Archiwa: Admin - Strona 25 z 33 - Security Bez Tabu

Tag: Admin

Policja rozbija infrastrukturę Rhadamanthys, VenomRAT i botnetu Elysium (Operation Endgame)

Wprowadzenie do problemu / definicja luki

W dniach 10–14 listopada 2025 r. międzynarodowe służby ścigania przeprowadziły kolejną fazę Operation Endgame, wymierzoną w trzy istotne elementy ekosystemu cyberprzestępczego: Rhadamanthys (info-stealer), VenomRAT (RAT) oraz Elysium (botnet/infrastruktura C2). W wyniku działań przejęto 20 domen, zakłócono lub wyłączono 1 025 serwerów C2, przeszukano 11 lokalizacji oraz aresztowano kluczowego podejrzanego w Grecji powiązanego z VenomRAT. Organy ścigania podkreślają skalę szkód: setki tysięcy zainfekowanych komputerów i kilka milionów skradzionych poświadczeń, w tym dostęp do >100 000 portfeli kryptowalutowych ofiar.

W skrócie

  • Co się wydarzyło: skoordynowany takedown infrastruktury trzech rodzin malware (C2/domeny/serwery, przeszukania, areszt).
  • Kluczowe liczby: 1 025 serwerów, 20 domen, 11 przeszukań; jedna osoba zatrzymana (Grecja, 3 listopada 2025 r.).
  • Kogo to dotyczy: ofiary info-stealera Rhadamanthys, zdalnych przejęć przez VenomRAT i urządzeń wpiętych do botnetu Elysium; przedsiębiorstwa z USA/DE/UK/NL miały największą koncentrację C2 dla Rhadamanthys wg Black Lotus Labs.
  • Dlaczego to ważne: ogranicza zdolność przestępców do monetyzacji danych uwierzytelniających i utrudnia kampanie ransomware (Endgame celuje w łańcuch dostaw cyberprzestępczości).

Kontekst / historia / powiązania

Operation Endgame to seria skoordynowanych akcji (2024–2025) ukierunkowanych na loader’y, botnety i zaplecze C2 dla gangów ransomware. Wcześniejsze etapy obejmowały m.in. zakłócenie IcedID, Bumblebee, Pikabot, TrickBot, SystemBC i innych, a łączne przejęcia środków sięgają dziesiątek milionów euro. Najnowsza tura („Endgame 3.0”) rozszerza presję na stealery i RAT-y, czyli narzędzia do inicjalnego dostępu i kradzieży tożsamości.

Analiza techniczna / szczegóły luki

Rhadamanthys (info-stealer, MaaS)

  • Funkcje: kradzież haseł/cookies/tokenów, danych przeglądarek i portfeli krypto; panele webowe (MaaS) oraz rozległa sieć C2.
  • Skala: wg Lumen Black Lotus Labs średnio ~300 aktywnych serwerów C2 dziennie (szczyt 535 w X.2025); >60% C2 było niewidocznych w VirusTotal, co tłumaczyło dużą liczbę ofiar. W październiku 2025 r. wykrywano średnio >4 000 unikalnych IP ofiar dziennie.
  • Obserwacje powiązane z takedownem: utrata dostępu do paneli przez klientów MaaS; baner przejęcia na serwisach Rhadamanthys.

VenomRAT (Remote Access Trojan)

  • Funkcje: keylogging, zdalne sterowanie, kradzież kluczy API i danych portfeli, możliwość nadużywania kamery/mikrofonu; sprzedawany w modelu subskrypcyjnym.
  • Egzekucja prawa: areszt głównego podejrzanego w Atenach 3 listopada 2025 r. – z zabezpieczeniem kodu źródłowego, materiałów promocyjnych i portfeli krypto; śledztwo prowadzone m.in. przez Francję i USA.

Elysium (botnet/infrastruktura)

  • Rola: infrastruktura pośrednicząca w C2 i dystrybucji ładunków, ułatwiająca pivoting i ukrywanie prawdziwych paneli.
  • Efekt operacji: odcięcie węzłów C2 i domen wykorzystywanych do zarządzania zainfekowanymi hostami.

Skala szkód i dowody

  • Setki tysięcy zainfekowanych urządzeń, miliony poświadczeń; dostęp do >100 000 portfeli krypto ofiar (jeszcze nieopróżnionych). Dane o ofiarach trafiają do serwisów powiadamiających (NL CheckYourHack / Have I Been Pwned).

Praktyczne konsekwencje / ryzyko

  • Krótko- i średnioterminowe: spadek skuteczności bieżących kampanii opartych na tych narzędziach; utrudniona odsprzedaż świeżych dumpów credentiali; chwilowa redukcja spam/runów loaderów.
  • Długoterminowe: rekonfiguracja ekosystemu – migracja aktorów do innych MaaS/RAT, odtwarzanie C2 w nowych AS/hostingach, rebranding malware. Historia pokazuje, że po takedownach następuje odbudowa w 2–8 tygodni, ale z kosztami dla przestępców (skasowane panele, utrata bazy klientów, utrata reputacji). (Wniosek na podstawie trendów opisanych w raportach Endgame z 2024–2025).
  • Ryzyko wtórne: dane ofiar pozostają w obiegu (combo-listy, logi), więc account takeover i fraudy są nadal możliwe – konieczne są rotacje haseł i monitorowanie sesji.

Rekomendacje operacyjne / co zrobić teraz

1) Weryfikacja ekspozycji i kont ofiar

  • Sprawdź, czy adresy e-mail/urządzenia użytkowników figurowały w dumpach Endgame:
    • NL CheckYourHack (zestaw „November 2025 – Endgame (Rhadamanthys)”).
    • Have I Been Pwned (jeśli partnerstwo obejmuje dane z tej fazy).

2) Hunting sieciowy – artefakty C2/infostealer

Poniżej przykładowe, bezpieczne zapytania do SIEM (dostosuj do swojego telemetry):

Sigma (proxy/DNS) – podejrzane panele Rhadamanthys/Elysium

title: Suspicious Panel Access Potentially Related to Info-Stealer C2
logsource: { category: proxy }
detection:
  selection:
    cs-method|endswith: '/gate'  # często używane ścieżki paneli
    cs-host|re: '(?i)(admin|panel|login)[\.-].*'
  condition: selection
falsepositives: high
level: medium

Zeek – anomalia JA3/JA3S (RAT/Stealer)

# przykładowe pivoty na niestandardowe zestawy szyfrów
cat ssl.log | zeek-cut id.resp_p ja3 | awk '{count[$2]++} END {for (j in count) if (count[j]>50) print j, count[j]}' | sort -nr

Suricata – heurystyka POST do świeżo zarejestrowanych domen

alert http any any -> $EXTERNAL_NET any (msg:"Heuristic exfil via recent domain"; http.method; content:"POST"; nocase; pcre:"/Host:\s([a-z0-9-]+\.)+[a-z]{2,}$/Hi"; threshold: type both, track by_dst, count 50, seconds 60; classtype:policy; sid:4000011; rev:1;)

3) Endpoint & przeglądarki – detekcja i czyszczenie

  • Windows (PowerShell): sprawdź typowe lokalizacje persistencji (Run Keys, Startup, Scheduled Tasks) oraz nietypowe rozszerzenia w %AppData%:
# Autoruns - klucze Run
Get-ItemProperty 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Run','HKLM:\...\Run' | Format-List
# Zaplanowane zadania z nieznanych ścieżek
Get-ScheduledTask | ? {$_.TaskPath -notmatch '\\Microsoft\\'} | Select TaskName, TaskPath
# Nietypowe pliki w AppData
Get-ChildItem "$env:APPDATA" -Recurse -ErrorAction SilentlyContinue | ? {$_.Extension -in ".tmp",".dat",".log",".scr",".cmd",".vbs",".js"}
  • Przeglądarki: wymuś unieważnienie tokenów (SSO/OAuth), wylogowanie sesji i rotację haseł menedżerów przeglądarek.

4) IAM & konta uprzywilejowane

  • Reset haseł (wymuś aktualizację po następnym logowaniu), MFA-reset dla użytkowników z podejrzaną telemetrią logowania.
  • Blokuj logowanie „impossible travel”, włącz step-up MFA przy ryzyku średnim/wysokim (Conditional Access).

5) Hardening i prewencja

  • Attachment Sandboxing i link rewriting w secure email gateway (stealery często startują od phishu).
  • AppLocker/WDAC – blokowanie uruchomień z %AppData%, %Temp%, %ProgramData%.
  • EDR: reguły na mass credential access (LSASS handle open, DPAPI blob access, enumeracja profili przeglądarek).

6) Komunikacja z użytkownikami

  • Wyślij jasny komunikat do pracowników: możliwa ekspozycja haseł i cookies; opisz proces rotacji i weryfikacji urządzeń.

Różnice / porównania z innymi przypadkami

  • Qakbot (2023) i TrickBot/Emotet (wcześniej) – silny efekt chwilowy, ale nastąpiła reassembly innej infrastruktury. Endgame od 2024 r. uderza systemowo w łańcuch dostaw (loadery, serwery, panele, domeny) zamiast pojedynczej rodziny – to zwiększa koszt odbudowy.
  • W bieżącej turze nowością jest połączenie takedownu z publiczną weryfikacją ofiar (CheckYourHack/HIBP) i aresztem developera RAT, co utrudnia utrzymanie produktu MaaS.

Podsumowanie / kluczowe wnioski

  • Endgame 3.0 to znaczący cios w kradzież tożsamości i zdalne przejęcia (Rhadamanthys/VenomRAT) oraz w zaplecze C2 (Elysium).
  • Efekty dla obrońców są realne, ale tymczasowe, jeśli nie nastąpi rotacja poświadczeń, unieważnienie sesji i wzmacnianie kontroli dostępu.
  • Wykorzystaj okno czasowe po takedownie, by wyczyścić środowisko i podnieść próg wejścia dla kolejnych kampanii.

Źródła / bibliografia

  1. BleepingComputer – przegląd akcji (1 025 serwerów, 20 domen, areszt 3 XI 2025) i kontekst Rhadamanthys. (BleepingComputer)
  2. Europol – oficjalny komunikat: „End of the game for cybercrime infrastructure” (liczby, zakres, areszt). (Europol)
  3. Eurojust – szczegóły prawne/operacyjne, liczby i informacja o portfelach krypto. (Eurojust)
  4. SecurityWeek – podsumowanie „Operation Endgame 3.0”, tło przeszukań i techniczne skutki. (SecurityWeek)
  5. Reuters – informacja o areszcie w Grecji i szerszym kontekście Endgame (maj 2025 oraz nowa tura). (Reuters)

“CitrixBleed 2” i krytyczne błędy w Cisco ISE: fala ataków na infrastrukturę tożsamości

Wprowadzenie do problemu / definicja luki

W najnowszej kampanii ofensywnej zaobserwowano równoległe wykorzystanie dwóch błędów 0-day w kluczowych komponentach tożsamości i dostępu:

  • Citrix NetScaler ADC/Gateway – CVE-2025-5777, nieformalnie nazwany „CitrixBleed 2”: błąd ujawnienia informacji (out-of-bounds read) umożliwiający odczyt fragmentów pamięci i przejęcie sesji (w tym admina) bez uwierzytelniania, gdy urządzenie działa jako Gateway/AAA.
  • Cisco Identity Services Engine – CVE-2025-20337: pre-auth RCE jako root przez podatne API; dotyczy ISE/ISE-PIC i uzyskało ocenę CVSS 10.0.

Według najnowszych doniesień, ten sam aktor wykorzystywał oba błędy przed publikacją łat, co wprost uderza w infrastrukturę IAM/NAC i ułatwia trwałą kontrolę nad środowiskiem ofiary.

W skrócie

  • „CitrixBleed 2” (CVE-2025-5777) → wyciek pamięci i kradzież tokenów/sesji w NetScalerach działających jako Gateway/AAA.
  • Cisco ISE (CVE-2025-20337) → zdalne wykonanie kodu bez uwierzytelnienia jako root przez podatne API.
  • APT wykorzystywał oba jako 0-day (pre-patch), wdrażając niestandardowe web-shelle/malware i utrzymując niewykrywalną obecność.
  • Priorytet: natychmiastowe łatki + unieważnienie sesji, rotacja poświadczeń/kluczy, przegląd zaufania do całej płaszczyzny tożsamości.

Kontekst / historia / powiązania

Nazwa „CitrixBleed 2” nawiązuje do CitrixBleed (CVE-2023-4966) z 2023 r., który był masowo nadużywany m.in. przez grupy ransomware. Obecna luka ma podobny skutek (wyciek pamięci → przejęcie sesji), ale dotyczy nowszych wersji NetScaler i znów eksponuje perymetr zdalnego dostępu.

Po stronie Cisco ISE producent 25 czerwca 2025 r. opublikował poradnik o krytycznych RCE w ISE/ISE-PIC i w lipcu dodał CVE-2025-20337, potwierdzając maksymalną wagę problemu. Niezależne ośrodki (CERT-EU, NVD, NHS) spójnie wskazują na pre-auth RCE przez API.

Analiza techniczna / szczegóły luki

CVE-2025-5777 – NetScaler („CitrixBleed 2”)

  • Typ: out-of-bounds read → ujawnienie pamięci (m.in. tokeny sesyjne, ciasteczka) po wysłaniu spreparowanych parametrów logowania do komponentu uwierzytelniania.
  • Warunki: NetScaler skonfigurowany jako Gateway (VPN/ICA Proxy/ CVPN/RDP Proxy) lub AAA vServer.
  • Skutki: „dołączenie” do dowolnej sesji, przejęcie pulpitów VDI, hijacking aktywnych sesji admina – konsekwencje obserwowane w praktyce.

CVE-2025-20337 – Cisco Identity Services Engine

  • Typ: brak walidacji danych wejściowych w określonym API ISE/ISE-PIC → RCE jako root bez uwierzytelniania po wysłaniu spreparowanego żądania.
  • Zakres: dotyczy gałęzi 3.3 i 3.4 (naprawy w patchach wydanych przez Cisco – patrz niżej). Niezależne biuletyny potwierdzają ścieżki naprawy (3.3 Patch 7, 3.4 Patch 2).
  • Obserwacje z incydentów: niestandardowy web-shell podszywający się pod komponent ISE, działający w pamięci, z naciskiem na trwałość i stealth.

„Patch-gap” i atak przed publikacją łatek

Amazon opisał wykorzystanie obu podatności jako 0-day jeszcze przed wydaniem łat – klasyczny przykład „patch-gap exploitation” (okno między wykryciem a pełnym rolloutem poprawek). Wnioski: zarządzanie ekspozycją i telemetria/anomalia wygrywają z samą prędkością patchowania.

Praktyczne konsekwencje / ryzyko

  1. Przejęcie dostępu zdalnego i tożsamości
    Kradzież ciasteczek/tokenów NetScaler → przejęcie sesji użytkowników/adminów; RCE na ISE → pivot do AD, MDM, VPN, segmentacji NAC.
  2. Trwała obecność i niewidoczność
    Web-shelle „osadzone” w ISE, wykonywane w pamięci i maskujące się jako komponenty systemowe. Ryzyko cichego podnoszenia uprawnień oraz lateral movement.
  3. Szeroki blast radius
    Atak na warstwę IAM/NAC wpływa na całe środowisko: federacje SSO, dostęp VPN, profile polityk dostępu, integracje z chmurą.

Rekomendacje operacyjne / co zrobić teraz

0) „Assume breach” dla NetScaler i ISE

Skoro obserwowano pre-patch exploitation, traktuj oba urządzenia jak potencjalnie naruszone. Priorytet: skracać ekspozycję i podnosić wierność logowania.

1) Patch & hardening (dziś)

  • NetScaler (CVE-2025-5777): zaktualizuj do buildów z poprawką i zastosuj konfiguracyjne kroki remediacji (NetScaler Console ma wbudowany 2-etapowy workflow: upgrade + szablon komend). Po aktualizacji wymuś wygaszenie sesji i przeprowadź skan instancji.
  • Cisco ISE (CVE-2025-20337): zastosuj patche wskazane przez Cisco dla linii 3.3/3.4 (zgodnie z komunikatami CERT/NHS: m.in. 3.3 Patch 7, 3.4 Patch 2). Zweryfikuj brak ekspozycji podatnych API do Internetu.

2) Response po aktualizacji

  • Unieważnij wszystkie aktywne sesje na NetScalerach (gateway/AAA), zrotuj klucze/sekrety (SAML/OIDC, certyfikaty), zresetuj hasła kont uprzywilejowanych, przeforcesuj re-logon. (Dostarczane przez NetScaler Console mechanizmy ułatwiają masowe działania).
  • Przegląd konfiguracji ISE: odłącz nieużywane integracje, wprowadź allow-list dla API/management plane (administracja wyłącznie z sieci zarządzania/VPN z MFA).

3) Detections – szybkie reguły dla SOC

Poniższe przykłady są defensywne (bez exploitów):

Splunk (NetScaler – anomalia sesji/admin hijack)

index=netscaler sourcetype=citrix:netscaler:* 
| eval ua=coalesce(http_user_agent, user_agent) 
| stats count dc(src_ip) values(ua) as uas by cs_user, http_cookie 
| where count>1 AND dc(src_ip)>1

Wyszukuje dzielone ciasteczka/sesje z różnych IP (hijack).

Splunk (Cisco ISE – podejrzane wywołania API)

index=cisco_ise sourcetype=cisco:ise:rest
| stats count values(http_method) as m values(uri_path) as up by src_ip, user
| where user="-" OR user="anonymous" OR like(m,"%POST%")

Wykrywa anonimowe POST-y do API.

Sigma (ogólne, do SIEM z HTTP logami)

title: Suspicious Anonymous API Calls to NAC/IAM
logsource: { category: webserver }
detection:
  selection:
    http.status: [200,201,204,500]
    http.verb: POST
    http.user: "-"
    http.path|contains:
      - "/ers/config"      # ISE ERS API
      - "/oauth"           # token endpoints
      - "/nitro/v1/config" # NetScaler NITRO API
  condition: selection
level: high

4) Telemetria i ograniczenie ekspozycji

  • Zamknij management plane (ACL, bastion, jump host, VPN z MFA).
  • Włącz HTTP request logging na brzegach (WAF/reverse proxy) i integrację z SIEM.
  • Monitoruj tokeny (źródła logowania, nagłe zmiany IP/ASN, skoki geolokalizacji).

5) Łączność z chmurą i federacje

Jeśli NetScaler/ISE federuje się z IdP/SSO, rozważ rotację kluczy podpisywania (SAML/OIDC), unieważnienie refresh tokenów i ponowne wymuszenie MFA.

Różnice / porównania z innymi przypadkami

  • CitrixBleed (2023) vs. „CitrixBleed 2” (2025): w obu przypadkach wyciek pamięci umożliwia przejęcie sesji, ale nowe CVE dotyka nowszych buildów i ponownie wykazuje, że urządzenia brzegowe IAM/VPN są „łakomym kąskiem”.
  • Cisco ISE RCE wyróżnia się na tle wielu błędów NAC tym, że daje root RCE pre-auth przez API – przez co łańcuch ataku jest krótszy (bez kradzieży kont).

Podsumowanie / kluczowe wnioski

  1. Tożsamość to nowy perymetr – atak na NetScaler i ISE to skrót do całej organizacji.
  2. Okno „patch-gap” jest realne – planuj kompensacyjne kontrole (segmentacja, izolacja zarządzania, wysokiej jakości logowanie) zanim pojawi się łatka.
  3. Po każdej aktualizacji wykonuj czynności post-incident: unieważnienie sesji, rotacje i przegląd anomalii – samo „patch done” nie wystarczy.

Źródła / bibliografia

  • Dark Reading – opis kampanii i korelacja między Citrix i Cisco ISE. (Dark Reading)
  • AWS Security Blog (CJ Moses) – szczegóły o pre-patch exploitation i taktykach aktora. (Amazon Web Services, Inc.)
  • NetScaler Docs – procedura dwuetapowej remediacji CVE-2025-5777 (upgrade + konfiguracja). (docs.netscaler.com)
  • NVD – szczegóły CVE-2025-20337 (RCE pre-auth w API ISE/ISE-PIC). (NVD)
  • CERT-EU / NHS – kontekst wersji ISE i rekomendacje patchy (3.3/3.4). (cert.europa.eu)

ICS Patch Tuesday (listopad 2025): luki załatane przez Siemens, Rockwell Automation, AVEVA i Schneider Electric

Wprowadzenie do problemu / definicja luki

Listopadowy „ICS Patch Tuesday” przyniósł pakiet biuletynów bezpieczeństwa od czterech ważnych dostawców OT/ICS: Siemens, Rockwell Automation, AVEVA i Schneider Electric. Zaadresowane problemy obejmują wykonanie kodu (RCE), SSRF z wyciekiem NTLM, obejście MFA, trwałe XSS, CSRF, DoS i nadużycia API w systemach inżynierskich oraz platformach bezpieczeństwa OT. To są typowe klasy błędów, które w środowiskach produkcyjnych mogą prowadzić do przerw w procesie, manipulacji setpointami, utraty widoczności lub utrudnień w bezpiecznym zatrzymaniu instalacji.

W skrócie

  • Siemens: 6 nowych biuletynów; m.in. krytyczne RCE i obejście zabezpieczeń w COMOS, problemy w Solid Edge (MITM/DLL hijacking), LOGO! 8 BM (RCE/DoS/manipulacja ustawieniami), SICAM P850 (CSRF).
  • Rockwell Automation: 5 nowych biuletynów (11 listopada). Kluczowe: Verve Asset Manager – błąd kontroli dostępu (CVE-2025-11862) pozwalający użytkownikowi read-only modyfikować konta przez API; Studio 5000 – lokalne SSRF z wyciekiem NTLM (CVE-2025-11696); DataMosaix Private Cloud – obejście MFA (CVE-2025-11084) i trwałe XSS; aktualizacje komponentów w SIS Workstation (DotNetZip) i FactoryTalk Policy Manager (DoS).
  • AVEVA: dwa biuletyny; m.in. persistent XSS oraz luka w AVEVA Edge (MD5/„słabe” hashe) umożliwiająca brute-force haseł z plików projektu/cache.
  • Schneider Electric: 2 nowe biuletyny; jeden dotyczy wpływu luki AVEVA Edge na EcoStruxure Machine SCADA Expert i Pro-face BLUE Open Studio, drugi – poważne problemy (path traversal, brute-force uwierzytelniania, eskalacja uprawnień) w PowerChute Serial Shutdown.

Kontekst / historia / powiązania

Regularne pakiety poprawek dla ICS/OT agregują zarówno luki własne dostawców, jak i wciągnięte „z dołu” błędy w komponentach zewnętrznych (biblioteki archiwizacji, SDK CAD/CAM, stosy sieciowe). Przykładem jest COMOS (komponent SDK rysunków), Solid Edge (parsowanie plików/łańcuch DLL), a u Rockwella – DotNetZip czy problemy w politykach FactoryTalk. Dodatkowo, słabe schematy kryptograficzne (MD5) w produktach klasy HMI/SCADA – jak AVEVA Edge – re-eksponują te same zagrożenia w rebrandowanych liniach Schneider (EcoStruxure/Pro-face), co ilustruje ryzyko łańcucha dostaw oprogramowania.

Analiza techniczna / szczegóły luki

Siemens

  • COMOS: dwa CVE – w tym krytyczne RCE i obejście zabezpieczeń. Atak powierzchniowy: pliki projektu / biblioteki SDK (Drawings SDK). Wymaga dostępu do systemu inżynierskiego i możliwości podmiany kontrolowanych artefaktów.
  • Solid Edge:
    • Improper certificate validation przy komunikacji z License Service → MITM (brak poprawnej walidacji certyfikatów klienta/serwera).
    • DLL hijacking (CWE-427) w Solid Edge/Siemens Software Center → wykonanie kodu po podłożeniu złośliwego DLL (UI-prompted).
    • Osobny tor CVE dla out-of-bounds write podczas parsowania plików PRT (RCE).
  • LOGO! 8 BM: zestaw luk prowadzących do RCE/DoS/manipulacji zachowaniem urządzenia (CVSS v4 do 8.6). Dot. także wariantów SIPLUS.
  • SICAM P850: CSRF w interfejsie web (starsza rodzina – nadal spotykana w energetyce).

Rockwell Automation

  • Verve Asset Manager (CVE-2025-11862): błąd autoryzacji API – użytkownik read-only może czytać/aktualizować/usuwać użytkowników → eskalacja uprawnień / blokada administracyjna. Wersje podatne 1.33–1.41.3; poprawione w 1.41.4+ oraz 1.42.
  • Studio 5000 Simulation Interface (CVE-2025-11696): lokalne SSRF przez API wymuszające ruch SMB i przechwycenie NTLM hashes (relay/offline-crack).
  • FactoryTalk DataMosaix Private Cloud (CVE-2025-11084): obejście MFA w oknie 7-dniowej konfiguracji + persistent XSS.
  • SIS Workstation: podatność w DotNetZip (komponent 3rd-party) → potencjalne RCE przez crafted archive.
  • FactoryTalk Policy Manager: DoS wskutek błędów komponentów zależnych (naprawione).

AVEVA

  • AVEVA Edge: hasła użytkowników (lokalne/AD) haszowane MD5; posiadacz read-only plików projektu lub offline cache może wykonać brute-force i odzyskać hasła → wtórne przejęcia sesji/stanowisk inżynierskich.
  • Osobny biuletyn: persistent XSS (eskalacja uprawnień, kradzież tokenów w środowisku webowym).

Schneider Electric

  • Wpływ luki AVEVA Edge na EcoStruxure Machine SCADA Expert i Pro-face BLUE Open Studio – te produkty dziedziczą słabe hashowanie i wektory odczytu plików projektu/cache.
  • PowerChute Serial Shutdown: path traversal, brute-force uwierzytelniania i eskalacja uprawnień (wysoka waga dla UPS/bezpiecznego wyłączania).

Praktyczne konsekwencje / ryzyko

  • MITM/SSRF/NTLM: przechwycenie hashy NTLM ułatwia relay w domenie lub offline cracking → wejście do sieci OT bocznymi drzwiami (zewn. stacje inżynierskie, jump-hosty).
  • Słabe hashe (MD5) w AVEVA/Schneider: atakujący z kopią plików projektu (backup, share, repo) może wyciągnąć hasła operatorów/administratorów HMI/SCADA i przelogować się do środowiska DCS/PLC.
  • RCE/DLL hijacking na stacjach inżynierskich (COMOS, Solid Edge): droga do trojanizacji plików projektowych i trwałego dostępu do repozytoriów automatyki (PLM/ALM).
  • Nadużycia API (Verve): możliwość usuwania/uaktualniania kont z uprawnieniami przekłada się na utratę widoczności i utrudnienie reakcji (wyłączenie monitoringu OT).

Rekomendacje operacyjne / co zrobić teraz

1) Priorytetyzacja patchowania (72h/14 dni)

  • Krytyczne – do 72h (lub w najbliższym oknie serwisowym):
    • Rockwell Studio 5000 (CVE-2025-11696) – ryzyko kradzieży NTLM/relay.
    • Rockwell Verve (CVE-2025-11862) – ryzyko utraty kontroli nad kontami.
    • Siemens Solid Edge DLL hijacking / cert-validation – RCE/MITM na stacjach ENG.
    • AVEVA Edge (MD5) oraz odpowiadające produkty Schneider – natychmiastowe działania na hasłach.
  • Wysokie – do 14 dni: Siemens LOGO! 8 BM (RCE/DoS), Schneider PowerChute.

2) Aktualizacje / wersje docelowe (sprawdź przed wdrożeniem)

  • Verve Asset Manager: ≥ 1.41.4 lub 1.42. # Szybkie sprawdzenie wersji po serwerach Verve (Windows) Get-ItemProperty 'HKLM:\SOFTWARE\Verve\AssetManager' | Select-Object Version, InstallPath
  • Studio 5000 Simulation Interface: wersja z poprawką dla CVE-2025-11696 (zgodnie z SD1760). # Enumeracja modułów Studio 5000 na stacji ENG Get-WmiObject Win32_Product | ? { $_.Name -like "*Studio 5000*" } | Select Name, Version
  • DataMosaix Private Cloud: wersja z poprawką CVE-2025-11084; wymuś dokończenie MFA w <7 dni.
  • Siemens Solid Edge: zainstaluj aktualizacje z SSA-365596 i SSA-522291; włącz certificate pinning na proxy gdzie możliwe.
  • Siemens LOGO! 8 BM: firmware zgodny z SSA-267056.
  • Schneider PowerChute: wersje nienarażone wg SEVD-2025-315-01.

3) „Compensating controls” (gdy patch musi poczekać)

  • Segmentacja / NAC: izoluj stacje inżynierskie, log-serwery, serwery licencji.
  • SMB/NTLM hardening (SSRF/NTLM): blokuj ruch SMB z hostów ENG do niesprawdzonych celów; wymuś SMB signing/LDAP signing, wyłącz NTLMv1. # Na zaporze między ENG a IT deny tcp any any eq 445 deny tcp any any eq 139
  • Monitoring MITM: TLS inspection z wyjątkami i alertingiem na nieprawidłową walidację certyfikatów klienta/serwera (Solid Edge).
  • Kontrola dostępu do plików projektu: przenieś repozytoria HMI/SCADA/Edge na udziały tylko-do-odczytu + DLP; szyfruj backupy.
  • Wymuszenie haseł odpornych na offline-crack: zmień polityki na długie hasła (min. 14–16 znaków, passphrase), rozważ PAM i audyt reużycia; po ŁATACH AVeVA/Schneider wymuś reset haseł operatorów.

4) Szybkie detekcje (SOC/Blue Team)

  • Polowanie na NTLM-relay (Windows ENG): # Podejrzane outbound SMB z hostów Studio 5000 Get-WinEvent -LogName Security | ? { $_.Id -in 4624,4625 -and $_.Properties[8].Value -match "NTLM" } | Select TimeCreated, Id, @{n="Target";e={$_.Properties[18].Value}}
  • Anomalia w API (Verve): alertuj na non-admin wykonujące operacje POST/PUT/DELETE na endpointach /users/.
  • Zmiany plików projektu (AVEVA/Schneider): file integrity monitoring katalogów cache/projektu; hashy MD5 nie traktuj jako dowodu integralności.

Różnice / porównania z innymi przypadkami

  • SSRF+NTLM w narzędziach inżynierskich (Studio 5000) jest analogiczne do wzorców znanych z aplikacji IT, ale w OT skutki są gorsze (eskalacja uprawnień domenowych → wpływ na PLC/HMI).
  • Słabe hashowanie (MD5) w AVEVA/Schneider to echo dawnych praktyk w systemach HMI/SCADA. Unikatowe jest to, że czytanie samych plików projektu (bez RCE) daje ścieżkę do kompromitacji kont.
  • DLL hijacking na stacjach ENG przypomina kampanie „project file trojanization” znane z CAD/CAM/PLM – nośnikiem są biblioteki i pliki formatów własnych.

Podsumowanie / kluczowe wnioski

  1. Najbardziej palące: Verve (CVE-2025-11862), Studio 5000 (CVE-2025-11696), AVEVA Edge/Schneider (MD5), Siemens Solid Edge (MITM/DLL).
  2. Zrób reset haseł i przegląd dostępów wszędzie tam, gdzie pliki projektowe mogły być kopiowane/udostępniane.
  3. W OT równoważ ważność patchy i kompensacji (segmentacja, SMB/NTLM hardening, kontrola plików, SOC hunts).
  4. Utrzymuj SBOM/asset inventory dla stacji ENG – zależności 3rd-party (DotNetZip, SDK) są tu częstym źródłem ryzyka.

Źródła / bibliografia

  • SecurityWeek: przegląd listopadowych biuletynów ICS Patch Tuesday. (SecurityWeek)
  • Siemens ProductCERT: LOGO! 8 BM (SSA-267056); Solid Edge – cert validation (SSA-522291); DLL hijacking (SSA-365596). (cert-portal.siemens.com)
  • Rockwell Automation: Verve (SD1759, CVE-2025-11862); Studio 5000 (SD1760, CVE-2025-11696); DataMosaix (SD1758, CVE-2025-11084); SIS Workstation (SD1761). (rockwellautomation.com)
  • AVEVA: Security Bulletin AVEVA-2025-006 (Edge – słabe hashe MD5, brute-force). (AVEVA)
  • Schneider Electric: SEVD-2025-315-01 (PowerChute); noty dot. wpływu luki AVEVA na EcoStruxure/Pro-face. (Schneider Electric)

CVE-2025-12480 — Triofox Improper Access Control (auth bypass → RCE przez funkcję antywirusową)

TL;DR

Krytyczna luka w Gladinet Triofox pozwala nieautoryzowanemu napastnikowi ominąć logowanie, wejść w strony konfiguracji początkowej i utworzyć konto administratora aplikacji. W zaobserwowanych atakach przeciwnik użył konta do wykonania kodu z uprawnieniami SYSTEM przez nadużycie wbudowanej funkcji „antywirus” (dowolna ścieżka skanera), a następnie wdrażał Zoho UEMS/Assist, AnyDesk, Plink/PuTTY i tunelował RDP. Załataj do ≥ 16.7.10368.56560 (zalecane 16.10.10408.56683) i monitoruj IIS pod kątem odwołań „localhost” do /management/*. W artykule: gotowa Sigma, SPL, KQL, EQL, playbook IR i artefakty.

Krótka definicja techniczna

CVE‑2025‑12480 to błąd kontroli dostępu w Triofox, który po sfałszowaniu nagłówka/odwołania HTTP z wartością localhost odblokowuje strony inicjalizacji (AdminDatabase.aspx → AdminAccount.aspx → InitAccount.aspx) mimo zakończonego wdrożenia. Skutkiem jest założenie natywnego konta „Cluster Admin”, a w łańcuchu realnych ataków — RCE jako SYSTEM przez wskazanie własnej ścieżki skanera w funkcji AV. Wersje podatne: < 16.7.10368.56560; poprawki dostępne (zalecana najnowsza gałąź).

Gdzie występuje / przykłady platform

  • Windows Server + IIS/ASP.NET (host aplikacji Triofox).
  • Active Directory (opcjonalnie – integracja z LDAP/AD do autoryzacji użytkowników aplikacji).
  • IaaS (AWS/Azure/GCP) — często za ALB/WAF/NGFW; problem dotyczy warstwy aplikacji webowej na VM/serwerze.
  • Bazy danych (PostgreSQL/MySQL) sterowane z panelu inicjalizacji Triofox.
  • K8s/ESXi/M365 – brak natywnego wektora; występują wyłącznie jako kontekst infrastrukturalny [nie wymagane].

Szczegółowy opis techniki (jak działa, cele, dlaczego skuteczna)

  • Wejście (T1190): błędna logika sprawdzania dostępu do krytycznych stron instalatora Triofox. Zmiana Host/Referer → localhost skutkuje dopuszczeniem do ścieżki instalacyjnej mimo ukończonej konfiguracji.
  • Utworzenie admina (T1136): atakujący przechodzi flow inicjalizacji i tworzy natywne konto administracyjne („Cluster Admin”) w samej aplikacji.
  • Wykonanie (T1059.001) + RCE: po zalogowaniu do panelu używa funkcji „Anti‑Virus Engine Path” – wskazuje własny plik/skrypt; Triofox uruchamia go w kontekście SYSTEM, co daje pełne RCE.
  • Post‑exploitation: pobranie legalnych narzędzi zdalnego dostępu (Zoho UEMS/Assist, AnyDesk), Plink/PuTTY do tunelowania RDP (T1219/T1572/T1105), enumeracja SMB i zmiany haseł/grup. Kampanie obserwowane co najmniej od 2025‑08‑24.
  • Dlaczego skuteczna: brak walidacji źródła localhost w kodzie, zależność od opcjonalnego TrustedHostIp w web.config, możliwość uruchomienia arbitralnej ścieżki AV z uprawnieniami usługi.

Artefakty i logi (SOC cheat‑sheet)

Warstwa / źródłoEID / poleWzorzec / przykład korelacjiUwagi
IIS (W3C)cs-uri-stem, cs(Referer)Żądania do /management/AdminDatabase.aspx, /AdminAccount.aspx, /InitAccount.aspx, /CommitPage.aspx z Referer zawierającym http://localhostMandiant pokazał wpis z 302 do CommitPage.aspx z refererem localhost. Śledzić zewnętrzne IP jako źródło.
IIS/WAF/ALBHost/RefererNagłówek/odwołanie Host/Referer=localhost z adresów publicznychMożliwe także X-Forwarded-Host=localhost za proxy.
Windows Security4688 (Process Create)Uruchomienia powershell.exe, cmd.exe przez procesy Triofox/IIS tuż po dostępie do paneluKoreluj z logami IIS (ten sam host, ten sam czas ±5 min).
Windows Security7045 (Service Installed)Nowe usługi: Zoho UEMS/Assist, AnyDesk, nietypowe ścieżki w binPathCzęste w opisywanej kampanii.
Sysmon1 (Process Create)Image: *\\plink.exe, *\\putty.exe, *\\AnyDesk*.exe, *\\Zoho*Tunelowanie i dostęp zdalny.
Sysmon3 (Network Connect)Połączenia do zidentyfikowanych IP C2/hosting (np. 85.239.63[.]37, 65.109.204[.]197, 84.200.80[.]252, 216.107.136[.]46)IoC z raportu; utrzymuj listę deny/monitor.
Sysmon11 (File Create)C:\Windows\Temp\*.exe, C:\triofox\*.bat (np. centre_report.bat)Nazwy z raportu Mandiant.
Aplikacja Triofoxlogi aplikacyjneZmiany konfiguracji AV engine path, publikacja udziałów (pokazanie ścieżki na dysku)Krytyczne do triage’u RCE.
CloudTrail (IaaS)AuthorizeSecurityGroupIngressDopuszczenie 0.0.0.0/0 → 443/80 na SG przypiętej do hosta TriofoxPomocnicze: wykrywa niepożądane ekspozycje.

Detekcja (praktyczne reguły)

Sigma (IIS – próba obejścia z localhost)

title: Triofox CVE-2025-12480 - Localhost Referrer to Management Pages (IIS)
id: 2f47d6b5-9e2e-4f0b-9b7e-97b1e0e2f480
status: experimental
description: Wykrywa odwołania z 'localhost' do stron /management/* w Triofox (możliwa eksploatacja CVE-2025-12480).
references:
  - https://cloud.google.com/blog/topics/threat-intelligence/triofox-vulnerability-cve-2025-12480
  - https://nvd.nist.gov/vuln/detail/CVE-2025-12480
author: Badacz CVE
date: 2025/11/12
logsource:
  category: webserver
  product: windows
  service: iis
detection:
  selection_pages:
    http.request.target|contains:
      - "/management/AdminDatabase.aspx"
      - "/management/AdminAccount.aspx"
      - "/management/InitAccount.aspx"
      - "/management/CommitPage.aspx"
  ref1:
    http.request.referrer|contains: "http://localhost"
  ref2:
    cs-referrer|contains: "http://localhost"
  condition: selection_pages and (ref1 or ref2)
fields:
  - client.ip
  - http.request.method
  - http.request.referrer
  - http.request.target
  - http.response.status_code
falsepositives:
  - Testy administratorskie wykonywane lokalnie (żądania z 127.0.0.1)
level: high
tags:
  - attack.T1190
  - cve.2025-12480

Splunk (IIS/WAF)

index=web (sourcetype=iis OR tag=web)
(cs_uri_stem="/management/AdminDatabase.aspx"
 OR cs_uri_stem="/management/AdminAccount.aspx"
 OR cs_uri_stem="/management/InitAccount.aspx"
 OR cs_uri_stem="/management/CommitPage.aspx")
( cs_Referer="http://localhost*" OR referer="http://localhost*" )
| stats count min(_time) as first_seen max(_time) as last_seen by c_ip cs_uri_stem cs_Referer sc_status
| where c_ip!="127.0.0.1"

KQL (Microsoft Sentinel – W3CIISLog)

W3CIISLog
| where csUriStem has "/management/"
| where csUriStem has_any ("AdminDatabase.aspx", "AdminAccount.aspx", "InitAccount.aspx", "CommitPage.aspx")
| where csReferer has "http://localhost"
| extend isPrivate = ipv4_is_private(cIP)
| where isPrivate == false

CloudTrail (CloudWatch Logs Insights – „szerokie” otwarcie 80/443)

fields @timestamp, eventName, requestParameters
| filter eventName = "AuthorizeSecurityGroupIngress"
| filter requestParameters.ipPermissions.items[*].ipRanges.items[*].cidrIp like /0\.0\.0\.0\/0/
| filter requestParameters.ipPermissions.items[*].fromPort in [80,443]
| sort @timestamp desc

Uzupełniające: aws ec2 describe-security-groups i kontrola SG przypiętych do instancji Triofox.

Elastic / EQL (procesy i tunelowanie)

process where process.name in ("plink.exe","putty.exe","AnyDesk.exe","Zoho*","ZohoAssist*")
  and process.parent.name in ("w3wp.exe","svchost.exe") /* web worker / usługa */
  and host.os.type == "windows"
network where process.name == "plink.exe" and
  (destination.port == 22 and
   (exists(destination.ip) and source.ip == "127.0.0.1" or destination.ip != "127.0.0.1"))

Heurystyki / korelacje

  • IIS „localhost” + /management/ AND w krótkim czasie 4688 z powershell.exe/cmd.exe na tym samym hoście.
  • Nowe usługi (7045) zawierające Zoho, AnyDesk AND wcześniejszy dostęp do panelu Triofox.
  • Plink/PuTTY uruchomione na serwerze Triofox AND wzrost połączeń na 3389/TCP (tunel RDP).
  • Publikacja nowego „share” w Triofox AND zaraz potem wykonanie pliku ze ścieżki udziału (abuse AV‑Path).

False positives / tuning

  • Prawdziwi administratorzy mogą testować system lokalnie; żądania z 127.0.0.1 (loopback) i/lub z sieci zarządzającej można whitelistować.
  • Legalne użycie Zoho/AnyDesk – filtruj po znanych kluczach/tenantach, podpisach cyfrowych i źródłach instalacji (MSI z firmowego repo).
  • Proxy/health‑checki rzadko ustawiają Referer=localhost; jeśli tak – ogranicz do znanych adresów/LB.

Playbook reagowania (IR)

  1. Identyfikacja i blokada
  • WAF/NGFW: reguła drop dla Host/Referer=localhost na ścieżkach /management/*.
  • Tymczasowe geo/IP‑deny wg IoC (np. 85.239.63[.]37, 65.109.204[.]197, 84.200.80[.]252, 216.107.136[.]46).
  1. Triage
  • Przeskanuj IIS za zdarzeniami z sekcji 6; skoreluj z 4688/7045/Sysmon‑1/3/11.
  • W Triofox sprawdź: lista kont admin, historia zmian AV Engine Path, ostatnie publikacje udziałów.
  1. Eradykacja
  • Usuń nieautoryzowane konto aplikacyjne („Cluster Admin” itp.).
  • Dezinstaluj Zoho UEMS/Assist/AnyDesk zainstalowane spoza Twojej dystrybucji; zamknij plink/putty.
  • Cofnij zmiany haseł/grup, wymuś rotację sekretów.
  1. Odtworzenie i twardnienie
  • Patch: co najmniej 16.7.10368.56560; zalecany 16.10.10408.56683 (2025‑10‑14).
  • Skonfiguruj TrustedHostIp/sieci zarządzające, ogranicz dostęp do panelu tylko z MFA/VPN; logowanie na szczegółowym poziomie.
  1. Lessons learned
  • Dodaj detekcje z rozdz. 7, testy regresyjne, „table‑top” z łańcuchem nadużyć AV‑Path.

Przykłady z kampanii / case studies

  • UNC6485 (Mandiant/Google): eksploatacja co najmniej od 2025‑08‑24 na wersji 16.4.10317.56372; obejście autoryzacji (Host/Referer localhost) → utworzenie „Cluster Admin” → RCE przez ścieżkę AV → wdrożenie Zoho UEMS/Assist i AnyDesk, Plink/PuTTY do tunelowania RDP:3389. Wskazane przykładowe IP i artefakty (hashy, ścieżki).
  • Relacje prasowe: BleepingComputer i SecurityWeek potwierdzają łańcuch i zalecają aktualizację do najnowszej gałęzi Triofox.

Lab (bezpieczne testy)

Wyłącznie w izolowanym labie z testową instancją Triofox; nie instruujemy eksploatacji — generujemy sygnał do detekcji.

  • Generacja wpisu IIS przypominającego anomalię Referer (na testowym serwerze www, do niekrytycznej strony):
$h = @{ "Referer" = "http://localhost/test" }
Invoke-WebRequest -UseBasicParsing -Headers $h `
  -Uri "https://triofox-lab.local/management/AccessDenied.aspx"
  • Wpis 7045 (test instalacji usługi):
sc.exe create TestCVE125 path= "C:\Windows\System32\notepad.exe" start= demand
sc.exe delete TestCVE125
  • E2E sprawdzenie korelacji w Splunk/KQL: odpal test powyżej, a następnie uruchom reguły z sekcji 7 i zweryfikuj alerty.

Mapowania (Mitigations, Powiązane techniki)

Mitigations (ATT&CK):

  • M1051 Update Software — aktualizuj Triofox do ≥ 16.7.10368.56560 (zal. 16.10.10408.56683).
  • M1031 Network Intrusion Prevention — sygnatury/WAF blokujące Host/Referer=localhost na ścieżkach admina i wykrywanie tuneli.
  • M1030 Network Segmentation — strefa DMZ dla serwera Triofox; dostęp administracyjny tylko z sieci zarządzającej/VPN.

Powiązane techniki:

  • T1190 — Exploit Public‑Facing Application – Atak przez błąd logiczny w kontroli dostępu do stron /management/* (bypass auth).
  • T1136 — Create Account – Utworzenie natywnego admina („Cluster Admin”) w aplikacji dla utrzymania przyczółka.
  • T1059.001 — Command and Scripting Interpreter: PowerShell – Skrypty/batche wywołujące PowerShell downloader w łańcuchu RCE.
  • T1219 — Remote Access Software – Wdrożenie Zoho Assist/AnyDesk jako kanału C2/remote‑ops.
  • T1572 — Protocol Tunneling – Plink/PuTTY do tunelowania RDP przez SSH.
  • T1105 — Ingress Tool Transfer – Pobranie narzędzi (Zoho/AnyDesk/Plink) na host Triofox.

Źródła / dalsza lektura

  • Mandiant/Google Cloud: No Place Like Localhost — techniczne omówienie, IoC, łańcuch ataku. (Google Cloud)
  • NVD: karta CVE (wersje podatne, CVSS, CWE). (NVD)
  • BleepingComputer: Hackers abuse Triofox antivirus feature to deploy RATs (RCE=SYSTEM, zalecenia). (BleepingComputer)
  • SecurityWeek: Critical Triofox Vulnerability Exploited in the Wild. (SecurityWeek)
  • Tenable / OpenCVE: status, streszczenie, SSVC. (Tenable®)
  • Check Point IPS Advisory (CVE‑2025‑12480). (Check Point Software)
  • MITRE ATT&CK v18 — wersje i aktualizacje. (MITRE ATT&CK)

Checklisty dla SOC / CISO

SOC (operacyjnie):

  • Reguły z sekcji 7 wdrożone (IIS, EDR/Elastic, Sentinel, WAF).
  • Hunt: Referer/Host=localhost → /management/* w IIS (30–90 dni wstecz).
  • Korelacja z 4688/7045/Sysmon‑1/3/11 i z procesami plink/putty/AnyDesk/Zoho*.
  • Przegląd kont admin w Triofox; inspekcja AV Engine Path.
  • Blokady IoC sieciowych i rotacja haseł/sekretów, jeśli wskazane.

CISO / właściciele usług:

  • Patch: ≥ 16.7.10368.56560 (preferuj 16.10.10408.56683).
  • WAF: deny Host/Referer=localhost dla /management/*.
  • Segmentacja: panel admin tylko z sieci zarządczej + MFA/VPN.
  • Polityka dopuszczalnych narzędzi zdalnych (Zoho/AnyDesk) i ich inwentaryzacja.
  • Przegląd ekspozycji w IaaS (SG/ALB) i CI/CD patch/release hygiene.

Uwaga o ryzyku: Luka była aktywnie eksploatowana i występuje prosta możliwość RCE jako SYSTEM przy wykorzystaniu funkcji AV w Triofox — traktuj priorytetowo.

Adobe łata 29 podatności w InDesign, InCopy, Photoshop, Illustrator, Pass, Substance 3D Stager i Format Plugins (Patch Tuesday – 11 listopada 2025)

Wprowadzenie do problemu / definicja luki

11 listopada 2025 r. Adobe wydało comiesięczne aktualizacje zabezpieczeń usuwające 29 podatności w pakiecie aplikacji kreatywnych. Poprawki dotyczą: InDesign (APSB25-106), InCopy (APSB25-107), Photoshop (APSB25-108), Illustrator (APSB25-109), Illustrator na iPad (APSB25-111), Adobe Pass (APSB25-112), Substance 3D Stager (APSB25-113) oraz Adobe Format Plugins (APSB25-114). W większości chodzi o luki krytyczne prowadzące do RCE po przetworzeniu złośliwych plików/formatów. Adobe klasyfikuje je priorytetem 3 (niska spodziewana eksploatacja), a firma nie ma dowodów na aktywne wykorzystanie tych błędów w momencie publikacji.

W skrócie

  • Zakres: 8 biuletynów, 29 CVE (Creative Cloud/Format Plugins, aplikacje DTP/grafika, SDK Pass).
  • Najpoważniejsze skutki: RCE (InDesign, InCopy, Photoshop, Illustrator, Stager, Format Plugins) i security feature bypass w Adobe Pass (SDK Android).
  • Status exploitów: brak informacji o „in the wild” dla listopadowych biuletynów; priorytet 3 dla wszystkich.
  • Kontekst ryzyka: w październiku Adobe potwierdzało wykorzystanie w praktyce luki w Adobe Commerce/Magento (CVE-2025-54236) oraz publiczne PoC dla AEM Forms (CVE-2025-54253/54254). To inne produkty, ale pokazuje zainteresowanie ekosystemem Adobe.

Kontekst / historia / powiązania

Adobe od lat publikuje paczki poprawek w rytmie Patch Tuesday. W 2025 r. widzieliśmy już serie aktualizacji m.in. dla ColdFusion, Commerce oraz AEM Forms; część miała PoC lub realne wykorzystanie. Dzisiejsza paczka dotyczy przede wszystkim klienta końcowego (DTP/grafika). Trend Micro ZDI podkreśla, że w listopadzie jest 8 biuletynów i 29 CVE, z których część (Format Plugins) pochodzi od ich badaczy.

Analiza techniczna / szczegóły luki

Produkty i biuletyny

  • InDesign – APSB25-106: luki krytyczne → RCE; wersje naprawcze ID21.0 / 20.5.1 (Win/macOS). Priorytet 3.
  • InCopy – APSB25-107: krytyczne RCE (Win/macOS). Priorytet 3.
  • Photoshop – APSB25-108: heap-based buffer overflow → RCE; CVE-2025-61819 (CVSS 7.8). Priorytet 3.
  • Illustrator – APSB25-109: krytyczne RCE; naprawa m.in. do 29.8.3 i 30.0. Priorytet 3.
  • Illustrator (iPad) – APSB25-111: krytyczne RCE. Priorytet 3.
  • Adobe Pass (Android SDK) – APSB25-112: incorrect authorization / security feature bypass, CVE-2025-61830 (CVSS 7.1), aktualizacja do 3.8.0. Priorytet 3.
  • Substance 3D Stager – APSB25-113: krytyczne RCE. Priorytet 3.
  • Adobe Format Plugins – APSB25-114: wiele błędów, m.in. CWE-122 heap overflow → RCE; przykładowe CVE: CVE-2025-61837, CVE-2025-61838; aktualizacja do 1.1.2. Priorytet 3.

Klasy podatności (przekrojowo)

  • Memory corruption / heap overflow (CWE-122) → wykonanie kodu przy parsowaniu plików (PSD/AI/INDD/format plugins).
  • Incorrect authorization / security feature bypass (SDK Pass) → eskalacja możliwości w przepływach uwierzytelniania OTT/TVE.

Priorytet Adobe (co oznacza „3”?)

Priorytet 3 wg Adobe oznacza niski poziom oczekiwanej eksploatacji i brak pilności „typu 0-day”, ale zalecane jest zaplanowane wdrożenie. To nie jest ocena CVSS, lecz priorytetu wdrożeniowego.

Praktyczne konsekwencje / ryzyko

Wejścia atakujące: złośliwe pliki .indd / .icml / .psd / .ai lub rzadkie formaty obsługiwane przez Format Plugins (np. import/eksport). Atakujący może dostarczyć plik e-mailem/OneDrive/SharePoint, w repozytorium assetów, lub przez łańcuch dostaw (stock, paczki template’ów). Jedno „otwarcie” przez designera może wystarczyć, by uzyskać wykonanie kodu w kontekście użytkownika.

Środowiska wysokiego ryzyka: agencje kreatywne, działy marketingu, prepress, wydawnictwa – zwykle z szerokim spektrum zewnętrznych plików i krótkimi SLA.

Ryzyko wtórne: po inicjalnym RCE możliwe przemieszczenie boczne (tokeny SSO w pamięci, kradzież materiałów pod NDA, implanty w pluginach/skriptach CEP/UXP).

SDK Pass: dla zespołów mobile/OTT – błąd autoryzacji może naruszać przepływy logowania w aplikacjach TVE, prowadząc do obejścia kontroli dostępu.

Rekomendacje operacyjne / co zrobić teraz

A. Inwentaryzacja i szybka walidacja wersji

Windows (PowerShell):

# Sprawdź zainstalowane wersje kluczowych aplikacji Adobe (CC)
$paths = @("Adobe InDesign 2025","Adobe InCopy 2025","Adobe Photoshop 2025","Adobe Illustrator 2025")
$base = "HKLM:\SOFTWARE\Adobe"
Get-ChildItem $base -Recurse | Where-Object { $paths -contains $_.PSChildName } |
  ForEach-Object {
    $name = $_.PSChildName
    $ver = (Get-ItemProperty $_.PSPath).Version
    [pscustomobject]@{Product=$name;Version=$ver}
  }

macOS:

# przykładowo
mdls -name kMDItemVersion "/Applications/Adobe InDesign 2025/Adobe InDesign 2025.app"
mdls -name kMDItemVersion "/Applications/Adobe Illustrator 2025/Adobe Illustrator 2025.app"

Porównaj z wersjami docelowymi z biuletynów (np. InDesign ID21.0/20.5.1, Illustrator ≥29.8.3/30.0, Photoshop ≥26.9, Format Plugins 1.1.2, Adobe Pass SDK 3.8.0).

B. Dystrybucja aktualizacji

  • Środowiska zarządzane: Adobe Admin Console / pakiety wdrożeniowe (CC dla firm) – „self-service” wyłączyć do czasu aktualizacji; rollout falami (pilot → szerokie).
  • Użytkownicy końcowi: Creative Cloud Desktop → „Updates”. W działach o wysokiej ekspozycji na pliki zewnętrzne nadać wyższy priorytet.
  • Zespoły mobile: zaktualizować Adobe Pass Authentication Android SDK do 3.8.0, przetestować regresje, wydać hotfix w sklepach.

C. Tymczasowe ograniczenia ryzyka (jeśli nie możesz zaktualizować „od ręki”)

  • Segmentacja stanowisk DTP (VLAN/ACL), aplikacja listy dozwolonych dla wtyczek i skryptów (UXP/CEP).
  • Odcinanie makr/automatyzacji w przepływach importu plików od nieznanych kontrahentów.
  • Sanityzacja plików: konwersja przez „bezpieczniejszy” łańcuch (np. otwarcie w świeżym kontenerze/VDI).
  • AppLocker/WDAC: zezwól wyłącznie na podpisane binaria Adobe z aktualnych wersji.

D. Detekcje i telemetry (SOC)

IOA dla RCE w aplikacjach Adobe:

  • Niespodziewane child-processy od InDesign.exe / Photoshop.exe / Illustrator.exe (np. powershell.exe, wscript.exe, cmd.exe).
  • Wzorce DLL search order hijack/side-loading w katalogach profilu użytkownika.
  • Nietypowe wywołania CreateRemoteThread, VirtualAllocEx, z procesów Adobe do innych procesów użytkownika.

Przykładowe reguły (Sigma – uproszczone):

title: Adobe App Spawns Scripting Interpreter
logsource: { category: process_creation, product: windows }
detection:
  parent:
    Image|endswith:
      - '\InDesign.exe'
      - '\Photoshop.exe'
      - '\Illustrator.exe'
  child:
    Image|endswith:
      - '\powershell.exe'
      - '\wscript.exe'
      - '\cmd.exe'
  condition: parent and child
level: high

Splunk (Process child):

index=sysmon EventCode=1
(ParentImage="*\\InDesign.exe" OR ParentImage="*\\Photoshop.exe" OR ParentImage="*\\Illustrator.exe")
(Image="*\\powershell.exe" OR Image="*\\wscript.exe" OR Image="*\\cmd.exe")
| stats count by _time, host, ParentImage, Image, CommandLine

Dla Pass SDK (Android): testy bezpieczeństwa przepływów auth (wrong-issuer, token reuse, forged state), weryfikacja CVE-2025-61830 i aktualizacji zależności do 3.8.0.

E. Polityki i szkolenia

  • Edukacja zespołów kreatywnych: nie otwieramy niezweryfikowanych paczek projektów i presetów/wtyczek.
  • Wymuszaj aktualizacje przy starcie aplikacji (przez narzędzia MDM/Endpoint Management).

Różnice / porównania z innymi przypadkami (2025)

  • Commerce/Magento (IX–X 2025): potwierdzone wykorzystanie w praktyce (CVE-2025-54236) – wysoki priorytet operacyjny dla e-commerce; dzisiejsze biuletyny Creative Cloud nie mają statusu exploited.
  • AEM Forms (X 2025): publiczne PoC (CVE-2025-54253/54254) – inny segment produktu (serwer), ale sygnał, że atakujący inwestują w ekosystem Adobe.
  • Dzisiejsze luki: skupione na klientach (desktop/iPad/SDK) i parsowaniu formatów, co preferuje atak plikowy i soc-eng, a nie ataki serwerowe.

Podsumowanie / kluczowe wnioski

  • Zaktualizuj ASAP: InDesign, InCopy, Photoshop, Illustrator (desktop + iPad), Substance 3D Stager, Format Plugins oraz Adobe Pass SDK.
  • Skoncentruj się na zespołach pracujących z zewnętrznymi plikami – to oni najczęściej będą wektorem inicjalnym.
  • Zaplanuj rollout (priorytet 3 ≠ „zignorować”): okno serwisowe w tym tygodniu, telemetry + blokady child-processów.
  • Mobile/OTT: wydaj update SDK Pass (3.8.0) i przetestuj przepływy auth.

Źródła / bibliografia

„Whisper Leak” — atak kanałem bocznym na LLM, który ujawnia temat rozmowy mimo TLS

Wprowadzenie do problemu / definicja luki

„Whisper Leak” to zaprezentowany przez badaczy Microsoftu atak kanałem bocznym na modele językowe udostępniane zdalnie (API/WWW), który nie łamie TLS ani nie odczytuje treści — zamiast tego wykorzystuje wzorce metadanych ruchu (rozmiary pakietów i odstępy czasowe w trybie streamingu), aby klasyfikować temat rozmowy użytkownika. Atak ma znaczenie praktyczne dla scenariuszy z podsłuchem na poziomie ISP, niezaufanego Wi-Fi lub obserwatora w tej samej sieci.

SecurityWeek podkreśla, że napastnik, który tylko przechwyci szyfrowany ruch, może z wysoką skutecznością ustalić, czy rozmowa dotyczy „wrażliwego” tematu (np. legalności prania pieniędzy, polityki, protestów, zdrowia).

W skrócie

  • Zakres: dotyczy LLM w trybie streamingu (tokeny/porcje zwracane na bieżąco).
  • Technika: analiza sekwencji {rozmiar TLS → czas między pakietami} do klasyfikacji tematu pierwszego promptu.
  • Skuteczność: w testach na 28 popularnych LLM uzyskano zwykle >98% AUPRC; przy realnym niezrównoważeniu 10 000:1 możliwa była precyzja 100% przy 5–50% recall dla modelu-celu.
  • Mitigacje: padding losowy, batchowanie tokenów, wtrysk „szumu”/syntetycznych pakietów; część dostawców wdrożyła już obrony (np. dodatkowe pole losowego tekstu w streamie w Azure/OpenAI, parametr „p” w Mistral).
  • Ryzyko: ujawnienie kontekstu/tematu, nie treści; wystarcza pasywny podsłuch. Brak dowodów użycia w naturze, ale ryzyko praktyczne oceniono jako realne.

Kontekst / historia / powiązania

„Whisper Leak” wpisuje się w nową falę ataków side-channel na LLM. W 2024 r. pokazano m.in.:

  • wyciek długości tokenów i częściową rekonstrukcję odpowiedzi ze strumieni TLS,
  • zdalne ataki timingowe wynikające z optymalizacji inferencji (np. speculative decoding),
  • korelację liczby tokenów wyjściowych z cechami wejścia,
  • wycieki przez cache sharing (prefix/semantic caching).

Autorzy odnoszą się do tych prac i przesuwają akcent z rekonstrukcji treści na klasyfikację tematu.

Analiza techniczna / szczegóły luki

Model zagrożeń

  • Adwersarz pasywny z widocznością ruchu sieciowego (ISP, wspólne Wi-Fi, lokalny admin, przejęty router).
  • Brak dostępu do kluczy, brak aktywnej ingerencji — podgląd samych metadanych.

Wektor i cecha charakterystyczna

  • LLM w streamingu wysyła wynik porcjami; wewnętrzna dynamika generowania (autoregresja, batching, UX-owe „flushowanie”) przekłada się na sekencję rozmiarów pakietów i interwałów.
  • TLS (AES-GCM/ChaCha20) zachowuje relację długości: ciphertext ≈ plaintext + stała, więc rozmiar pakietu zdradza „długość tokenu/porcji”. Połączenie size + timing buduje fingerprint tematu.

Metodologia badaczy

  • Zebrano ślady dla 28 usług LLM; zdefiniowano cel binarny: „pytania o legalność prania pieniędzy” vs. szum (11 716 losowych pytań z Quora).
  • Trzy klasyfikatory: LightGBM, Bi-LSTM, BERT-based na sekwencjach (size/time bucketed).
  • Miara: AUPRC (ze względu na silne niezrównoważenie zbioru).

Wyniki (wybrane)

  • >98% AUPRC dla wielu modeli/prowadzących.
  • W symulacji 10 000:1 (1 rozmowa wrażliwa na 10 000 zwykłych) uzyskano przypadki 100% precision przy 5–50% recall — czyli zero false positives przy „wyłapywaniu” części rozmów o temacie-celu.

Status vendorów i mitigacje

  • OpenAI, Microsoft (Azure), Mistral, xAI: wdrożone obrony (m.in. losowy „obfuscation field” do streamu; parametr „p” w Mistral).
  • Część innych dostawców według The Register nie wdrożyła poprawek lub była nie-responsywna (m.in. wskazywani: Anthropic, AWS, DeepSeek, Google; uwaga: AWS zakwestionował skuteczność ataku w swojej architekturze).

Praktyczne konsekwencje / ryzyko

  • Prywatność użytkowników i compliance: wykrywanie tematów rozmów może samo w sobie stanowić dane wrażliwe (polityka, zdrowie, poglądy).
  • Ryzyko profilowania i selekcji: przy precyzji 100% atak nadaje się do filtrowania ruchu pod kątem „zainteresowań” (np. AML, protesty).
  • Bezpieczeństwo korporacyjne: sygnały „intencji” (np. rozmowy o produktach, planach, incydentach) mogą ujawnić strategie lub incydenty nawet bez wycieku treści. CSO Online ostrzega wprost przed ryzykiem dla przedsiębiorstw.

Rekomendacje operacyjne / co zrobić teraz

Dla użytkowników końcowych

  1. Unikaj rozmów na wysoce wrażliwe tematy na niezaufanych sieciach; jeśli musisz — wyłącz streaming (gdy dostawca na to pozwala).
  2. VPN dodaje warstwę tunelowania i utrudnia korelację ruchu per usługa, choć nie eliminuje samego side-channelu po stronie dostawcy.
  3. Preferuj dostawców, którzy wdrożyli mitigacje (padding/obfuscation, batching).

Dla SOC/Blue Team / architektów

  • Polityka proxy/DLP: jeżeli organizacja korzysta z LLM-ów chmurowych, wymuś nie-streaming dla wrażliwych przepływów (np. przez nagłówki/parametry API).
  • Segmentacja i bramki egress: kieruj ruch LLM przez pojedynczy egress (NAT/Proxy) i uśredniaj przepływy, by utrudnić fingerprinting per użytkownik.
  • Traffic shaping (u Ciebie): rozważ grupowanie i bursty dla ruchu wychodzącego do hostów LLM (koszt: latency).

Przykładowe szkice (Linux, dla ruchu do API LLM — przykład edukacyjny):

# 1) Oznacz ruch do domen LLM (tu: fikcyjne *.api.llm.example)
ipset create llm dsthash
ipset add llm 203.0.113.10
ipset add llm 203.0.113.11

# 2) Przekieruj do kolejki HTB o docelowym kształtowaniu "burst + coalesce"
tc qdisc add dev eth0 root handle 1: htb default 30
tc class add dev eth0 parent 1: classid 1:1 htb rate 100mbit ceil 100mbit
tc class add dev eth0 parent 1:1 classid 1:30 htb rate 20mbit ceil 100mbit
tc qdisc add dev eth0 parent 1:30 handle 30: fq maxrate 20mbit flow_limit 1000 # uśrednianie/koalescencja

# 3) (Opcj.) Dodaj minimalny jitter (uwaga na SLA)
tc qdisc replace dev eth0 parent 1:30 netem delay 15ms 5ms distribution normal

Uwaga: to nie uniemożliwia ataku (napastnik przy ISP nadal widzi wzorce), ale zmniejsza rozróżnialność na wyjściu organizacji kosztem opóźnień.

  • Monitoring anomalii TLS: buduj profile czasowo-rozmiarowe własnych połączeń z dostawcą; wykrywaj nietypowe „sondowanie” (wiele krótkich zapytań o podobnych strukturach, typowe dla zbierania datasetu treningowego napastnika).

Przykład prostego zbierania cech (packet size / IAT) do SIEM:

# Zeek: ekstrakcja metadanych TLS → TSV/JSON do SIEM
zeek -i eth0 tls
# W logach ssl.log / conn.log masz ts, id.resp_h, resp_p, orig_bytes, resp_bytes, resp_pkts, duration
# Inter-arrival time można przybliżyć z ts + duration + liczby pakietów; dokładniej użyj pcap + tshark:
tshark -r capture.pcap -Y "tls && ip.dst==203.0.113.10" \
  -T fields -e frame.time_epoch -e frame.len -e tcp.stream

Dla dostawców / twórców integracji

  • Padding/obfuscation: dodaj losowy „wypełniacz” (serwerowy) do porcji streamu; Microsoft i OpenAI wdrożyli pole z losową sekwencją tekstu. Mistral wprowadził parametr p do API o podobnym efekcie.
  • Batchowanie tokenów: wysyłaj grupy tokenów zamiast pojedynczych; zmniejsza liczbę obserwowalnych zdarzeń (trade-off: płynność UX).
  • Wtrysk pakietów syntetycznych: wstrzykuj pakiety o losowych rozmiarach/odstępach, by zniszczyć korelację size/IAT.
  • Tryb non-streaming jako opcja „high-privacy”.
  • Audyt side-channel: udostępnij profil ruchu i parametry obrony w dokumentacji (transparency).

Różnice / porównania z innymi przypadkami

Atak side-channel na LLMCo wyciekaNa czym bazujeStatus/uwagi
Whisper LeakTemat rozmowy (klasyfikacja)Rozmiary pakietów + timing w streaminguSkuteczny między dostawcami; częściowe mitigacje wdrożone.
Token-length leak (Weiss 2024)Sekwencja długości tokenów → rekonstrukcja fragmentówRozmiary pakietówDotyczy stricte streamingu token-by-token.
Remote timing (Carlini/Nasr 2024)Cechy promptu przez timing optymalizacjiRóżnice czasu generacjiZależny od mechanizmów typu speculative decoding.
Output-token count (Zhang 2024)Atrybuty wejścia (np. język)Łączny czas/liczba tokenówNie wymaga pełnego streamu.
Cache-sharing timing (Zheng 2024)Semantyka przez trafienia cacheOpóźnienia przy współdzieleniuWymaga współdzielenia zasobów.

Podsumowanie / kluczowe wnioski

  1. TLS chroni treść, nie metadane. W dobie LLM-ów metadane w streamingu wystarczą, by z dużą pewnością odgadnąć temat rozmowy.
  2. Ryzyko jest praktyczne: wysokie AUPRC i scenariusz 10 000:1 z precyzją 100% (częściowo) pokazują użyteczność dla cenzury/surveillance.
  3. Mitigacje istnieją, ale to trade-off między prywatnością a latencją/kosztem. Część ekosystemu już wdrożyła obrony, część — nie.
  4. Działaj warstwowo: polityka (non-streaming dla wrażliwych tematów), shaping, wybór dostawców z paddingiem, monitoring i edukacja użytkowników.

Checklist dla CISO/SOC (do wydrukowania):

  • Zidentyfikowane przypadki użycia LLM z danymi wrażliwymi.
  • Wymuszony tryb non-streaming dla tych przepływów (jeśli dostępny).
  • Ocena dostawców pod kątem paddingu/parametrów obrony (Azure/OpenAI/Mistral/xAI — tak).
  • Shaping/jitter na egress (świadomie, z testami SLA).
  • Runbook SIEM: kolekcja metryk size/IAT dla TLS → detekcja sondowań.
  • Program „AI side-channel testing” w SecEng/Red Team.

Źródła / bibliografia

  • SecurityWeek — omówienie badań i zaleceń (11 listopada 2025). (SecurityWeek)
  • Microsoft Security Blog — pełny opis metody, wyniki i mitigacje (7 listopada 2025). (Microsoft)
  • ArXiv — artykuł techniczny „Whisper Leak: a side-channel attack on Large Language Models” (listopad 2025). (arXiv)
  • The Register — status dostawców, komentarze badaczy i aktualizacja od AWS (11 listopada 2025). (The Register)
  • CSO Online — konsekwencje dla przedsiębiorstw i streszczenie mitigacji (10 listopada 2025). (CSO Online)

Krytyczna luka w Triofox (CVE-2025-12480) aktywnie wykorzystywana: jak działa atak i jak się bronić

Wprowadzenie do problemu / definicja luki

W Triofox (platforma zdalnego dostępu/udostępniania plików firmy Gladinet) wykryto krytyczną lukę CVE-2025-12480 o wektorze AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N (CVSS 9.1). Błąd to niewłaściwa kontrola dostępu: po instalacji nadal można było dotrzeć do stron wstępnej konfiguracji (m.in. AdminDatabase.aspx → AdminAccount.aspx → InitAccount.aspx) i utworzyć natywne konto administratora, obchodząc uwierzytelnianie. Luka jest aktywnie wykorzystywana w kampaniach przypisywanych klastrowi UNC6485. Producent usunął problem w wydaniu 16.7.10368.56560 (lipiec 2025).

W skrócie

  • Co się dzieje? Napastnicy modyfikują nagłówek Host: localhost (atak na nagłówek Host w ASP.NET), by uzyskać dostęp do stron setupu i założyć administratora; następnie wykorzystują funkcję wbudowanego „antywirusa” do uruchomienia własnego pliku z uprawnieniami SYSTEM.
  • Status poprawek: naprawione od 16.7.10368.56560; starsze wersje są podatne. Aktualizuj natychmiast.
  • Dowód eksploatacji: Mandiant/Google obserwował realne włamania od 24 sierpnia 2025 r. (po wydaniu łat).
  • Priorytet: wysoki – publicznie dostępne instancje Triofox narażają konto domenowe/serwer plików i dane.
  • Szybkie działania: aktualizacja, audyt kont admina, zablokowanie dostępu do ścieżek setupu na WAF/reverse proxy, walidacja nagłówków, wyłączenie/ograniczenie „AV path”, monitorowanie artefaktów z analizy poniżej.

Kontekst / historia / powiązania

To trzecia w tym roku aktywnie wykorzystywana podatność Triofox/CentreStack. Wcześniej:

  • CVE-2025-30406 – deserializacja ViewState przez twardo zakodowane machineKey (RCE).
  • CVE-2025-11371 – LFI w domyślnej konfiguracji umożliwiający wyciek kluczy i dalsze RCE; dodana do katalogu CISA KEV.

Obecny incydent (CVE-2025-12480) został szeroko opisany przez SecurityWeek i Google Cloud/Mandiant.

Analiza techniczna / szczegóły luki

1) Bypass uwierzytelniania przez nagłówek Host

  • W ASP.NET właściwość Request.Url powstaje na bazie nagłówka Host. W Triofox metoda kontroli dostępu (np. GladPageUILib.GladBasePage.CanRunCriticalPage()) uznaje żądanie za zaufane, jeśli Request.Url.Host == "localhost".
  • Atakujący wysyła żądanie HTTP do AdminDatabase.aspx z Host: localhost, co omija standardowe przekierowanie do AccessDenied.aspx. Z tej strony można kontynuować wstępną konfigurację i utworzyć konto admina.

Przykładowe żądanie (laboratoryjne)

GET /management/AdminDatabase.aspx HTTP/1.1
Host: localhost
User-Agent: curl/8.7
Accept: */*

W praktyce żądanie kierowane jest do publicznego adresu serwera Triofox, ale z nagłówkiem Host ustawionym na localhost. Reverse proxy bez twardej walidacji hosta przepuści takie żądanie do aplikacji.

2) Eskalacja do RCE przez „antywirus”

Po utworzeniu konta admin napastnik loguje się do GUI, publikuje udział, wrzuca pliki i konfiguruje ścieżkę skanera AV na własny skrypt (np. .bat). Mechanizm uruchamia wskazany plik z kontekstu SYSTEM (dziedziczenie PID procesu Triofox), co daje zdalne wykonanie kodu. W opisywanym incydencie pobrano legalny instalator Zoho UEMS, a następnie wdrożono Zoho Assist i AnyDesk w celu utrzymania dostępu (LOTL).

Artefakty z telemetrii (wg Mandiant)

  • log HTTP z refererem http://localhost/... przy żądaniu do CommitPage.aspx;
  • komenda: cmd.exe /c "c:\triofox\centre_report.bat" ... (wywołanie skryptu wskazanego jako „AV”);
  • pobranie SAgentInstaller_16.7.10368.56560.exe i uruchomienie cichym trybem; instalacja narzędzi zdalnego wsparcia;
  • tunelowanie przez narzędzia pokroju PLINK oraz dwie binarki do enkapsulacji/SSH.

3) Wersje podatne / poprawka

  • Podatne: wszystkie wersje < 16.7.10368.56560.
  • Naprawa: 16.7.10368.56560 (blokada dostępu do stron inicjalnych po zakończonej konfiguracji).

Praktyczne konsekwencje / ryzyko

  • Przejmowanie serwerów Triofox i – po integracji z AD/serwerami plików – eskalacja w domenie (zmiany haseł, dodanie użytkowników do Domain Admins).
  • Utrzymanie dostępu poprzez legalne narzędzia (Zoho Assist/AnyDesk), co utrudnia detekcję i zwiększa MTTD.
  • Exfiltracja danych z udziałów SMB/Triofox, ryzyko ransomware i lateral movement.
  • Niski koszt ataku: brak uwierzytelnienia, jeden nagłówek HTTP, brak interakcji użytkownika.

Rekomendacje operacyjne / co zrobić teraz

1) Patch & konfiguracja

  • Natychmiastowa aktualizacja do ≥ 16.7.10368.56560 (sprawdź Releases History).
  • Po aktualizacji zweryfikuj: brak dostępu do AdminDatabase.aspx, AdminAccount.aspx, InitAccount.aspx z Internetu.
  • Audyt kont Triofox: usuń nieznane konta (np. „Cluster Admin”), zresetuj hasła, wymuś MFA.

2) Kontrole brzegowe (WAF/NGFW/Reverse Proxy)

  • Twarda walidacja nagłówka Host (odrzuć localhost, 127.0.0.1, ::1, niespodziewane FQDN).
  • Reguły URL: blokuj żądania do ścieżek /management/AdminDatabase.aspx, /management/AdminAccount.aspx, /management/InitAccount.aspx z sieci publicznych.
  • Włącz IPS – dostawcy publikują sygnatury dla CVE-2025-12480.

Przykładowa reguła NGINX (reverse proxy)

map $http_host $bad_host {
    default 0;
    "~*^(localhost|127\.0\.0\.1|\[?::1\]?)$" 1;
}
server {
    ...
    if ($bad_host) { return 444; }
    location ~* ^/management/(Admin(Database|Account)|InitAccount)\.aspx$ {
        allow 10.0.0.0/8; allow 192.168.0.0/16; allow 172.16.0.0/12; deny all;
        proxy_pass http://triofox_upstream;
    }
}

3) Hardening aplikacji

  • Jeżeli istnieje ustawienie TrustedHostIp – skonfiguruj je na adres(y) administracyjne; nie zostawiaj pustego. (Wg analizy kodu pusty TrustedHostIp pozostawiał jedyną „ochronę” w postaci Host header).
  • Ogranicz/wyłącz możliwość wskazania dowolnej ścieżki skanera AV; jeżeli to niemożliwe, ustaw allow-listę i monitoruj zmiany.

4) Detekcja i hunting (praktyczne przykłady)

IIS – podejrzane nagłówki/odwołania

  • Szukaj Referer zawierającego http://localhost/management/AdminAccount.aspx albo żądań do /management/... z publicznych IP.

Sigma (IIS W3C) – Host header spoofing na Triofox

title: Triofox CVE-2025-12480 Host Header Abuse
id: 0f5d1b6d-6651-4b1c-9f33-0d3a12480abc
status: experimental
logsource:
  category: webserver
  product: iis
detection:
  sel1:
    cs-host|re: '^(localhost|127\.0\.0\.1|\[?::1\]?)$'
  sel2:
    cs-uri-stem|contains: '/management/'
  condition: sel1 and sel2
level: high

KQL (Sentinel) – anomalia w refererze

W3CIISLog
| where csUriStem has "/management/"
| where csReferer has "http://localhost/"
| project TimeGenerated, sIP, csMethod, csUriStem, csReferer, csUserAgent

Windows – uruchomienia „AV skanera” jako skryptu

DeviceProcessEvents
| where InitiatingProcessFileName =~ "cmd.exe"
| where ProcessCommandLine has @"\triofox\centre_report.bat"
| project Timestamp, DeviceName, AccountName, ProcessCommandLine

LOTL narzędzia z opisu Mandiant

  • Wykrywanie instalacji/połączeń Zoho Assist/AnyDesk tuż po nietypowej aktywności Triofox (korelacja czasowa).

5) Reagowanie po kompromitacji (skrót)

  • Przegląd kont lokalnych/domenowych (zmiany haseł, dodania do Administrators/Domain Admins). (
  • Przegląd zadań zaplanowanych, usług, wpisów Run/RunOnce, kluczy IFEO.
  • Izolacja hosta Triofox, weryfikacja udziałów SMB i systemów z nim skojarzonych.

Różnice / porównania z innymi przypadkami

CVEKlasa błęduWymaganiaSkutekStatus/uwagi
CVE-2025-12480Improper Access Control + Host header abuseBrak uwierzytelnieniaUtworzenie admina → RCE przez „AV path”Naprawione w 16.7.10368.56560; aktywne kampanie UNC6485.
CVE-2025-11371LFI (wyciek plików, np. kluczy)Brak uwierzytelnieniaEkspozycja kluczy → dalsze RCEW CISA KEV; aktywne exploity w październiku 2025 r.
CVE-2025-30406ViewState RCE (machineKey)Dostęp do aplikacjiRCEPubliczne advisory i moduł Metasploit.

Podsumowanie / kluczowe wnioski

  • CVE-2025-12480 łączy banalny wektor (nagłówek Host) z niebezpieczną funkcjonalnością („AV path”), co realnie daje pełne przejęcie serwera bez poświadczeń.
  • Luka jest aktywnie wykorzystywana, potwierdzona przez Mandiant/Google i SecurityWeek – nie czekaj z reakcją.
  • Potraktuj to jak incydent brzegowy: patch, odcięcie paneli setupu od Internetu, walidacja nagłówków, detekcje w logach IIS i EDR, audyt kont i narzędzi zdalnego wsparcia.

Źródła / bibliografia

  1. Google Cloud / Mandiant – techniczny opis łańcucha ataku, artefaktów i kodu kontroli dostępu (CVE-2025-12480). (Google Cloud)
  2. NVD (CVE-2025-12480) – opis, wektor CVSS, wersja naprawiona. (NVD)
  3. SecurityWeek – informacja o aktywnej eksploatacji, wersje, TTP napastnika. (SecurityWeek)
  4. Huntress – wcześniejsza luka LFI (CVE-2025-11371) i kontekst kampanii. (Huntress)
  5. CISA – dodanie Gladinet Triofox/CentreStack (CVE-2025-11371) do KEV – priorytetyzacja łatania. (CISA)