Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
GoSerpent to wcześniej nieudokumentowane złośliwe oprogramowanie wykorzystywane w operacjach cybernetycznego szpiegostwa przeciwko instytucjom rządowym i placówkom dyplomatycznym w Azji Południowo-Wschodniej. Kampania ma charakter ukierunkowany, długotrwały i nastawiony na utrzymanie dostępu do środowiska ofiary, zbieranie danych wrażliwych oraz przygotowanie ich do późniejszej eksfiltracji.
Z perspektywy obrony jest to przykład zagrożenia klasy APT, w którym nacisk położono nie na destrukcję, lecz na dyskretne działania po naruszeniu systemu. Tego typu operacje są szczególnie niebezpieczne dla organizacji przetwarzających informacje strategiczne, polityczne i administracyjne.
W skrócie
Badacze bezpieczeństwa ujawnili aktywność malware GoSerpent, obserwowaną od końca 2025 roku. Narzędzie działa jako backdoor i zdalny trojan dostępu, umożliwiając operatorom komunikację z serwerem C2, uruchamianie powłoki, transfer plików, przekierowanie ruchu oraz zestawianie serwera proxy SOCKS5.
- Kampania była wymierzona w podmioty rządowe i dyplomatyczne.
- Aktywność wykryto w lutym 2026 roku, ale sama operacja miała rozpocząć się wcześniej.
- Malware wspiera zarówno utrzymanie dostępu, jak i etapowe zbieranie oraz wyprowadzanie danych.
- W działaniach wykorzystano także narzędzia do kradzieży poświadczeń i tunelowania ruchu.
- W maju 2026 roku operatorzy mieli powrócić do wcześniej naruszonych środowisk z rozszerzonym zestawem komponentów.
Kontekst / historia
Cele atakujących obejmowały instytucje rządowe oraz placówki dyplomatyczne w regionie Azji Południowo-Wschodniej. Choć aktywność została ujawniona w 2026 roku, analiza wskazuje, że operatorzy mogli prowadzić działania już od końcówki 2025 roku, a wcześniejsze warianty implantu opartego na języku Go miały być używane przeciwko ofiarom w tym regionie nawet od 2021 roku.
Taki obraz sugeruje konsekwentny rozwój zaplecza technicznego oraz długofalowe planowanie operacyjne. Analitycy zwracają również uwagę na podobieństwa w zakresie doboru celów, technik i możliwości do wcześniej opisywanej aktywności kojarzonej z kampanią TetrisPhantom. Na obecnym etapie ostrożniej jednak mówić o nakładających się cechach operacyjnych niż o jednoznacznie potwierdzonej atrybucji.
Analiza techniczna
GoSerpent działa jako backdoor przyjmujący zaszyfrowane i zakodowane w Base64 argumenty wiersza poleceń. Argumenty zawierają adres serwera dowodzenia i kontroli oraz hasło komunikacyjne. Po odszyfrowaniu implant zestawia szyfrowane połączenie z infrastrukturą C2, a skrót SHA-256 hasła pełni rolę klucza używanego do ochrony komunikacji.
Funkcjonalnie malware zapewnia operatorom szeroki zestaw możliwości typowych dla fazy post-eksploatacyjnej. Obejmuje to zgłaszanie aktywnej infekcji do serwera, nasłuchiwanie na porcie, zamykanie nasłuchu, łączenie z systemami zdalnymi, uruchamianie powłoki na zainfekowanym hoście, a także wysyłanie i pobieranie plików.
Istotnym elementem jest obsługa serwera proxy SOCKS5 oraz przekazywanie ruchu do połączonych węzłów. Dzięki temu przejęte hosty mogą być wykorzystywane jako punkty pośrednie do tunelowania ruchu, ukrywania źródła aktywności oraz wspierania dalszego ruchu bocznego wewnątrz sieci ofiary.
W kampanii wdrażano również dodatkowe komponenty i narzędzia wspierające kolejne etapy operacji.
- ThumbcacheService – moduł do zaawansowanego zbierania plików i przygotowania ich do eksfiltracji.
- Mimikatz – narzędzie używane do pozyskiwania materiału uwierzytelniającego z pamięci procesu LSASS.
- QuarksDumpLocalHash – komponent wykorzystywany do ekstrakcji skrótów haseł kont lokalnych z rejestru SAM.
- McMx RAT – lżejszy implant z funkcjami zdalnego dostępu i proxy.
- Stowaway – narzędzie do tunelowania, zdalnej powłoki, proxy i transferu plików.
- TmcLoader oraz TmcPayload – moduły odpowiedzialne za ładowanie i eksfiltrację wcześniej zgromadzonych danych.
Cały łańcuch działania wskazuje na wieloetapową, dobrze zaplanowaną operację. Najpierw uzyskiwany i utrzymywany jest dostęp, następnie dochodzi do zbierania poświadczeń oraz danych, a dopiero później uruchamiane są mechanizmy odpowiedzialne za ich wyprowadzenie poza środowisko ofiary. Takie rozdzielenie etapów utrudnia szybką detekcję i reagowanie.
Konsekwencje / ryzyko
Ryzyko związane z GoSerpent należy ocenić jako wysokie, szczególnie w sektorze publicznym, dyplomatycznym oraz w organizacjach operujących na danych o znaczeniu strategicznym. Największym zagrożeniem jest możliwość długotrwałej i ukrytej obecności atakującego w środowisku.
- Kradzież dokumentów wrażliwych i informacji o znaczeniu operacyjnym.
- Przejęcie poświadczeń użytkowników, administratorów i kont uprzywilejowanych.
- Wykorzystanie zainfekowanych hostów jako punktów tranzytowych do dalszych ataków.
- Utrudnione wykrycie z uwagi na modułową architekturę i etapową eksfiltrację.
- Zwiększone ryzyko eskalacji uprawnień oraz ruchu lateralnego.
Szczególnie groźne jest połączenie funkcji backdoora, proxy i narzędzi credential dumping. Taki zestaw zwiększa skuteczność działań po naruszeniu, a także utrudnia pełne usunięcie zagrożenia, jeśli reakcja obejmuje tylko część infrastruktury. Dodatkowym problemem może być wykorzystywanie udziałów sieciowych do pośredniego magazynowania danych przed ich eksfiltracją.
Rekomendacje
Organizacje narażone na ukierunkowane kampanie szpiegowskie powinny potraktować ten przypadek jako sygnał do wzmocnienia monitoringu środowisk endpointowych, serwerowych i sieciowych. W praktyce szczególnie ważne jest wykrywanie nietypowych zachowań post-eksploatacyjnych, a nie tylko znanych wskaźników kompromitacji.
- Wdrożyć monitoring ruchu C2, tunelowania oraz nietypowego wykorzystania SOCKS5.
- Wykrywać próby dostępu do LSASS i użycie narzędzi klasy credential dumping.
- Monitorować zmiany w udziałach sieciowych oraz nietypowe gromadzenie plików.
- Segmentować sieć, aby ograniczyć ruch boczny pomiędzy systemami.
- Stosować zasadę najmniejszych uprawnień dla kont użytkowników i administratorów.
- Wzmocnić ochronę stacji administracyjnych oraz systemów krytycznych.
- Analizować uruchamianie niestandardowych binariów napisanych w języku Go.
- Regularnie przeglądać artefakty persistence, zadania harmonogramu i nietypowe usługi.
- Wykorzystywać EDR lub XDR z regułami behawioralnymi ukierunkowanymi na eksfiltrację i tunelowanie.
- Prowadzić threat hunting pod kątem transferu danych do udziałów sieciowych poprzedzającego wyciek.
W środowiskach wysokiego ryzyka warto rozszerzyć detekcję o analizę całych łańcuchów narzędzi i zachowań. Operatorzy kampanii APT często modyfikują konkretne moduły, ale zachowują podobny model działania, który może być wykryty na poziomie telemetrii i korelacji zdarzeń.
Podsumowanie
GoSerpent to przykład dojrzałego narzędzia używanego w operacjach cybernetycznego szpiegostwa, w których priorytetem jest długoterminowy dostęp i dyskretne pozyskiwanie danych. Szyfrowana komunikacja, obsługa proxy SOCKS5, transfer plików oraz integracja z narzędziami do kradzieży poświadczeń wskazują na wysoki poziom przygotowania technicznego operatorów.
Dla zespołów bezpieczeństwa kluczowe pozostaje szybkie wykrywanie nietypowych działań po uzyskaniu dostępu, ochrona kont uprzywilejowanych oraz monitoring etapowej eksfiltracji danych. Kampania pokazuje, że nowoczesne zagrożenia szpiegowskie coraz częściej opierają się na modułowości, elastyczności i długim horyzoncie operacyjnym.
Źródła
- https://thehackernews.com/2026/07/new-goserpent-malware-targets-southeast.html
- https://securelist.com/
- https://www.kaspersky.com/about/press-releases/tetrisphantom-insights-into-an-advanced-cyberespionage-campaign