.exe po wdrożeniu ransomware, co sugeruje funkcję utrzymania dostępu, dalszego rozpoznania lub przygotowania kolejnych operacji. Możliwości backdoora obejmowały wykonywanie poleceń, uruchamianie procesów, skanowanie sieci, przeszukiwanie LDAP i Active Directory, przechwytywanie certyfikatów TLS, zbieranie tytułów stron WWW oraz kradzież poświadczeń z przeglądarek.

Konsekwencje / ryzyko

Najpoważniejsze ryzyko wynika z nadużycia zaufanej infrastruktury komunikacyjnej do ukrywania złośliwego ruchu. W wielu organizacjach Microsoft Teams i podobne usługi są szeroko dopuszczane przez firewalle, serwery proxy oraz polityki dostępu. To sprawia, że część złośliwej aktywności może nie wzbudzić alarmu, jeśli analiza opiera się głównie na prostym allowlistingu.

Z perspektywy operacyjnej taki model komunikacji obniża skuteczność klasycznych detekcji C2. Ruch nie musi prowadzić do domen o złej reputacji ani do nietypowych lokalizacji geograficznych, a jego charakter może przypominać codzienne wykorzystanie legalnej platformy komunikacyjnej. W rezultacie rośnie poziom szumu, a próg wykrycia rzeczywistego incydentu wyraźnie spada.

Dodatkowo połączenie tej techniki z DLL sideloading, BYOVD, eksfiltracją danych i wdrożeniem ransomware znacząco zwiększa skalę zagrożenia. Ofiara może mieć do czynienia jednocześnie z długotrwałą obecnością napastnika w środowisku, pogłębionym rozpoznaniem infrastruktury, kradzieżą danych i destrukcyjnym etapem szyfrowania systemów.

Rekomendacje

Organizacje powinny odejść od założenia, że ruch do zaufanych platform SaaS jest z definicji bezpieczny. W praktyce oznacza to konieczność analizy behawioralnej połączeń, uwzględniającej proces inicjujący ruch, kontekst użytkownika, czas aktywności oraz korelację z telemetrią bezpieczeństwa.

Monitorować połączenia do usług komunikacyjnych pod kątem nietypowych procesów i niestandardowych wzorców ruchu.
Wdrażać detekcję DLL sideloading oraz uruchamiania legalnych binariów z nietypowych lokalizacji.
Ograniczać ładowanie sterowników poprzez listy dozwolonych, HVCI i Windows Defender Application Control.
Aktywnie wykrywać techniki BYOVD poprzez monitoring instalacji i uruchamiania podatnych sterowników.
Wzmocnić ochronę serwerów SQL i MSSQL, które często pełnią rolę punktu wejścia.
Regularnie audytować nowe konta użytkowników, zmiany polityk systemowych i lokalne uprawnienia administracyjne.
Analizować ruch związany z Teams pod kątem anomalii wolumenowych, czasowych i procesowych.
Rozszerzyć reguły SIEM, EDR i NDR o wskaźniki kompromitacji oraz scenariusze threat hunting związane z nadużyciem infrastruktury konferencyjnej.

Zespoły reagowania na incydenty powinny również uwzględnić w playbookach możliwość wykorzystywania legalnych usług konferencyjnych jako kanału C2. Taki scenariusz wymaga innych metod triage niż klasyczne infekcje komunikujące się z oczywiście podejrzaną infrastrukturą.

Podsumowanie

Przypadek DragonForce pokazuje wyraźną ewolucję ataków ransomware w kierunku bardziej dyskretnych i trudniejszych do wykrycia technik operacyjnych. Wykorzystanie relay TURN powiązanego z Microsoft Teams nie jest jedynie ciekawostką techniczną, lecz praktycznym sposobem obchodzenia zaufania, jakim organizacje obdarzają popularne usługi chmurowe.

Połączenie tej metody z sideloadingiem DLL, nadużyciem podatnych sterowników, eskalacją uprawnień i eksfiltracją danych tworzy dojrzały łańcuch ataku zdolny do omijania wielu standardowych mechanizmów ochronnych. Dla obrońców oznacza to konieczność głębszej analizy legalnego ruchu SaaS, twardszej kontroli sterowników oraz lepszej korelacji sygnałów z warstwy endpoint, sieci i tożsamości.

Źródła

FTC ostrzega przed rekordowymi stratami w oszustwach podszywających się pod instytucje i firmy

Wprowadzenie do problemu

Oszustwa typu imposter scam, czyli kampanie oparte na podszywaniu się pod zaufane instytucje, firmy lub przedstawicieli wsparcia, należą dziś do najgroźniejszych form cyberprzestępczości wymierzonej w użytkowników indywidualnych. Przestępcy wykorzystują autorytet banków, urzędów, operatorów płatności i dużych marek, aby wywołać presję i skłonić ofiarę do przekazania pieniędzy lub danych.

Najnowsze ostrzeżenia amerykańskiej Federal Trade Commission pokazują, że skala tego procederu osiągnęła poziom rekordowy. Problem nie dotyczy wyłącznie klasycznych prób wyłudzeń, ale całego ekosystemu ataków socjotechnicznych, w których człowiek staje się najsłabszym ogniwem bezpieczeństwa.

W skrócie

Według danych regulatora, w 2025 roku konsumenci w USA stracili około 3,5 mld dolarów w oszustwach bazujących na podszywaniu się pod instytucje i firmy. Ta kategoria odpowiadała za niemal jedną trzecią wszystkich zgłoszeń oszustw.

Największe straty generowały fałszywe alerty bezpieczeństwa rzekomo pochodzące od banków. Istotnym kanałem działania przestępców pozostały także media społecznościowe, które odpowiadały za ponad 2,1 mld dolarów zgłoszonych strat związanych z oszustwami tego typu.

Kontekst i historia zjawiska

Oszustwa impersonacyjne nie są nowym zjawiskiem, ale ich skuteczność wyraźnie wzrosła wraz z popularyzacją komunikacji mobilnej, platform społecznościowych i reklam wyświetlanych w wyszukiwarkach. Atakujący nie muszą przełamywać zaawansowanych zabezpieczeń technicznych, jeśli potrafią zbudować wiarygodny pretekst i odpowiednio zmanipulować ofiarę.

W ostatnich latach szczególnie powszechne stały się scenariusze, w których przestępcy podszywają się pod bank, urząd skarbowy, organ ścigania, dostawcę usług płatniczych albo dział bezpieczeństwa znanej firmy. Celem jest wywołanie strachu, poczucia pilności lub przekonania, że konto ofiary zostało naruszone. Dodatkowo działania regulatorów pokazują, że zjawisko jest traktowane coraz poważniej także na poziomie egzekwowania prawa i odpowiedzialności podmiotów wykorzystujących takie praktyki.

Analiza techniczna

Z technicznego punktu widzenia imposter scam to połączenie inżynierii społecznej, komunikacji wielokanałowej i nadużycia zaufania do rozpoznawalnej marki lub instytucji. Atak może rozpocząć się od SMS-a, telefonu, wiadomości e-mail, reklamy sponsorowanej, komunikatora albo kontaktu przez media społecznościowe.

Choć początkowy wektor bywa prosty, skuteczność kampanii wynika z dobrze zaplanowanego łańcucha socjotechnicznego. Przestępca prowadzi ofiarę krok po kroku do działania, które z punktu widzenia systemu bankowego lub usługi wygląda na dobrowolnie autoryzowane.

inicjalny kontakt podszywający się pod zaufany podmiot,
wytworzenie presji czasowej pod pretekstem zagrożenia dla konta lub tożsamości,
przekierowanie ofiary do rozmowy z rzekomym analitykiem bezpieczeństwa lub pracownikiem banku,
nakłonienie do wykonania przelewu, wypłaty gotówki, zakupu kart podarunkowych lub podania wrażliwych danych,
zerwanie kontaktu po uzyskaniu pieniędzy albo informacji.

Szczególnie niebezpieczne są fałszywe alerty bankowe. Ofiara otrzymuje wiadomość lub telefon o rzekomej podejrzanej aktywności, a następnie słyszy instrukcję, by przelać środki na konto zabezpieczające albo zatwierdzić operację mającą zablokować nadużycie. W praktyce sama autoryzuje transfer do przestępców.

Media społecznościowe pozostają wyjątkowo atrakcyjnym środowiskiem dla takich kampanii. Umożliwiają precyzyjne targetowanie, szybkie tworzenie fałszywych profili, przejmowanie konwersacji w prywatnych wiadomościach i budowanie pozorów wiarygodności przy użyciu spreparowanych lub skompromitowanych kont.

Konsekwencje i ryzyko

Najbardziej oczywistym skutkiem są bezpośrednie straty finansowe, jednak skala ryzyka jest znacznie szersza. Ofiary mogą ujawnić dane osobowe, informacje o rachunkach, kody jednorazowe, dane kart płatniczych lub dokumenty potwierdzające tożsamość, co otwiera drogę do dalszych nadużyć.

W praktyce może to prowadzić do przejęcia kont, oszustw kredytowych, kolejnych kampanii wymierzonych w rodzinę i współpracowników, a także wtórnej kompromitacji tożsamości. Dla sektora finansowego i dostawców usług cyfrowych oznacza to wzrost liczby incydentów, większe koszty obsługi zgłoszeń oraz silniejszą presję regulacyjną.

Dla organizacji szczególnie groźne są scenariusze, w których atakujący podszywają się pod zarząd, dział finansowy lub partnera biznesowego. Tego rodzaju ataki mogą skutkować nieautoryzowanymi płatnościami, ujawnieniem danych lub naruszeniem procedur wewnętrznych.

Rekomendacje

Skuteczna obrona przed oszustwami podszywającymi się pod instytucje wymaga połączenia kontroli technicznych, edukacji użytkowników i sprawnych procedur operacyjnych. Samo wdrożenie narzędzi bezpieczeństwa nie wystarczy, jeśli organizacja nie przygotuje ludzi na realistyczne scenariusze manipulacji.

prowadzenie regularnych szkoleń z rozpoznawania oszustw impersonacyjnych,
stosowanie zasady niezależnej weryfikacji każdego żądania płatności lub zmiany danych finansowych,
monitorowanie kampanii podszywających się pod markę w mediach społecznościowych, reklamach i podobnych domenach,
wdrożenie procedur callback verification dla operacji finansowych,
integracja sygnałów fraudowych z pracą SOC, helpdesku i zespołów wsparcia klienta,
przygotowanie gotowych procedur reagowania na zgłoszenia dotyczące podejrzanych kontaktów.

Z perspektywy użytkownika końcowego kluczowe jest, aby nie wykonywać przelewów na rzekome bezpieczne konto wskazane przez rozmówcę, nie ufać samemu numerowi telefonu czy nazwie nadawcy oraz samodzielnie kontaktować się z bankiem lub urzędem przez oficjalne kanały. Presja czasu, żądanie podania kodów autoryzacyjnych i próba przeniesienia rozmowy do mniej formalnego kanału powinny być traktowane jako sygnały ostrzegawcze.

Podsumowanie

Rekordowe straty związane z oszustwami opartymi na podszywaniu się pod instytucje potwierdzają, że inżynieria społeczna pozostaje jednym z najpoważniejszych zagrożeń w obszarze cyberbezpieczeństwa i fraudu cyfrowego. Najbardziej skuteczne kampanie nie muszą łamać zabezpieczeń systemowych, ponieważ wykorzystują stres, zaufanie i autoryzowane działania samej ofiary.

Dla zespołów bezpieczeństwa oznacza to konieczność łączenia monitoringu fraudowego, edukacji, procedur weryfikacyjnych i szybkiej reakcji operacyjnej. Ochrona przed imposter scam wymaga dziś nie tylko technologii, ale również dojrzałości procesowej i wysokiej świadomości użytkowników.

Źródła

https://www.bleepingcomputer.com/news/security/ftc-warns-of-record-35-billion-losses-to-imposter-scams-in-2025/
https://www.ftc.gov/news-events/news/press-releases/2026/06/ftc-warns-americans-lost-record-35-billion-imposter-scams-2025
https://www.ftc.gov/business-guidance/resources/government-business-impersonation-rule
https://www.ic3.gov/Media/PDF/AnnualReport/2025_IC3Report.pdf

GhostTree: jak rekursywne junctions w Windows pomagają ukrywać malware przed skanowaniem

Wprowadzenie do problemu / definicja

GhostTree to technika unikania detekcji w systemach Windows, która wykorzystuje rekursywne dowiązania katalogów NTFS typu junction do budowania zapętlonych struktur ścieżek. W praktyce pozwala to tworzyć bardzo dużą liczbę logicznie poprawnych odwołań do tych samych plików i katalogów, co może utrudniać lub wręcz blokować skuteczne skanowanie przez część narzędzi bezpieczeństwa.

Problem nie wynika z klasycznej podatności w jądrze systemu, ale z różnic między sposobem działania systemu plików NTFS a metodą, jaką silniki antywirusowe, EDR i skanery plików realizują rekursywne przeszukiwanie katalogów. To sprawia, że legalna funkcja systemu może zostać wykorzystana ofensywnie.

W skrócie

GhostTree opiera się na mechanizmie junctions w NTFS.
Atakujący może tworzyć zapętlone struktury katalogów bez uprawnień administratora, jeśli ma prawo zapisu do folderu.
Wiele odgałęzień prowadzących do tego samego katalogu powoduje gwałtowny wzrost liczby możliwych ścieżek.
Narzędzia bezpieczeństwa mogą zawieszać się, przekraczać limity czasu lub nie kończyć skanowania.
W efekcie złośliwy plik umieszczony w katalogu bazowym może nie zostać przeanalizowany w odpowiednim czasie.

Kontekst / historia

Dowiązania katalogów i inne typy reparse points od dawna są obecne w ekosystemie Windows. Służą między innymi do zachowania kompatybilności, reorganizacji danych oraz przekierowywania ścieżek bez konieczności fizycznego przenoszenia plików. Z perspektywy administracyjnej są użyteczne, ale z perspektywy bezpieczeństwa bywają niedoszacowanym ryzykiem.

GhostTree rozwija prostszy scenariusz określany jako GhostBranch, w którym pojedynczy katalog potomny wskazuje z powrotem na katalog nadrzędny. W wersji rozszerzonej zamiast jednej pętli powstaje wiele równoległych odgałęzień, co prowadzi do efektu drzewa rekursyjnego. Każda kolejna warstwa zwiększa liczbę poprawnych logicznie ścieżek prowadzących do tych samych obiektów.

Analiza techniczna

Junction w NTFS jest szczególnym typem reparse point, który przekierowuje dostęp z jednego katalogu do innego. Dla aplikacji analizującej system plików zawartość katalogu docelowego może wyglądać tak, jakby znajdowała się lokalnie w miejscu odwołania. To właśnie ten mechanizm staje się podstawą techniki GhostTree.

W najprostszym wariancie tworzony jest katalog podrzędny, który wskazuje z powrotem na katalog nadrzędny. Gdy skaner porusza się rekursywnie po strukturze, może wielokrotnie odwiedzać ten sam logiczny obszar danych pod różnymi ścieżkami. Jeśli oprogramowanie nie rozpoznaje cykli lub nie deduplikuje obiektów według rzeczywistej tożsamości pliku czy katalogu, zaczyna wykonywać zbędną i kosztowną analizę.

GhostTree zwiększa skuteczność tego podejścia przez dodanie wielu katalogów potomnych wskazujących na tego samego rodzica. W rezultacie liczba możliwych kombinacji ścieżek rośnie wykładniczo. Nawet jeśli głębokość pozostaje ograniczona przez długość ścieżki i zachowanie aplikacji, całkowity koszt przetwarzania może stać się bardzo wysoki.

Znaczenie ma także sposób obsługi limitów długości ścieżek w Windows. Chociaż współczesne środowiska mogą wspierać dłuższe ścieżki, wiele narzędzi nadal korzysta z uproszczonych założeń lub starszych mechanizmów. W połączeniu z reparse points może to prowadzić do timeoutów, błędów logiki skanowania albo pomijania właściwego obiektu docelowego.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem GhostTree jest możliwość ukrycia malware w lokalizacji, której pełne przeskanowanie staje się dla narzędzia ochronnego zbyt kosztowne lub praktycznie niewykonalne. Zwiększa to ryzyko, że dropper, loader, ransomware lub inny złośliwy plik pozostanie niewykryty przez istotny czas.

Technika ta jest szczególnie niebezpieczna w środowiskach, które w dużym stopniu opierają bezpieczeństwo na skanowaniu endpointów. Jeśli produkt EDR lub AV nie radzi sobie poprawnie z rekursywnymi junctions, napastnik może wykorzystać tę słabość do opóźnienia analizy lub obejścia jednej z warstw obrony.

Ryzyko nie ogranicza się wyłącznie do detekcji malware. Zapętlone struktury katalogów mogą również wpływać na działanie systemów backupu, DLP, inwentaryzacji zasobów, skryptów administracyjnych i narzędzi IR. W efekcie organizacja może obserwować zwiększone zużycie zasobów, błędy operacyjne, timeouty i problemy z analizą incydentów.

Rekomendacje

Organizacje powinny traktować junctions, symbolic links i inne reparse points jako element wymagający monitorowania. Szczególnie podejrzane są sytuacje, w których katalog potomny wskazuje na katalog nadrzędny lub wiele odgałęzień prowadzi do tej samej lokalizacji.

Wdrożyć wykrywanie cykli w grafie katalogów zamiast ślepego podążania za każdą ścieżką.
Ograniczać głębokość rekursji oraz liczbę ścieżek odwiedzanych przez skanery.
Deduplikować analizę według rzeczywistego obiektu na dysku, a nie wyłącznie tekstowej postaci ścieżki.
Monitorować tworzenie i modyfikację reparse points w telemetryce bezpieczeństwa.
Przeprowadzić audyt uprawnień do katalogów, w których użytkownicy mogą tworzyć junctions.
Testować produkty EDR, AV i skanery plików pod kątem poprawnej obsługi rekursywnych junctions.
Regularnie aktualizować silniki ochronne, ponieważ nowe wersje mogą zawierać poprawki w tym obszarze.

Dodatkowo warto uwzględnić GhostTree w działaniach threat huntingowych oraz scenariuszach ćwiczeń zespołów SOC i IR. Pozwala to wcześniej ustalić, czy używane narzędzia rzeczywiście wykrywają ten typ nadużycia i czy skanowanie kończy się prawidłowo.

Podsumowanie

GhostTree pokazuje, że obejście zabezpieczeń nie zawsze wymaga zaawansowanego exploita ani eskalacji uprawnień. Czasami wystarczy wykorzystanie legalnego mechanizmu systemu operacyjnego w sposób, którego oprogramowanie ochronne nie przewidziało. Rekursywne junctions mogą zamienić zwykły katalog w strukturę trudną do pełnego przeskanowania przez źle zaprojektowane silniki analizy.

Dla obrońców to ważne przypomnienie, że skuteczność ochrony endpointów zależy nie tylko od sygnatur i heurystyk, ale również od poprawnego modelowania zachowania systemu plików. Monitorowanie reparse points, testy odporności narzędzi oraz wielowarstwowa detekcja pozostają kluczowe, by ograniczyć skuteczność technik takich jak GhostTree.

Źródła

GhostTree Attack Abused Recursive Windows Junctions to Hide Malware — https://www.bleepingcomputer.com/news/security/ghosttree-attack-abused-recursive-windows-junctions-to-hide-malware/
Hard links and junctions — Microsoft Learn — https://learn.microsoft.com/en-us/windows/win32/fileio/hard-links-and-junctions
Maximum Path Length Limitation — Microsoft Learn — https://learn.microsoft.com/en-us/windows/win32/fileio/maximum-file-path-limitation

Steam Workshop i Wallpaper Engine wykorzystane do dystrybucji malware

Wprowadzenie do problemu / definicja

Platformy z treściami tworzonymi przez społeczność od dawna znajdują się w obszarze zainteresowania cyberprzestępców. Najnowszy przypadek związany ze Steam Workshop i aplikacją Wallpaper Engine pokazuje, że nawet legalny ekosystem dodatków wizualnych może zostać wykorzystany do dystrybucji złośliwego oprogramowania.

Problem dotyczy przede wszystkim tapet uruchamianych jako aplikacje, które nie są jedynie elementem graficznym, lecz mogą wykonywać kod w systemie Windows. To sprawia, że zwykła personalizacja pulpitu staje się potencjalnym wektorem infekcji.

W skrócie

Badacze bezpieczeństwa wykryli kampanię, w której złośliwe tapety publikowane w Steam Workshop były instalowane przez użytkowników za pośrednictwem Wallpaper Engine. Po uruchomieniu takich elementów dochodziło do instalacji dodatkowych komponentów malware.

Wykryto backdoory i stealery informacji.
Atakujący kradli dane dostępowe do kont Steam.
W części przypadków instalowano koparki kryptowalut, loadery botnetów oraz ransomware.
Choć część złośliwych pozycji usunięto, sam model ataku pozostaje aktualny.

Kontekst / historia

Wallpaper Engine to popularne narzędzie do personalizacji pulpitu dostępne w ekosystemie Steam. Oprogramowanie obsługuje różne typy tapet, w tym materiały wideo, sceny interaktywne, strony internetowe oraz tapety-aplikacje.

Z perspektywy bezpieczeństwa kluczowe znaczenie ma właśnie ostatnia z tych kategorii. Tego typu zawartość może uruchamiać natywne aplikacje Windows, co oznacza, że granica między dekoracyjną treścią a wykonywalnym kodem praktycznie zanika.

Według ustaleń badaczy, atakujący wykorzystywali ten mechanizm co najmniej od końca 2025 roku. Do Steam Workshop trafiały pozornie nieszkodliwe pakiety, które po aktywacji inicjowały pobranie lub uruchomienie dodatkowych ładunków malware.

Analiza techniczna

Sedno zagrożenia tkwi w architekturze funkcji application wallpapers. W odróżnieniu od zwykłych tapet nie są one statycznym zasobem, lecz komponentem mogącym uruchamiać kod w systemie operacyjnym.

W analizowanych przypadkach złośliwe pliki były osadzane bezpośrednio w pakiecie tapety albo ukrywane w chronionych archiwach. Mechanizm socjotechniczny był prosty: użytkownik miał uwierzyć, że instaluje atrakcyjny dodatek wizualny, prostą grę lub nieszkodliwą miniaplikację.

Jeden z opisanych przykładów podszywał się pod działającą zgodnie z oczekiwaniami grę, co miało ograniczyć podejrzenia ofiary. Równolegle w tle uruchamiany był backdoor z rodziny DarkKomet, a dodatkowo wdrażano zmodyfikowaną bibliotekę AggregatorHost.dll odpowiedzialną za wyszukiwanie artefaktów związanych z kontami Steam i kradzież danych uwierzytelniających.

Badacze wskazali również na obecność innych rodzin malware, takich jak Lumma i Vidar, znanych z wykradania danych z przeglądarek, portfeli kryptowalutowych i lokalnych magazynów haseł. W niektórych próbkach obserwowano także koparki kryptowalut, loadery botnetów, RanEngine oraz ransomware.

To sugeruje, że nie chodziło wyłącznie o pojedynczą kampanię jednego aktora, ale o szersze wykorzystywanie tego samego kanału dystrybucji przez różne grupy zagrożeń. Atak ten wpisuje się w model nadużycia zaufanej platformy, w którym użytkownik pobiera złośliwą zawartość z rozpoznawalnego i legalnego źródła.

Konsekwencje / ryzyko

Najbardziej bezpośrednim skutkiem ataku jest przejęcie konta Steam i utrata danych uwierzytelniających. Może to prowadzić do utraty dostępu do biblioteki gier, cyfrowych przedmiotów oraz środków przypisanych do profilu.

Ryzyko wykracza jednak poza samo konto gracza. Backdoor może zapewnić trwały dostęp do hosta, stealer umożliwia kradzież haseł i danych finansowych, a miner powoduje zwiększone obciążenie zasobów systemowych.

Jeśli zaatakowane urządzenie jest wykorzystywane również do pracy, incydent może przerodzić się w naruszenie bezpieczeństwa organizacji. Zaufanie do platformy społecznościowej dodatkowo zwiększa skuteczność takiego scenariusza, ponieważ duża liczba pobrań lub pozytywna ekspozycja mogą tworzyć fałszywe poczucie wiarygodności.

Rekomendacje

Użytkownicy powinni zachować szczególną ostrożność wobec dodatków instalowanych z platform społecznościowych, zwłaszcza jeśli uruchamiają one kod wykonywalny. Dotyczy to nie tylko Wallpaper Engine, ale również innych aplikacji opartych na treściach generowanych przez użytkowników.

Instalować wyłącznie treści pochodzące od znanych i wiarygodnych autorów.
Unikać pakietów typu aplikacyjnego, jeśli ich działanie nie jest w pełni zrozumiałe.
Skanować pobierane elementy narzędziami antymalware z aktualnymi sygnaturami.
Włączyć ochronę konta Steam, w tym uwierzytelnianie wieloskładnikowe.
Monitorować nietypowe biblioteki DLL, wpisy autostartu i procesy potomne.
Nie używać tego samego hosta do celów prywatnych i służbowych, jeśli nie jest to konieczne.

W środowiskach firmowych zalecane jest wdrożenie polityk application control, ograniczeń uruchamiania binariów z katalogów użytkownika, sandboxingu oraz monitorowania aplikacji personalizacyjnych przez systemy EDR i SOC.

Podsumowanie

Incydent związany ze Steam Workshop i Wallpaper Engine pokazuje, że nawet narzędzia kojarzone z rozrywką mogą zostać przekształcone w skuteczny kanał dostarczania malware. Nie był to wyłącznie przypadek złośliwej tapety, lecz przykład nadużycia zaufanego ekosystemu dystrybucji treści.

Najważniejszy wniosek jest jasny: każda funkcja pozwalająca uruchamiać aktywną zawartość powinna być traktowana jak potencjalny mechanizm wykonania kodu. Dla użytkowników oznacza to większą ostrożność przy instalowaniu dodatków, a dla organizacji konieczność twardszej kontroli aplikacji i segmentacji ryzyka.

Źródła

https://www.bleepingcomputer.com/news/security/steam-workshop-abused-to-spread-malware-via-wallpaper-engine-app/
https://securelist.com/
https://partner.steamgames.com/doc/features/workshop
https://help.wallpaperengine.io/

Rokarolla: nowy trojan bankowy na Androida wykrada PIN-y, kody SMS i środki z portfeli kryptowalut

Wprowadzenie do problemu / definicja

Rokarolla to nowo opisany trojan bankowy dla systemu Android, którego możliwości wykraczają poza klasyczną kradzież loginów i haseł. Złośliwe oprogramowanie łączy funkcje phishingu mobilnego, przejmowania uprawnień systemowych oraz zdalnej kontroli nad urządzeniem, co czyni je szczególnie niebezpiecznym dla użytkowników bankowości mobilnej i aplikacji kryptowalutowych.

Największe zagrożenie wynika z faktu, że malware nie opiera się wyłącznie na jednej technice ataku. Rokarolla potrafi przechwytywać PIN-y, odczytywać i wysyłać wiadomości SMS, wyświetlać fałszywe ekrany logowania, manipulować schowkiem systemowym oraz wspierać operatora w przejmowaniu pełnej kontroli nad smartfonem ofiary.

W skrócie

Rokarolla rozprzestrzenia się poprzez fałszywe strony i aplikacje instalowane poza oficjalnym sklepem.
Po infekcji nadużywa usług ułatwień dostępu, aby uzyskać szerokie uprawnienia operacyjne.
Malware ma obsługiwać 137 komend zdalnych i atakować 217 aplikacji związanych z finansami oraz kryptowalutami.
Do kluczowych funkcji należą kradzież kodów OTP, przechwytywanie danych ekranu blokady, blokowanie połączeń oraz podmiana adresów portfeli kryptowalutowych w schowku.

Kontekst / historia

Rokarolla wpisuje się w rosnący trend rozwoju zaawansowanych mobilnych trojanów bankowych dla Androida. Współczesne kampanie coraz rzadziej bazują na klasycznych lukach technicznych, a częściej wykorzystują socjotechnikę, fałszywe instalatory oraz nadużywanie legalnych funkcji systemowych.

W tym modelu ataku ofiara jest przekonywana do pobrania aplikacji spoza Google Play. Następnie instalowany jest komponent pośredniczący, który podszywa się pod narzędzie ochronne i skłania użytkownika do przyznania krytycznych uprawnień. Dopiero potem uruchamiany jest właściwy ładunek malware, odpowiedzialny za kradzież danych i sterowanie urządzeniem.

Analiza techniczna

Łańcuch infekcji rozpoczyna się od droppera podszywającego się pod Google Play Protect. Jego głównym zadaniem jest nakłonienie ofiary do aktywacji usług Accessibility, które w praktyce otwierają drogę do szerokiej ingerencji w interfejs, przechwytywania treści ekranu i wykonywania działań bez pełnej świadomości użytkownika.

Po uruchomieniu Rokarolla komunikuje się z infrastrukturą dowodzenia i kontroli przez HTTPS. Malware przesyła dane telemetryczne o urządzeniu, w tym model telefonu, wersję Androida, ustawienia regionalne, parametry ekranu, stan baterii i pamięci. Takie informacje pozwalają operatorom profilować ofiary i dostosowywać dalsze etapy ataku.

Jednym z najważniejszych mechanizmów są nakładki ekranowe. Po wykryciu uruchomienia wybranej aplikacji bankowej lub kryptowalutowej trojan wyświetla spreparowany formularz logowania zapisany lokalnie. Użytkownik widzi interfejs przypominający prawdziwą aplikację, a wpisane dane trafiają bezpośrednio do atakującego. Tą samą metodą mogą być wyłudzane również dane kart płatniczych.

Szczególnie groźna jest zdolność do przechwytywania danych ekranu blokady. Rokarolla potrafi imitować systemowy ekran odblokowania i w ten sposób pozyskiwać PIN, hasło lub wzór. To istotnie zwiększa skuteczność oszustwa, ponieważ umożliwia wykonywanie dalszych operacji nawet wtedy, gdy urządzenie pozostaje formalnie zablokowane.

Trojan odczytuje wszystkie wiadomości SMS i może też wysyłać je w imieniu ofiary. Oznacza to możliwość przechwytywania kodów jednorazowych służących do uwierzytelniania i autoryzacji transakcji. Dodatkowo malware może przejąć rolę domyślnej aplikacji do SMS-ów i połączeń, co pozwala blokować telefony ostrzegawcze z banku lub innych instytucji.

W zakresie nadzoru nad urządzeniem Rokarolla wykorzystuje keylogging, analizę elementów interfejsu oraz cykliczne zrzuty ekranu realizowane przez mechanizmy Accessibility. To podejście może utrudniać wykrycie, ponieważ omija klasyczne ostrzeżenia kojarzone z nagrywaniem ekranu.

Ważnym elementem jest również manipulacja schowkiem. Jeżeli użytkownik kopiuje adres portfela kryptowalutowego, trojan może podmienić go na adres kontrolowany przez atakującego. W praktyce oznacza to ryzyko nieodwracalnej utraty środków po zatwierdzeniu transakcji.

Dodatkowe funkcje obejmują ukrywanie ikony aplikacji, wyciszanie urządzenia, utrzymywanie aktywnego ekranu oraz próby wyłączania mechanizmów ochronnych, takich jak Google Play Protect. Z perspektywy obrońców jest to połączenie technik persistence, evasion i anti-user-intervention w jednym, spójnym zestawie narzędzi.

Konsekwencje / ryzyko

Ryzyko związane z Rokarolla jest wysokie zarówno dla użytkowników indywidualnych, jak i dla sektora finansowego. Po stronie ofiary skutkiem może być utrata środków z kont bankowych, przejęcie dostępu do aplikacji finansowych, kompromitacja danych osobowych oraz wyciek wiadomości i kontaktów.

Dla banków i dostawców usług finansowych zagrożenie oznacza wzrost skuteczności oszustw opartych na przejęciu sesji mobilnej oraz obejściu drugiego składnika uwierzytelniania. Blokowanie połączeń przychodzących może ograniczyć efektywność działań antyfraudowych, a podmiana schowka zwiększa ryzyko błędnie autoryzowanych transferów kryptowalutowych.

Istotne jest także to, że problemu nie da się wyeliminować pojedynczą poprawką systemową. Rokarolla wykorzystuje połączenie socjotechniki, nadużywania uprawnień oraz elastycznej infrastruktury C2, dlatego skuteczna obrona wymaga zarówno narzędzi technicznych, jak i edukacji użytkowników.

Rekomendacje

Podstawową zasadą bezpieczeństwa pozostaje instalowanie aplikacji wyłącznie z oficjalnego sklepu Google Play oraz unikanie pakietów APK pobieranych z przypadkowych stron. Każda prośba o przyznanie uprawnień Accessibility powinna być traktowana jako sygnał ostrzegawczy, zwłaszcza gdy dotyczy aplikacji podszywającej się pod narzędzie ochronne lub popularną usługę.

Użytkownicy powinni regularnie sprawdzać, czy Google Play Protect pozostaje aktywne, a także kontrolować, które aplikacje mają dostęp do SMS-ów, powiadomień i funkcji telefonicznych. W środowiskach firmowych warto wdrażać rozwiązania MDM lub MTD zdolne do wykrywania sideloadingu, nadużyć usług Accessibility oraz prób przejęcia roli domyślnej aplikacji SMS lub telefonu.

Ograniczyć instalację aplikacji do zaufanych źródeł.
Monitorować uprawnienia wysokiego ryzyka, zwłaszcza Accessibility i dostęp do SMS-ów.
Odejść od SMS OTP jako jedynego drugiego składnika uwierzytelniania.
Wykrywać anomalie związane z nakładkami ekranowymi i zmianą domyślnych aplikacji systemowych.
W przypadku podejrzenia infekcji odłączyć urządzenie od sieci, skontaktować się z bankiem i rozważyć pełne wyczyszczenie telefonu.

Podsumowanie

Rokarolla pokazuje, że nowoczesny malware mobilny działa dziś jak platforma do pełnego przejmowania urządzeń, a nie tylko prosty trojan do kradzieży haseł. Połączenie fałszywych nakładek, przechwytywania PIN-u, kradzieży SMS-ów, blokowania połączeń i manipulacji schowkiem znacząco podnosi skuteczność ataków finansowych na Androida.

Z praktycznego punktu widzenia najważniejsze są trzy elementy: ograniczenie sideloadingu, ścisła kontrola uprawnień wysokiego ryzyka oraz wzmacnianie metod uwierzytelniania odpornych na przejęcie zainfekowanego smartfona. Bez tych działań użytkownicy i organizacje pozostaną podatni na coraz bardziej zaawansowane kampanie mobilne.

Źródła

Złośliwe wtyczki w JetBrains Marketplace wykradały klucze API do usług AI

Wprowadzenie do problemu / definicja

Ekosystem wtyczek do środowisk programistycznych stał się istotnym elementem nowoczesnego łańcucha dostaw oprogramowania. Rozszerzenia instalowane bezpośrednio w IDE mogą uzyskiwać dostęp do kodu, ustawień, tokenów i innych danych uwierzytelniających wykorzystywanych przez programistów. W opisanym incydencie wykryto kampanię złośliwych wtyczek opublikowanych w JetBrains Marketplace, których zadaniem było potajemne przechwytywanie kluczy API do popularnych usług AI.

W skrócie

W JetBrains Marketplace zidentyfikowano co najmniej 15 złośliwych wtyczek publikowanych z użyciem wielu kont dostawców. Dodatki podszywały się pod narzędzia do code review, asystentów AI, integracje Git oraz funkcje wspierające programowanie. Choć działały zgodnie z deklarowaną funkcją, równolegle przechwytywały wpisywane przez użytkowników klucze API i wysyłały je na zewnętrzny serwer.

Kampania miała trwać od października 2025 roku.
Nowe wtyczki pojawiały się jeszcze w czerwcu 2026 roku.
Łączna liczba pobrań mogła sięgać około 70 tysięcy.
Celem były klucze API do usług wykorzystywanych przez narzędzia AI dla programistów.

Kontekst / historia

Incydenty typu supply chain najczęściej kojarzą się z rejestrami pakietów i bibliotek wykorzystywanych w procesie budowania aplikacji. Tym razem wektor ataku dotyczył jednak bezpośrednio marketplace’u rozszerzeń do IDE, czyli narzędzia obecnego w codziennej pracy zespołów developerskich, DevOps i platform engineering.

Znaczenie tego przypadku jest szczególne, ponieważ wtyczki IDE działają blisko procesu tworzenia oprogramowania i często mają szeroki dostęp do środowiska użytkownika. Jednocześnie rosnąca popularność narzędzi opartych na sztucznej inteligencji sprawia, że deweloperzy coraz częściej przechowują w IDE klucze dostępu do komercyjnych modeli, usług inferencyjnych i platform wspomagających pisanie kodu. To czyni środowisko programistyczne atrakcyjnym celem dla atakujących poszukujących łatwych do monetyzacji sekretów.

W analizowanej kampanii wtyczki były przedstawiane jako praktyczne dodatki wykorzystujące usługi OpenAI, DeepSeek oraz SiliconFlow. Z perspektywy użytkownika wyglądały więc jak typowe rozszerzenia zwiększające produktywność, a nie jak złośliwe oprogramowanie.

Analiza techniczna

Najważniejszym elementem kampanii było połączenie realnej funkcjonalności z ukrytym mechanizmem eksfiltracji danych. Wtyczki wykonywały deklarowane zadania, ale po zapisaniu konfiguracji przesyłały wprowadzony klucz API do zdalnego serwera kontrolowanego przez operatorów kampanii.

Z dostępnych ustaleń wynika, że mechanizm kradzieży uruchamiał się w chwili zatwierdzenia ustawień rozszerzenia. Następnie sekret był wysyłany do zaszytego na stałe endpointu HTTP. Taki sposób działania wskazuje na prosty, ale skuteczny model pozyskiwania poświadczeń bez konieczności stosowania zaawansowanego malware.

W kodzie obecny był stały endpoint służący do eksfiltracji danych.
Do przesyłu wykorzystywano nieszyfrowany kanał HTTP.
Atak koncentrował się na szybkim przechwytywaniu sekretów z ustawień użytkownika.
Wiele wykrytych wtyczek współdzieliło bardzo podobny kod.

Badacze wskazali również na użycie wielu kont wydawców, co mogło utrudniać szybkie powiązanie wszystkich próbek z jednym operatorem i omijać podstawowe mechanizmy reputacyjne. Dodatkowo zauważono logikę związaną z płatnym poziomem dostępu, w ramach którego użytkownik mógł otrzymać z serwera gotowy klucz API do dalszej komunikacji z modelem. Taki schemat jest z perspektywy bezpieczeństwa skrajnie podejrzany i może sugerować wtórne wykorzystywanie przejętych poświadczeń.

Wśród częściej pobieranych nazw wskazywano między innymi DeepSeek AI Assist oraz CodeGPT AI Assistant. Sama liczba pobrań nie musi jednak odzwierciedlać liczby faktycznie zainfekowanych systemów, ponieważ statystyki marketplace’u mogą obejmować także aktualizacje i ponowne instalacje.

Konsekwencje / ryzyko

Kradzież kluczy API do usług AI niesie ryzyko wykraczające poza samo przejęcie dostępu technicznego. W pierwszej kolejności może prowadzić do nadużyć billingowych, gdy atakujący wykorzystują cudze poświadczenia do masowych zapytań i generowania kosztów po stronie ofiary.

Drugim zagrożeniem jest możliwość pośredniego ujawnienia danych wrażliwych. Jeżeli organizacja korzysta z modeli AI do analizy kodu, dokumentacji, konfiguracji lub innych materiałów biznesowych, kompromitacja klucza może zwiększyć ryzyko wycieku informacji związanych z projektami i procesami wewnętrznymi.

Nie mniej istotny jest aspekt łańcucha dostaw. Nawet jeśli w tym przypadku głównym celem była kradzież sekretów, podobny kanał dystrybucji mógłby zostać użyty do pobierania dodatkowych ładunków, manipulacji kodem, podmiany commitów czy zbierania innych poświadczeń z maszyn deweloperskich.

Możliwe straty finansowe wynikające z nadużycia kluczy API.
Ryzyko wycieku danych przesyłanych do usług AI.
Zagrożenie dla integralności środowiska developerskiego.
Potencjalny wpływ na całe organizacje, nie tylko na pojedynczych programistów.

Rekomendacje

Incydent powinien skłonić organizacje korzystające z JetBrains IDE do przeglądu polityki bezpieczeństwa dotyczącej rozszerzeń developerskich. Wtyczki do IDE należy traktować jak pełnoprawny element powierzchni ataku i objąć je podobnym poziomem kontroli jak biblioteki, kontenery czy zależności używane w CI/CD.

Przeprowadzić natychmiastowy audyt wszystkich zainstalowanych wtyczek w środowiskach JetBrains.
Usunąć podejrzane rozszerzenia i przeanalizować logi oraz artefakty sieciowe hostów.
Uznać używane w tych wtyczkach klucze API za skompromitowane i wykonać ich rotację.
Ograniczyć zakres uprawnień kluczy oraz wdrożyć limity budżetowe i monitoring użycia.
Stosować firmowe menedżery sekretów zamiast przechowywania tokenów bezpośrednio w ustawieniach pluginów.
Monitorować ruch wychodzący z maszyn deweloperskich, szczególnie nietypowe połączenia HTTP.
Wprowadzić listę dozwolonych rozszerzeń oraz proces zatwierdzania nowych dodatków.
Szkolć zespoły developerskie z ryzyk związanych z rozszerzeniami AI i pluginami produktywnościowymi.

Podsumowanie

Kampania złośliwych wtyczek w JetBrains Marketplace pokazuje, że środowiska programistyczne stały się wartościowym celem dla ataków wymierzonych w sekrety dostępu do usług AI. Atakujący nie musieli wykorzystywać zaawansowanych exploitów — wystarczyło zaufanie użytkowników do marketplace’u i użytecznie wyglądających rozszerzeń. To nowoczesny przykład zagrożenia supply chain, w którym celem nie są wyłącznie hasła administracyjne, lecz także klucze API napędzające codzienną pracę deweloperów.

Źródła

BleepingComputer — https://www.bleepingcomputer.com/news/security/malicious-jetbrains-marketplace-plugins-steal-ai-api-keys-from-developers/