Archiwa: APT - Strona 10 z 44 - Security Bez Tabu

Atak na łańcuch dostaw DAEMON Tools: złośliwe instalatory uderzyły w wybrane organizacje

Wprowadzenie do problemu / definicja

Atak na łańcuch dostaw oprogramowania to jedna z najgroźniejszych form współczesnych cyberataków. W tym scenariuszu napastnicy kompromitują legalne oprogramowanie, proces jego budowy, podpisywania lub dystrybucji, dzięki czemu złośliwy kod trafia do ofiar za pośrednictwem zaufanego produktu. Incydent związany z DAEMON Tools pokazuje, że nawet popularne narzędzie systemowe pobierane z oficjalnego źródła może stać się nośnikiem ukierunkowanej kampanii.

W omawianym przypadku zagrożenie było szczególnie niebezpieczne, ponieważ zainfekowane pliki były podpisane prawidłowymi certyfikatami producenta. To oznacza, że klasyczne wskaźniki zaufania, takie jak legalne pochodzenie pliku czy poprawny podpis cyfrowy, nie wystarczały do odróżnienia bezpiecznej wersji od skompromitowanej.

W skrócie

Badacze bezpieczeństwa wykryli aktywny atak supply chain obejmujący wybrane wersje programu DAEMON Tools. Złośliwe modyfikacje dotyczyły wersji 12.5.0.2421–12.5.0.2434, publikowanych od 8 kwietnia 2026 roku, a kampania wykorzystywała wieloetapowy mechanizm infekcji.

Pierwszy etap obejmował szerokie profilowanie systemów, natomiast drugi był wdrażany tylko wobec starannie wyselekcjonowanych ofiar. Wśród potencjalnych celów znalazły się organizacje rządowe, naukowe, produkcyjne i detaliczne. Producent udostępnił później nowszą wersję 12.6.0.2445, w której opisane złośliwe zachowanie nie występowało.

Kompromitacja objęła legalne wersje instalatora i komponentów aplikacji.
Zainfekowane pliki były podpisane certyfikatami producenta.
Kampania miała charakter masowy na etapie rekonesansu, ale selektywny na etapie dalszej kompromitacji.
Atakujący wykorzystywali profilowanie hosta do wyboru najbardziej wartościowych ofiar.

Kontekst / historia

DAEMON Tools od lat pozostaje rozpoznawalnym narzędziem do montowania obrazów dysków i jest używany zarówno przez użytkowników indywidualnych, jak i firmy. Tego rodzaju popularność sprawia, że kompromitacja produktu daje napastnikom cenny wektor wejścia do środowisk, które normalnie nie uruchomiłyby podejrzanego pliku z nieznanego źródła.

W tym przypadku nie chodziło o proste dołączenie malware do instalatora. Napastnicy zmodyfikowali konkretne pliki wykonywalne znajdujące się już w pakiecie programu, co wskazuje na bardziej zaawansowaną operację i świadome wykorzystanie zaufania do producenta. Model działania sugeruje kampanię hybrydową: szerokie rozprzestrzenienie pierwszego ładunku, a następnie wybór wyłącznie najcenniejszych systemów do dalszej infiltracji.

To podejście dobrze wpisuje się w nowoczesne operacje szpiegowskie i ukierunkowane kampanie APT, w których atakujący najpierw zbierają dane o środowisku, a dopiero później aktywują pełniejsze możliwości zdalnej kontroli.

Analiza techniczna

Z ustaleń badaczy wynika, że kompromitacji uległy trzy pliki wykonywalne: DTHelper.exe, DiscSoftBusServiceLite.exe oraz DTShellHlp.exe. Złośliwy kod został osadzony w taki sposób, aby aktywował się przy uruchomieniu tych komponentów, co w praktyce następowało podczas startu systemu lub działania aplikacji.

Pierwszy etap infekcji obejmował komunikację z infrastrukturą C2 i pobranie dodatkowego modułu profilującego host. Komponent ten zbierał szczegółowe informacje o systemie, takie jak adres MAC, nazwa hosta, domena DNS, lista procesów, zainstalowane oprogramowanie oraz ustawienia regionalne. Dane te były następnie wysyłane do serwera kontrolowanego przez operatorów kampanii.

Drugi etap miał znacznie bardziej selektywny charakter. Na wybranych systemach wdrażano minimalistyczny backdoor, dostarczany przez loader pobierający dwa pliki: program ładujący oraz zaszyfrowany payload. Loader odszyfrowywał zawartość z użyciem RC4, a następnie uruchamiał ją jako shellcode bezpośrednio w pamięci, co ograniczało liczbę artefaktów pozostawianych na dysku.

Funkcjonalność drugiego etapu obejmowała komunikację heartbeat z C2, pobieranie plików, wykonywanie poleceń powłoki oraz uruchamianie dodatkowego shellcode’u. Taki implant mógł pełnić rolę lekkiego narzędzia post-exploitation, umożliwiającego rozbudowę operacji zależnie od wartości ofiary. Badacze wskazali również przypadek użycia bardziej rozbudowanego malware, określanego jako QUIC RAT, przeciwko jednej z instytucji edukacyjnych.

Konsekwencje / ryzyko

Najpoważniejszym elementem incydentu jest połączenie szerokiego zasięgu z precyzyjnym doborem celów. Ponieważ zainfekowane wersje były dostępne z legalnego źródła, wiele organizacji mogło uznać instalację za rutynową i bezpieczną. Tymczasem pierwszy etap ataku służył do rekonesansu, a właściwy implant trafiał jedynie do ograniczonej grupy systemów.

Dla organizacji oznacza to ryzyko utraty poufnych danych o infrastrukturze, eskalacji do pełnej kompromitacji stacji roboczych oraz błędnej oceny skali incydentu. Legalny podpis cyfrowy dodatkowo wzmacniał wiarygodność plików, co mogło pomóc ominąć część mechanizmów kontroli aplikacji i obniżyć czujność zespołów bezpieczeństwa.

Ryzyko wycieku informacji o środowisku i konfiguracji systemów.
Możliwość dalszego wdrożenia złośliwych ładunków i zdalnej kontroli hosta.
Trudności w wykryciu kampanii z powodu selektywnego użycia drugiego etapu.
Nadmierne poleganie na podpisie cyfrowym jako wskaźniku bezpieczeństwa.

Rekomendacje

Organizacje korzystające z DAEMON Tools powinny w pierwszej kolejności sprawdzić, czy w ich środowisku występowały wersje 12.5.0.2421–12.5.0.2434. Należy objąć analizą nie tylko stacje robocze, ale również obrazy referencyjne, systemy VDI i serwery terminalowe, na których oprogramowanie mogło zostać wdrożone automatycznie.

Jeżeli wykryto podatne wersje, wskazane jest natychmiastowe odizolowanie podejrzanych hostów oraz aktualizacja do bezpiecznej wersji. Sama aktualizacja nie powinna jednak kończyć obsługi incydentu. Jeżeli złośliwe komponenty zostały uruchomione, system należy traktować jako potencjalnie skompromitowany i objąć go pełną analizą śledczą.

Zweryfikować obecność wskazanych wersji DAEMON Tools w całym środowisku.
Odizolować hosty z podejrzanymi instalacjami i przeprowadzić threat hunting.
Monitorować wykonanie plików DTHelper.exe, DiscSoftBusServiceLite.exe i DTShellHlp.exe w połączeniu z nietypową aktywnością sieciową.
Wykrywać uruchomienia cmd.exe i powershell.exe inicjowane przez procesy potomne legalnych aplikacji użytkowych.
Analizować pobieranie plików wykonywalnych do katalogów tymczasowych oraz techniki uruchamiania shellcode’u w pamięci.
Rozszerzyć reguły EDR i NDR o wskaźniki kompromitacji oraz wzorce behawioralne związane z kampanią.

W dłuższej perspektywie warto ograniczyć możliwość niekontrolowanego wykonywania skryptów PowerShell, wdrożyć application control oparte nie tylko na podpisie, ale również na reputacji i zachowaniu procesu, a także rozważyć sandboxing aktualizacji pobieranych nawet z oficjalnych źródeł.

Podsumowanie

Atak na łańcuch dostaw DAEMON Tools jest kolejnym dowodem na to, że zaufane oprogramowanie może zostać wykorzystane jako narzędzie do prowadzenia zaawansowanych operacji. Napastnicy połączyli masowy zasięg dystrybucji z selektywnym wyborem najbardziej wartościowych ofiar, opierając decyzje na danych zebranych podczas etapu profilowania.

Dla zespołów bezpieczeństwa najważniejsza lekcja jest jasna: oficjalne źródło pobrania i ważny podpis cyfrowy nie gwarantują bezpieczeństwa. Kluczowe znaczenie mają monitoring zachowania procesów, telemetria endpointów, analiza ruchu sieciowego oraz szybka reakcja na nietypowe oznaki rekonesansu i post-exploitation.

Źródła

https://www.securityweek.com/government-scientific-entities-hit-via-daemon-tools-supply-chain-attack/
https://securelist.com/tr/daemon-tools-backdoor/119654/

MuddyWater podszywa się pod ransomware i wykorzystuje Microsoft Teams do kradzieży poświadczeń

Wprowadzenie do problemu / definicja

Grupa MuddyWater, łączona z operacjami sponsorowanymi przez państwo irańskie, została powiązana z kampanią, która pozorowała incydent ransomware, choć jej rzeczywistym celem była kradzież poświadczeń, utrzymanie trwałego dostępu do środowiska ofiary oraz utrudnienie atrybucji. Szczególnie niepokojące jest wykorzystanie Microsoft Teams jako kanału inżynierii społecznej, co pokazuje, że zaufane platformy komunikacyjne coraz częściej stają się pełnoprawnym wektorem ataku.

W analizowanym scenariuszu napastnicy nie koncentrowali się przede wszystkim na szyfrowaniu danych i szybkim wymuszeniu okupu. Zamiast tego prowadzili działania bliższe operacji wywiadowczej i post-exploitation, wykorzystując elementy kojarzone z ransomware jako zasłonę dymną.

W skrócie

Incydent opisany przez badaczy dotyczył kampanii z początku 2026 roku, w której operatorzy kontaktowali się z pracownikami przez zewnętrzne czaty w Microsoft Teams, podszywając się pod personel wsparcia IT. W trakcie interaktywnych sesji udostępniania ekranu wyłudzano dane logowania i manipulowano procesami uwierzytelniania wieloskładnikowego.

Po uzyskaniu dostępu atakujący prowadzili rozpoznanie, wdrażali narzędzia zdalnego zarządzania, przemieszczali się lateralnie i wyprowadzali dane. Choć w kampanii pojawiały się artefakty powiązane z rodziną Chaos, schemat działania odbiegał od klasycznego ransomware i wskazywał raczej na długofalową infiltrację niż na destrukcyjny atak szyfrujący.

Kontekst / historia

MuddyWater od lat pozostaje jedną z najlepiej rozpoznanych grup powiązanych z irańskimi operacjami cybernetycznymi. Jej aktywność była obserwowana zarówno wobec instytucji rządowych, jak i podmiotów prywatnych, a wcześniejsze raporty wielokrotnie wskazywały na łączenie klasycznych technik APT z metodami utrudniającymi przypisanie kampanii do konkretnego aktora.

W tym przypadku dodatkowe zamieszanie wprowadza wykorzystanie elementów kojarzonych z marką Chaos, funkcjonującą w modelu ransomware-as-a-service. Tego typu zabieg pozwala stworzyć obraz incydentu motywowanego finansowo, podczas gdy faktyczny cel może obejmować szpiegostwo, sabotaż lub długotrwałe utrzymanie dostępu do infrastruktury ofiary. Dla zespołów reagowania oznacza to ryzyko błędnej klasyfikacji zdarzenia już na wczesnym etapie analizy.

Analiza techniczna

Łańcuch ataku rozpoczynał się od kontaktu przez Microsoft Teams. Napastnicy wysyłali wiadomości z zewnętrznych kont i prowadzili rozmowę przypominającą standardowy kontakt z helpdeskiem. Następnie nakłaniali ofiary do rozpoczęcia sesji udostępniania ekranu, co umożliwiało obserwację działań użytkownika, przejęcie poświadczeń oraz osłabienie lub obejście mechanizmów MFA.

Po uzyskaniu pierwszego dostępu operatorzy wykonywali czynności rozpoznawcze, przeglądali pliki związane z konfiguracją VPN i skłaniali użytkowników do wpisywania danych logowania do lokalnie utworzonych plików tekstowych. W części przypadków wdrażano dodatkowe narzędzia zdalnego dostępu, takie jak AnyDesk i DWAgent, co pozwalało utrzymać kontrolę nad stacją roboczą niezależnie od pierwotnej sesji socjotechnicznej.

W dalszej fazie ataku zaobserwowano pobranie pliku wykonywalnego oznaczanego jako ms_upd.exe z zewnętrznego serwera przy użyciu curl przez RDP. Komponent ten inicjował wieloetapowy łańcuch infekcji, zbierał informacje o systemie i komunikował się z serwerem C2 w celu pobrania kolejnych elementów. Jednym z nich był game.exe, czyli niestandardowy trojan zdalnego dostępu podszywający się pod legalną aplikację opartą o Microsoft WebView2.

W pakiecie znajdował się również legalny plik WebView2Loader.dll oraz zaszyfrowana konfiguracja używana do komunikacji z infrastrukturą dowodzenia. Sam RAT działał cyklicznie, odpytywał serwer C2 i pozwalał na wykonywanie poleceń systemowych, uruchamianie skryptów PowerShell, operacje na plikach oraz otwieranie interaktywnych powłok cmd.exe i PowerShell. To zestaw funkcji charakterystyczny dla operacji post-exploitation i utrzymania dostępu, a nie dla typowego wdrożenia ransomware nastawionego na szybkie szyfrowanie zasobów.

Wejście przez zewnętrzny czat w Microsoft Teams
Podszycie się pod wsparcie IT i wykorzystanie udostępniania ekranu
Kradzież poświadczeń oraz manipulacja MFA
Instalacja narzędzi AnyDesk i DWAgent
Pobranie loadera ms_upd.exe i uruchomienie kolejnych etapów infekcji
Wdrożenie niestandardowego RAT podszywającego się pod aplikację WebView2
Eksfiltracja danych i utrzymanie trwałej obecności

Konsekwencje / ryzyko

Najpoważniejszym zagrożeniem jest błędne rozpoznanie charakteru incydentu. Jeśli organizacja uzna takie zdarzenie wyłącznie za próbę wymuszenia, może skupić się na scenariuszu szyfrowania i negocjacjach, ignorując obecność przeciwnika w sieci, cichą eksfiltrację danych czy dalszą penetrację środowiska.

Atak z użyciem Teams pokazuje również, jak skuteczne mogą być kampanie prowadzone przez zaufane platformy współpracy. Pracownicy częściej obdarzają je zaufaniem niż pocztę elektroniczną od nieznanego nadawcy, przez co są bardziej podatni na instrukcje wydawane w czasie rzeczywistym przez rzekome wsparcie techniczne.

Dodatkowym ryzykiem jest wykorzystanie legalnych narzędzi administracyjnych i komponentów, które nie zawsze wzbudzają podejrzenia systemów bezpieczeństwa. W praktyce zwiększa to szansę na długotrwałe ukrycie aktywności napastnika, kompromitację kont uprzywilejowanych, przejęcie dostępu do zasobów VPN oraz późniejsze wykorzystanie zdobytej infrastruktury do kolejnych operacji.

Rekomendacje

Organizacje powinny ograniczyć możliwość kontaktu zewnętrznych użytkowników przez Microsoft Teams, zwłaszcza jeśli nie jest on niezbędny z perspektywy biznesowej. Warto wdrożyć jasne oznaczenia rozmów spoza organizacji, polityki dopuszczające wyłącznie zaufanych nadawców oraz ostrzeżenia wyświetlane użytkownikom przed rozpoczęciem interakcji.

Kluczowe znaczenie ma również edukacja pracowników w zakresie scenariuszy helpdesk impersonation. Personel powinien wiedzieć, że dział IT nie prosi przez czat o wpisywanie haseł do plików tekstowych, instalowanie narzędzi zdalnego dostępu bez zgłoszenia serwisowego ani udostępnianie ekranu w celu „naprawy” procesu logowania.

Ograniczenie lub wyłączenie zewnętrznych czatów w Microsoft Teams
Weryfikacja tożsamości wsparcia IT według formalnych procedur
Monitorowanie i kontrola użycia narzędzi RMM oraz zdalnego dostępu
Wdrożenie allowlistingu aplikacji i blokowanie nieautoryzowanych binariów
Inspekcja aktywności PowerShell, curl, RDP, AnyDesk, DWAgent i nietypowego użycia WebView2
Analiza logów tożsamości pod kątem anomalii MFA i nietypowych sesji logowania
Segmentacja sieci oraz ograniczenie dostępu do danych uprzywilejowanych i konfiguracji VPN
Szybka izolacja stacji roboczych, na których wykryto socjotechnikę prowadzoną w czasie rzeczywistym

W organizacjach o podwyższonym profilu ryzyka warto traktować incydenty z elementem ransomware jako możliwe operacje maskujące. Oznacza to potrzebę pełnego polowania na mechanizmy persistence, analizę komunikacji z C2 oraz sprawdzenie, czy przed pojawieniem się narracji o okupie nie doszło już do eksfiltracji danych.

Podsumowanie

Kampania przypisywana MuddyWater pokazuje, że współczesne operacje cybernetyczne coraz częściej łączą techniki APT z metodami znanymi z ekosystemu ransomware. Microsoft Teams został wykorzystany jako kanał początkowego dostępu i manipulacji użytkownikiem, a elementy Chaos posłużyły jako warstwa dezinformacyjna utrudniająca ocenę prawdziwego celu ataku.

Dla zespołów bezpieczeństwa płynie z tego jasny wniosek: obecność artefaktów ransomware nie oznacza automatycznie motywacji finansowej. Skuteczna obrona musi obejmować nie tylko endpointy i pocztę elektroniczną, ale również platformy współpracy, procedury helpdesku, kontrolę narzędzi administracyjnych i szybkie wykrywanie anomalii w obszarze tożsamości.

Źródła

The Hacker News — https://thehackernews.com/2026/05/muddywater-uses-microsoft-teams-to.html
Rapid7 — Muddying the Tracks: The State-Sponsored Shadow Behind Chaos Ransomware — https://www.rapid7.com/blog/post/tr-muddying-tracks-state-sponsored-shadow-behind-chaos-ransomware/
Infosecurity Magazine — Iran-Linked APT Posed as Chaos Ransomware Member in Espionage Campaign — https://www.infosecurity-magazine.com/news/iran-linked-apt-chaos-ransomware/
BleepingComputer — MuddyWater hackers use Chaos ransomware as a decoy in attacks — https://www.bleepingcomputer.com/news/security/muddywater-hackers-use-chaos-ransomware-as-a-decoy-in-attacks/

ScarCruft wykorzystuje platformę gamingową do dystrybucji BirdCall na Androidzie i Windowsie

Wprowadzenie do problemu / definicja

Ataki typu supply chain należą do najgroźniejszych scenariuszy kompromitacji, ponieważ wykorzystują zaufanie użytkowników do legalnego oprogramowania, aktualizacji i oficjalnych kanałów dystrybucji. Najnowsza kampania przypisywana grupie ScarCruft pokazuje, że nawet niszowa platforma gamingowa może zostać użyta jako nośnik wieloetapowego malware szpiegowskiego.

W opisywanym przypadku napastnicy mieli wykorzystać skompromitowaną infrastrukturę do dostarczania złośliwego oprogramowania BirdCall na urządzenia z Androidem oraz systemy Windows. To przykład operacji, w której legalny ekosystem aplikacji staje się narzędziem do cichej inwigilacji i eksfiltracji danych.

W skrócie

Kampania została powiązana z północnokoreańską grupą APT ScarCruft.
Celem była platforma gamingowa używana przez etnicznych Koreańczyków w regionie Yanbian w Chinach.
Złośliwe komponenty trafiły zarówno do pakietów Android APK, jak i do aktualizacji klienta desktopowego dla Windows.
BirdCall umożliwia zbieranie danych, monitorowanie aktywności użytkownika oraz komunikację z infrastrukturą C2 z użyciem legalnych usług chmurowych.
Według badaczy kampania mogła trwać od końca 2024 roku, a część zainfekowanych aplikacji mobilnych nadal była dostępna do pobrania w chwili publikacji analiz.

Kontekst / historia

ScarCruft od lat jest kojarzony z operacjami cyberwywiadowczymi ukierunkowanymi na osoby i środowiska związane z tematyką Korei Północnej. Wśród potencjalnych celów tej grupy znajdują się m.in. aktywiści, uciekinierzy, badacze oraz społeczności funkcjonujące w obszarach o znaczeniu geopolitycznym.

Ta kampania wpisuje się w znany profil operacyjny grupy, ale wyróżnia się sposobem dostarczenia ładunku. Zamiast klasycznych wiadomości phishingowych lub fałszywych dokumentów, napastnicy przejęli zaufany kanał dystrybucji aplikacji. Taki model działania istotnie zwiększa skuteczność infekcji, ponieważ użytkownik instaluje oprogramowanie z miejsca uznawanego za oficjalne i bezpieczne.

Istotny jest także związek z wcześniejszą aktywnością ScarCruft. W przeszłości z grupą łączono rodzinę malware RokRAT, natomiast BirdCall jest postrzegany jako bardziej rozwinięty zestaw narzędzi, który rozszerza możliwości operacyjne na kolejne platformy i scenariusze użycia.

Analiza techniczna

Analiza wskazuje na co najmniej dwa równoległe łańcuchy infekcji. W wariancie androidowym złośliwe pakiety APK miały zostać podstawione pod legalne gry dostępne na zaatakowanej platformie. Po instalacji BirdCall uzyskiwał rozbudowany dostęp do funkcji urządzenia i danych użytkownika.

Zakres zbieranych informacji obejmował kontakty, wiadomości SMS, historię połączeń, pliki multimedialne, dokumenty, a także zrzuty ekranu i nagrania dźwięku. Oznacza to, że mobilny wariant BirdCall działał jak pełnoprawne narzędzie inwigilacyjne, zdolne do długotrwałego monitorowania aktywności ofiary.

W środowisku Windows mechanizm infekcji był bardziej wieloetapowy. Badacze opisali scenariusz, w którym złośliwy komponent został osadzony w pakiecie aktualizacyjnym klienta desktopowego. Zmodyfikowana biblioteka DLL zawierała downloader analizujący uruchomione procesy pod kątem obecności narzędzi analitycznych oraz środowisk wirtualnych.

Po spełnieniu określonych warunków malware pobierał i uruchamiał shellcode, co prowadziło do instalacji komponentów powiązanych z RokRAT, a następnie BirdCall. Takie podejście utrudnia detekcję, ponieważ część ładunku jest dostarczana etapami i aktywuje się dopiero po wstępnej ocenie środowiska ofiary.

Na szczególną uwagę zasługuje wykorzystanie legalnych usług chmurowych jako kanałów command-and-control. Dzięki temu ruch generowany przez malware może przypominać zwykłą komunikację z popularnymi usługami SaaS, co znacząco obniża skuteczność prostych mechanizmów filtrowania sieciowego. W wariancie windowsowym BirdCall miał ponadto wspierać funkcje takie jak keylogging, przechwytywanie schowka, wykonywanie poleceń powłoki oraz zbieranie informacji systemowych.

Badacze wskazali również na aktywny rozwój wersji androidowej. Identyfikacja wielu wariantów backdoora sugeruje, że BirdCall nie jest jednorazowym narzędziem użytym w pojedynczej kampanii, lecz stale rozwijanym komponentem długofalowej operacji cyberszpiegowskiej.

Konsekwencje / ryzyko

Najpoważniejszą konsekwencją takich incydentów jest podważenie zaufania do legalnego łańcucha dostaw oprogramowania. Jeśli użytkownik pobiera aplikację z oficjalnej strony producenta lub instaluje autoryzowaną aktualizację, zwykle nie zakłada podwyższonego ryzyka. To sprawia, że sama edukacja użytkowników nie wystarcza do skutecznej obrony.

Dla organizacji i użytkowników indywidualnych ryzyko ma kilka warstw. Po pierwsze, BirdCall umożliwia długotrwałą obserwację ofiary oraz eksfiltrację danych komunikacyjnych, dokumentów i informacji osobistych. Po drugie, zainfekowany host Windows może zostać wykorzystany jako punkt wejścia do dalszej eskalacji uprawnień, ruchu bocznego lub kolejnych etapów operacji. Po trzecie, kompromitacja urządzenia mobilnego zwiększa zakres pozyskiwanych danych o treści rozmów, SMS-ach, multimediach i aktywności poza komputerem.

Szczególnie zagrożone są środowiska, w których użytkownicy instalują aplikacje spoza centralnie nadzorowanych sklepów, a organizacja nie stosuje kontroli integralności pakietów, allowlistingu oraz monitoringu behawioralnego EDR lub XDR. W kampaniach ukierunkowanych ofiary mogą przez długi czas nie mieć świadomości, że pozostają pod obserwacją.

Rekomendacje

Organizacje powinny traktować wszystkie zewnętrzne pakiety instalacyjne i aktualizacyjne jako potencjalnie nieufne, nawet jeśli pochodzą z pozornie oficjalnych źródeł. Kluczowe znaczenie ma walidacja podpisów cyfrowych, kontrola integralności plików oraz uruchamianie nowych aplikacji i aktualizacji w środowiskach testowych przed wdrożeniem produkcyjnym.

Monitorowanie pobieranych pakietów APK, EXE i DLL pod kątem zmian hashy oraz anomalii w łańcuchu podpisu.
Wdrożenie polityk allowlistingu aplikacji na stacjach roboczych i urządzeniach mobilnych.
Wykorzystanie telemetrii EDR/XDR do wykrywania podejrzanego ładowania bibliotek, uruchamiania shellcode i nietypowych procesów potomnych.
Inspekcja ruchu do usług chmurowych pod kątem niestandardowych wzorców eksfiltracji.
Detekcja prób sprawdzania środowisk wirtualnych i obecności narzędzi analitycznych.
Ograniczanie instalacji aplikacji mobilnych do zaufanych i nadzorowanych źródeł.
Regularny threat hunting oraz przegląd wskaźników IOC powiązanych z aktywnością grup APT.

W przypadku podejrzenia kompromitacji konieczne jest przeprowadzenie pełnej analizy śledczej zarówno na hostach Windows, jak i na urządzeniach mobilnych. Samo usunięcie aplikacji może okazać się niewystarczające, jeśli malware pobrał dodatkowe komponenty, uzyskał trwałość lub doprowadził już do wycieku danych.

Podsumowanie

Kampania przypisywana grupie ScarCruft pokazuje, że współczesne operacje cyberszpiegowskie coraz częściej łączą kompromitację łańcucha dostaw z atakami wieloplatformowymi. BirdCall nie jest prostym trojanem, lecz rozwijanym zestawem narzędzi do ukrytej obserwacji, kradzieży danych i utrzymywania dostępu na Androidzie oraz Windowsie.

Dla zespołów bezpieczeństwa to wyraźny sygnał, że zaufanie do źródła dystrybucji nie może zastępować technicznej weryfikacji integralności, monitoringu behawioralnego i ciągłego nadzoru nad punktami końcowymi. Supply chain pozostaje jednym z najbardziej wymagających obszarów obrony, a podobne kampanie będą prawdopodobnie coraz częściej łączyć legalne usługi z zaawansowanym malware szpiegowskim.

Źródła

The Hacker News — https://thehackernews.com/2026/05/scarcruft-hacks-gaming-platform-to.html
WeLiveSecurity / ESET Research — https://www.welivesecurity.com/

Atak na włoską spółkę IBM i cień Salt Typhoon: ostrzeżenie dla europejskiej infrastruktury cyfrowej

Wprowadzenie do problemu

Incydent bezpieczeństwa wymierzony w Sistemi Informativi, spółkę należącą do IBM we Włoszech, ponownie zwrócił uwagę na strategiczne ryzyko ataków na dostawców usług IT obsługujących administrację publiczną i duże przedsiębiorstwa. Tego typu organizacje są atrakcyjnym celem, ponieważ ich kompromitacja może otworzyć drogę do wielu środowisk klientów jednocześnie.

W centrum zainteresowania znalazła się grupa Salt Typhoon, którą zachodnie źródła analityczne i wywiadowcze wiążą z chińskimi operacjami cyberszpiegowskimi. Jeżeli te podejrzenia się potwierdzą, sprawa będzie miała znaczenie wykraczające poza pojedynczy incydent i stanie się kolejnym sygnałem ostrzegawczym dla europejskiej infrastruktury cyfrowej.

W skrócie

Według ujawnionych informacji incydent został wykryty pod koniec kwietnia 2026 roku. IBM poinformował o identyfikacji zdarzenia, ograniczeniu jego skutków oraz uruchomieniu procedur reagowania, a usługi miały zostać przywrócone.

Pełny zakres naruszenia nie został jednak publicznie ujawniony. Doniesienia medialne wskazują na możliwy udział grupy Salt Typhoon, znanej z operacji wymierzonych w infrastrukturę telekomunikacyjną oraz sieci o znaczeniu strategicznym.

Kontekst i historia

Sistemi Informativi odgrywa ważną rolę w obsłudze infrastruktury technologicznej dla podmiotów publicznych i prywatnych we Włoszech. W praktyce oznacza to, że ewentualne przełamanie zabezpieczeń takiego integratora może mieć charakter łańcuchowy i oddziaływać na wiele organizacji korzystających z jego usług.

Salt Typhoon to nazwa stosowana wobec aktora państwowego powiązanego z Chińską Republiką Ludową, aktywnego co najmniej od 2019 roku. Grupa była łączona z kompromitacją operatorów telekomunikacyjnych, dostawców usług internetowych oraz kampaniami nastawionymi na długotrwałą obecność w sieci, rekonesans i eksfiltrację danych.

W ostatnich latach obserwowany jest wyraźny zwrot w stronę ataków na warstwę infrastrukturalną. Zamiast koncentrować się wyłącznie na pojedynczych stacjach roboczych, zaawansowani przeciwnicy coraz częściej próbują przejmować urządzenia brzegowe, systemy zarządzania i relacje zaufania między dostawcą a klientem.

Analiza techniczna

Na obecnym etapie nie opublikowano pełnej charakterystyki wektora wejścia ani listy wykorzystanych podatności. Można jednak wskazać najbardziej prawdopodobny schemat działania, zgodny z praktykami grup APT prowadzących operacje cyberszpiegowskie.

Pierwszym krokiem bywa uzyskanie dostępu do systemów brzegowych lub usług zdalnego dostępu. W tym celu napastnicy często wykorzystują niezałatane urządzenia sieciowe, bramy VPN, systemy publikacji aplikacji albo podatności typu zero-day i n-day. Po zdobyciu przyczółka następuje rozpoznanie środowiska, identyfikacja kont uprzywilejowanych, segmentów sieci oraz systemów administracyjnych.

W przypadku dostawcy usług IT szczególnie cenne są elementy umożliwiające zarządzanie infrastrukturą klientów lub zapewniające szeroki wgląd operacyjny.

platformy administracyjne i narzędzia orkiestracji,
repozytoria konfiguracji i dokumentacja techniczna,
systemy monitoringu oraz zdalnego utrzymania,
konta serwisowe o szerokich uprawnieniach,
połączenia do środowisk klientów,
mapy zależności i inwentarze zasobów.

Jeżeli incydent rzeczywiście miał związek z Salt Typhoon, szczególnie istotne byłoby poszukiwanie śladów długotrwałej i skrytej obecności w sieci. Tego rodzaju operacje często opierają się na użyciu legalnych narzędzi administracyjnych, cichym poruszaniu się bocznym, tunelowaniu ruchu, selektywnej eksfiltracji danych oraz unikaniu detekcji opartej wyłącznie na sygnaturach.

Dla zespołów reagowania kluczowe pozostają następujące pytania:

czy doszło do kompromitacji tożsamości uprzywilejowanych,
czy naruszono systemy zarządzające infrastrukturą klientów,
czy przejęto dane konfiguracyjne i informacje architektoniczne,
czy odnotowano manipulacje urządzeniami sieciowymi,
czy obecność przeciwnika miała charakter wyłącznie rozpoznawczy, czy także przygotowawczy.

Konsekwencje i ryzyko

Największe zagrożenie w tego typu incydentach nie zawsze wynika z natychmiastowej niedostępności usług. Znacznie poważniejsza może być kompromitacja relacji zaufania między dostawcą a jego klientami, ponieważ otwiera ona drogę do wtórnych naruszeń w wielu organizacjach.

Dla sektora publicznego i operatorów usług kluczowych oznacza to wzrost ryzyka cyberszpiegostwa, ekspozycji danych technicznych i operacyjnych oraz utrudnień w prowadzeniu analizy śledczej. Im bardziej złożone są zależności między środowiskami, tym trudniej szybko ustalić pełen zakres wpływu incydentu.

Sprawa wzmacnia również tezę, że dostawcy usług IT, operatorzy managed services i integratorzy systemowi powinni być traktowani jako element infrastruktury krytycznej. To właśnie oni dysponują szerokim dostępem, uprzywilejowanymi uprawnieniami i wiedzą o architekturze klientów.

Rekomendacje

Organizacje współpracujące z zewnętrznymi dostawcami IT powinny potraktować ten incydent jako impuls do przeglądu modelu zaufania oraz zabezpieczeń łańcucha dostaw. W praktyce warto wdrożyć następujące działania:

zweryfikować i ograniczyć uprawnienia kont serwisowych oraz wymusić MFA dla wszystkich połączeń administracyjnych,
segmentować środowiska i odseparować dostęp partnerów technologicznych od krytycznych zasobów,
monitorować konta uprzywilejowane, tokeny sesyjne i aktywność w systemach zarządzania,
zwiększyć widoczność telemetryczną w urządzeniach brzegowych, IAM, EDR/XDR i SIEM,
przeprowadzić ocenę ryzyka stron trzecich oraz doprecyzować wymagania umowne dotyczące incydentów,
przygotować scenariusze awaryjne na wypadek kompromitacji partnera technologicznego,
priorytetowo aktualizować urządzenia sieciowe, koncentratory VPN i systemy zdalnego dostępu.

Podsumowanie

Atak na włoską spółkę obsługującą infrastrukturę IT dla instytucji i dużych organizacji stanowi ważne ostrzeżenie dla całej Europy. Nawet jeśli pełna atrybucja i skala naruszenia pozostają przedmiotem dochodzenia, sam model zagrożenia jest już dobrze rozpoznany: przeciwnik nie musi atakować bezpośrednio każdego celu, jeśli może przejąć zaufanego dostawcę usług.

Dla zespołów bezpieczeństwa oznacza to konieczność przesunięcia uwagi z ochrony pojedynczych zasobów na ochronę relacji zaufania, tożsamości uprzywilejowanych, warstwy sieciowej i całego cyfrowego łańcucha dostaw.

Źródła

Security Affairs — https://securityaffairs.com/191638/apt/salt-typhoon-breach-ibm-subsidiary-in-italy-a-warning-for-europes-digital-defenses.html
la Repubblica — https://www.repubblica.it/tecnologia/2026/05/03/news/esclusivo_pa_italiana_e_non_solo_attaccata_da_un_gruppo_di_hacker_cinesi-425320702/
IBM — https://www.ibm.com/it-it/think/cybersecurity
MITRE ATT&CK — Salt Typhoon, Group G1045 — https://attack.mitre.org/groups/G1045/
FBI — Seeking Tips about PRC Targeting of U.S. Telecommunications — https://www.fbi.gov/investigate/cyber/alerts/fbi-seeking-tips-about-prc-targeting-of-us-telecommunications

Atak Salt Typhoon na włoską spółkę IBM alarmem dla europejskiej infrastruktury cyfrowej

Wprowadzenie do problemu / definicja

Incydent bezpieczeństwa dotyczący włoskiej spółki Sistemi Informativi, należącej do IBM Italy, zwrócił uwagę na rosnące zagrożenie dla europejskich dostawców usług IT obsługujących administrację publiczną oraz sektor infrastruktury krytycznej. Według ujawnionych informacji naruszenie miało miejsce pod koniec kwietnia 2026 roku, a wstępne ustalenia medialne wiążą je z aktywnością grupy Salt Typhoon, kojarzonej z operacjami cybernetycznymi o charakterze szpiegowskim.

Sprawa ma znaczenie wykraczające poza granice Włoch. Pokazuje bowiem, że integratorzy systemów, outsourcerzy i operatorzy infrastruktury cyfrowej stają się celem o wysokiej wartości, ponieważ pośrednio zapewniają dostęp do wielu środowisk jednocześnie.

W skrócie

Sistemi Informativi odpowiada za zarządzanie infrastrukturą IT dla ważnych podmiotów publicznych i prywatnych we Włoszech. Po wykryciu incydentu uruchomiono procedury reagowania i działania ograniczające skutki naruszenia.

Nie ujawniono publicznie pełnego zakresu kompromitacji, jednak sama skala znaczenia spółki oraz czasowa niedostępność części usług wzbudziły obawy o możliwość uzyskania przez napastników pośredniego dostępu do systemów obsługujących krajową infrastrukturę cyfrową. Jeśli atrybucja do Salt Typhoon się potwierdzi, będzie to kolejny przykład ataku wymierzonego w łańcuch zależności technologicznych, a nie tylko w pojedynczą organizację.

Kontekst / historia

Salt Typhoon to nazwa przypisywana zaawansowanej grupie APT, która w ostatnich latach była łączona z kampaniami ukierunkowanymi na telekomunikację, sektor rządowy, infrastrukturę krytyczną oraz podmioty o znaczeniu strategicznym. Charakterystyczne dla takich operacji są długotrwała obecność w środowisku ofiary, dyskretne rozpoznanie sieci, selektywna eksfiltracja danych oraz koncentracja na systemach centralnych zapewniających szeroki wgląd w konfigurację i ruch.

W ostatnim czasie coraz częściej obserwuje się incydenty, w których celem nie jest bezpośrednio urząd, operator czy instytucja końcowa, lecz dostawca technologii, partner outsourcingowy albo integrator utrzymujący środowiska wielu klientów. Taki model działania jest szczególnie niebezpieczny, ponieważ jedno naruszenie może doprowadzić do efektu kaskadowego i otworzyć drogę do wielu segmentów infrastruktury jednocześnie.

Analiza techniczna

Na obecnym etapie brakuje publicznych, szczegółowych danych forensic dotyczących wektora wejścia, użytych narzędzi oraz sposobu utrzymania dostępu. Na podstawie wzorców obserwowanych w podobnych kampaniach APT można jednak wskazać najbardziej prawdopodobny model operacyjny.

Pierwszym etapem mogło być uzyskanie dostępu przez podatność w systemie brzegowym, urządzeniu sieciowym, platformie zdalnego dostępu lub komponencie służącym do zarządzania środowiskami klientów. Grupy sponsorowane przez państwa często wykorzystują luki w rozwiązaniach sieciowych, telekomunikacyjnych i wirtualizacyjnych, zwłaszcza tam, gdzie infrastruktura dostawcy zapewnia połączenia do wielu organizacji.

Po wejściu do środowiska atakujący zwykle przechodzą do fazy rozpoznania. Identyfikują domeny, serwery zarządzające, konta uprzywilejowane, repozytoria konfiguracji, systemy monitoringu, narzędzia orkiestracji oraz połączenia VPN lub tunele administracyjne prowadzące do klientów. Dla podmiotu takiego jak Sistemi Informativi szczególnie cenne mogły być:

systemy zarządzania usługami i infrastrukturą,
konta administracyjne o szerokim zakresie uprawnień,
dokumentacja architektury i topologii sieci,
logi oraz metadane ruchu,
dane uwierzytelniające i sekrety wykorzystywane do automatyzacji.

Kolejnym etapem mogło być utrwalenie obecności i ruch boczny. W praktyce oznacza to wykorzystanie legalnych mechanizmów administracyjnych, usług zdalnych, harmonogramów zadań, tokenów dostępowych lub kompromitację systemów pośredniczących. Zaawansowane grupy APT często ograniczają użycie głośnego malware na rzecz technik living-off-the-land, co utrudnia wykrycie przez klasyczne rozwiązania EDR i SIEM oparte na sygnaturach.

Najbardziej niepokojący scenariusz dotyczy nie tyle zniszczenia systemów, ile uzyskania dostępu do mapy zależności całego środowiska. W przypadku dostawcy usług IT taka wiedza pozwala:

identyfikować klientów o znaczeniu strategicznym,
planować kolejne operacje przez zaufane kanały administracyjne,
przechwytywać dane konfiguracyjne i informacje o segmentacji,
przygotowywać długofalowe działania wywiadowcze bez natychmiastowego ujawnienia obecności.

Konsekwencje / ryzyko

Ryzyko wynikające z tego typu naruszenia ma charakter wielowarstwowy. Na poziomie operacyjnym oznacza możliwe zakłócenia w świadczeniu usług oraz konieczność izolacji systemów, co bezpośrednio wpływa na ciągłość działania klientów. Na poziomie bezpieczeństwa informacji pojawia się ryzyko ujawnienia danych technicznych, administracyjnych i operacyjnych, które mogą mieć wysoką wartość wywiadowczą nawet bez masowego wycieku danych osobowych.

Dla sektora publicznego i operatorów infrastruktury krytycznej szczególnie groźne jest przejęcie dostępu pośredniego. Atak na integratora może umożliwić budowanie obrazu zależności między instytucjami, identyfikację słabych punktów segmentacji oraz ocenę gotowości reagowania na incydenty. Taki dostęp może zostać wykorzystany natychmiast albo zachowany jako zdolność rezerwowa do przyszłych operacji.

W szerszej perspektywie incydent wzmacnia tezę, że europejska cyberobrona nie może koncentrować się wyłącznie na zabezpieczaniu pojedynczych urzędów czy firm. Coraz częściej to dostawcy usług zarządzanych, operatorzy centrów danych, integratorzy i partnerzy technologiczni stają się centralnym punktem ryzyka systemowego.

Rekomendacje

Organizacje korzystające z usług zewnętrznych dostawców IT powinny traktować relacje z nimi jako element własnej powierzchni ataku. Oznacza to konieczność wdrożenia zarówno kontroli kontraktowych, jak i zabezpieczeń technicznych.

Najważniejsze działania obronne obejmują:

pełny przegląd uprawnień dostawców i zasad dostępu uprzywilejowanego,
wymuszenie segmentacji połączeń administracyjnych między dostawcą a klientem,
stosowanie modelu zero trust dla sesji serwisowych i kont technicznych,
rotację poświadczeń oraz sekretów wykorzystywanych przez integratorów,
monitorowanie aktywności dostawców w czasie rzeczywistym z analizą behawioralną,
wdrożenie PAM, MFA odpornego na phishing oraz silnego rejestrowania sesji,
inwentaryzację zależności od stron trzecich i mapowanie połączeń do systemów krytycznych,
audyt konfiguracji urządzeń brzegowych, koncentratorów VPN i platform zarządzania,
testowanie scenariuszy odcięcia dostawcy bez utraty ciągłości działania,
prowadzenie ćwiczeń tabletop zakładających kompromitację partnera technologicznego.

Po stronie samych dostawców kluczowe znaczenie mają oddzielenie środowisk klientów, minimalizacja uprawnień administracyjnych, stosowanie bastionów dostępowych, twarda segmentacja sieci zarządzającej oraz regularne przeglądy logów pod kątem nietypowego ruchu lateralnego i anomalii w użyciu kont uprzywilejowanych. Istotne pozostaje także szybkie łatanie systemów brzegowych i urządzeń, które historycznie często stanowią wektor wejścia dla zaawansowanych grup APT.

Podsumowanie

Incydent związany z Sistemi Informativi pokazuje, że bezpieczeństwo cyfrowe Europy zależy dziś nie tylko od ochrony pojedynczych instytucji, lecz również od odporności całego ekosystemu dostawców technologicznych. Potencjalne powiązanie ataku z Salt Typhoon podkreśla znaczenie operacji nastawionych na długotrwały dostęp, rozpoznanie infrastruktury i wykorzystanie zaufanych relacji w łańcuchu usług IT.

Dla organizacji w Europie to wyraźny sygnał, że bezpieczeństwo stron trzecich powinno być traktowane jako element obrony infrastruktury krytycznej, a nie jedynie jako wymóg compliance. W praktyce oznacza to konieczność głębszego nadzoru nad partnerami technologicznymi i budowania odporności na scenariusze kompromitacji dostawcy.

Źródła

Security Affairs — Salt Typhoon breach IBM subsidiary in Italy: a warning for Europe’s digital defenses — https://securityaffairs.com/191638/apt/salt-typhoon-breach-ibm-subsidiary-in-italy-a-warning-for-europes-digital-defenses.html
La Repubblica — artykuł o incydencie dotyczącym Sistemi Informativi/IBM Italy — https://www.repubblica.it/

Chińsko powiązana kampania cyberszpiegowska uderza w rządy Azji i państwo NATO

Wprowadzenie do problemu / definicja

Nowo ujawniona kampania cyberszpiegowska potwierdza utrwalony kierunek działań grup powiązanych z Chinami: priorytetem pozostają instytucje rządowe, sektor obronny oraz środowiska o wysokiej wartości wywiadowczej. W opisywanym przypadku napastnicy koncentrowali się na publicznie dostępnych serwerach, wykorzystując znane podatności typu N-day w Microsoft Exchange i usługach IIS, a następnie rozwijając dostęp przy użyciu web shelli, backdoorów i narzędzi do ruchu lateralnego.

Skala i dobór celów pokazują, że nie chodzi o oportunistyczne włamania, lecz o długofalowe operacje nastawione na utrzymanie dostępu, rozpoznanie infrastruktury i dyskretną eksfiltrację danych. Szczególne znaczenie ma fakt, że wśród ofiar znalazły się podmioty publiczne z Azji oraz co najmniej jedno państwo NATO.

W skrócie

Badacze opisali klaster aktywności SHADOW-EARTH-053 powiązany z operacjami cyberwywiadowczymi.
Cele obejmowały administrację i obronność w Azji Południowej, Wschodniej i Południowo-Wschodniej oraz co najmniej jeden kraj NATO w Europie.
Wśród wskazanych ofiar znalazły się organizacje z Pakistanu, Tajlandii, Malezji, Indii, Mjanmy, Sri Lanki, Tajwanu oraz Polski.
Ataki rozpoczynały się od eksploatacji niezałatanych systemów brzegowych, po czym wdrażano web shell Godzilla i implanty ShadowPad uruchamiane przez DLL sideloading.
W części incydentów wykorzystano także React2Shell do dostarczenia linuksowego wariantu Noodle RAT.
Równolegle ujawniono kampanie phishingowe wymierzone w dziennikarzy i aktywistów diaspory, prowadzone przez klastry GLITTER CARP oraz SEQUIN CARP.

Kontekst / historia

Operacje przypisywane chińsko powiązanym aktorom od lat ewoluują od klasycznego spear phishingu do kompromitacji urządzeń i usług brzegowych. To przesunięcie wynika z wysokiej skuteczności ataków na serwery wystawione do internetu, zwłaszcza gdy organizacje opóźniają wdrażanie poprawek lub utrzymują przestarzałe komponenty Exchange i IIS.

SHADOW-EARTH-053 ma być aktywny co najmniej od grudnia 2024 roku. Analitycy wskazali również częściowe nakładanie się infrastruktury z innymi śledzonymi klastrami, a niemal połowa zaobserwowanych ofiar tej kampanii miała wcześniej styczność z aktywnością oznaczaną jako SHADOW-EARTH-054. Taki obraz sugeruje szerszy ekosystem operatorów współdzielących techniki, infrastrukturę lub pośredni dostęp do środowisk ofiar.

Równolegle do ataków na sektor publiczny ujawniono odrębne kampanie phishingowe wymierzone w dziennikarzy śledczych, społeczeństwo obywatelskie oraz aktywistów ujgurskich, tybetańskich, tajwańskich i hongkońskich. To wpisuje się w model cyfrowej represji transnarodowej, w którym celem jest nie tylko klasyczny wywiad państwowy, ale także monitoring i presja wobec środowisk krytycznych.

Analiza techniczna

Łańcuch ataku w kampanii SHADOW-EARTH-053 opierał się głównie na eksploatacji znanych podatności w usługach internetowych. Napastnicy wykorzystywali luki w Microsoft Exchange i aplikacjach hostowanych na IIS, w tym techniki kojarzone z łańcuchem ProxyLogon. Po uzyskaniu dostępu wdrażali web shell Godzilla, który zapewniał trwałość, zdalne wykonywanie poleceń i możliwość dalszego dostarczania narzędzi.

Kolejnym etapem było rozpoznanie środowiska oraz wdrożenie implantu ShadowPad. Malware uruchamiano z użyciem DLL sideloadingu, czyli podstawiania złośliwej biblioteki do legalnego, podpisanego pliku wykonywalnego. Taka metoda utrudnia detekcję, ponieważ aktywność może przypominać uruchomienie zaufanego oprogramowania. W części incydentów pojawiał się również AnyDesk jako element pośredni w łańcuchu wdrożeniowym.

W co najmniej jednym przypadku wykorzystano React2Shell, oznaczoną jako CVE-2025-55182, do dystrybucji linuksowego wariantu Noodle RAT, znanego także jako ANGRYREBEL. To ważny sygnał, że operatorzy szybko włączają nowe podatności do swojego arsenału i potrafią działać zarówno w środowiskach Windows, jak i Linux.

Do omijania segmentacji i ukrywania komunikacji stosowano narzędzia tunelujące, takie jak IOX, GOST i Wstunnel. Pakowanie binariów przy użyciu RingQ miało utrudniać analizę i wykrywanie. W celu eskalacji uprawnień odnotowano ślady użycia Mimikatz, a ruch lateralny realizowano m.in. z wykorzystaniem niestandardowego launchera RDP oraz narzędzia Sharp-SMBExec napisanego w C#.

W kampaniach phishingowych GLITTER CARP i SEQUIN CARP nacisk położono na przejęcie kont pocztowych i tożsamości chmurowych. Operatorzy używali starannie przygotowanych wiadomości podszywających się pod znane osoby lub alerty bezpieczeństwa firm technologicznych. Celem było wyłudzenie poświadczeń, skierowanie ofiar na fałszywe strony logowania lub nakłonienie ich do nadania uprawnień aplikacji przez token OAuth. W części wiadomości zastosowano także piksele śledzące 1×1, które pozwalały potwierdzić otwarcie e-maila i zebrać podstawowe informacje o urządzeniu odbiorcy.

Konsekwencje / ryzyko

Ryzyko dla organizacji publicznych i obronnych jest wielowarstwowe. Skuteczna kompromitacja serwera brzegowego daje przeciwnikowi przyczółek w strefie zaufanej i często umożliwia dalszą eksplorację środowiska bez konieczności ponownego przełamywania zabezpieczeń. Użycie ShadowPad i podobnych implantów oznacza z kolei wysokie prawdopodobieństwo długotrwałej obecności w sieci oraz skrytej eksfiltracji danych.

Dla administracji państwowej i podmiotów NATO oznacza to ryzyko utraty informacji strategicznych, dokumentów wewnętrznych, danych osobowych oraz wiedzy o architekturze infrastruktury. W sektorze obronnym skutki mogą obejmować także ujawnienie procedur, zależności między systemami oraz informacji wspierających planowanie kolejnych operacji wywiadowczych.

W kampaniach wymierzonych w dziennikarzy i aktywistów ryzyko ma również wymiar osobisty i operacyjny. Przejęcie skrzynek pocztowych oraz kont w usługach chmurowych może prowadzić do deanonimizacji źródeł, monitorowania kontaktów, pozyskania materiałów śledczych i wywierania presji informacyjnej na organizacje społeczeństwa obywatelskiego.

Rekomendacje

Organizacje powinny priorytetowo traktować zarządzanie podatnościami na systemach dostępnych z internetu, zwłaszcza Microsoft Exchange, IIS oraz innych usługach webowych. Kluczowe znaczenie ma skrócenie czasu między publikacją poprawek a ich wdrożeniem, ponieważ grupy APT regularnie wykorzystują luki N-day jako główny wektor wejścia.

Jeżeli natychmiastowe łatanie nie jest możliwe, warto wdrożyć wirtualne poprawki przez IPS lub WAF z regułami blokującymi znane próby eksploatacji. Równolegle należy ograniczyć ekspozycję usług administracyjnych, wymusić segmentację sieci oraz zablokować nieautoryzowane narzędzia zdalnego dostępu i tunelowania.

Monitorować procesy potomne uruchamiane przez usługi IIS, Exchange i serwery aplikacyjne.
Sprawdzać obecność web shelli oraz anomalie w katalogach aplikacyjnych.
Wykrywać nietypowe ładowanie bibliotek DLL przez legalne, podpisane pliki wykonywalne.
Śledzić użycie narzędzi takich jak Mimikatz, Sharp-SMBExec, GOST, Wstunnel i IOX.
Analizować nietypowe połączenia wychodzące do infrastruktury tunelującej i serwerów C2.
Kontrolować tworzenie i modyfikację tokenów OAuth oraz niestandardowe zgody aplikacyjne w usługach pocztowych i chmurowych.

Dodatkowo należy wdrożyć odporność na phishing ukierunkowany: MFA odporne na przechwycenie sesji, polityki ograniczające zgody OAuth, separację kont uprzywilejowanych, szkolenia dla użytkowników wysokiego ryzyka oraz procedury szybkiego odwoływania sesji i tokenów po incydencie.

W środowiskach Linux i aplikacjach opartych o React Server Components konieczne jest również sprawdzenie, czy organizacja nie pozostaje podatna na React2Shell, oraz przeanalizowanie logów pod kątem nietypowych wywołań mogących wskazywać na zdalne wykonanie kodu.

Podsumowanie

Opisana kampania pokazuje, że współczesne operacje cyberszpiegowskie coraz częściej zaczynają się od kompromitacji brzegu sieci, a następnie przechodzą do utrzymania dostępu, ruchu lateralnego i precyzyjnej eksfiltracji danych. SHADOW-EARTH-053 potwierdza skuteczność łączenia znanych luk, web shelli, DLL sideloadingu i dojrzałych implantów takich jak ShadowPad.

Z kolei GLITTER CARP i SEQUIN CARP pokazują, że cele wywiadowcze obejmują już nie tylko administrację i obronność, ale także dziennikarzy oraz społeczeństwo obywatelskie. Dla zespołów bezpieczeństwa kluczowe pozostają szybkie łatanie systemów brzegowych, monitoring aktywności po eksploatacji oraz ścisła kontrola tożsamości i dostępu w usługach pocztowych i chmurowych.

Źródła

The Hacker News — China-Linked Hackers Target Asian Governments, NATO State, Journalists, and Activists — https://thehackernews.com/2026/05/china-linked-hackers-target-asian.html
Trend Micro Research — Inside Shadow-Earth-053: A China-Aligned Cyberespionage Campaign Against Government and Defense Sectors in Asia — https://www.trendmicro.com/en_us/research.html
Citizen Lab — China-Aligned Threat Actors Attack Journalists and Civil Society With Phishing Campaigns — https://citizenlab.ca/2026/04/china-aligned-threat-actors-attack-journalists-and-civil-society-with-phishing-campaigns/
Google Cloud Blog — Multiple Threat Actors Exploit React2Shell (CVE-2025-55182) — https://cloud.google.com/blog/topics/threat-intelligence/threat-actors-exploit-react2shell-cve-2025-55182/

Setki publicznie dostępnych serwerów VNC ujawniają środowiska ICS/OT

Wprowadzenie do problemu / definicja

Bezpośrednie wystawianie usług zdalnego dostępu do internetu pozostaje jednym z najpoważniejszych błędów konfiguracyjnych w środowiskach przemysłowych. Dotyczy to przede wszystkim protokołów RDP i VNC, które są powszechnie używane do administracji systemami, ale nie powinny być osiągalne z sieci publicznej bez dodatkowych warstw ochrony.

Najnowsze ustalenia badaczy pokazują, że problem nie ogranicza się do klasycznych stacji roboczych czy serwerów administracyjnych. W wielu przypadkach publicznie dostępne sesje VNC prowadzą bezpośrednio do interfejsów HMI i paneli sterowania wykorzystywanych w środowiskach ICS/OT, a część z nich nie wymaga żadnego uwierzytelniania.

W skrócie

W internecie nadal widoczne są miliony systemów udostępniających RDP i VNC.
Po odfiltrowaniu honeypotów oraz infrastruktury dostawców pozostają dziesiątki tysięcy serwerów możliwych do powiązania z konkretnymi sektorami.
Blisko 60 tysięcy serwerów VNC działało bez włączonego uwierzytelniania.
W 670 przypadkach nieuwierzytelniony dostęp prowadził bezpośrednio do paneli ICS/OT.
Dodatkowe zagrożenie stanowią starsze systemy Windows, podatności takie jak BlueKeep oraz aktywność grup wykorzystujących exposed remote access do sabotażu, rekonesansu i ransomware.

Kontekst / historia

Usługi zdalnego dostępu od lat stanowią jeden z najczęściej wykorzystywanych wektorów wejścia do sieci firmowych i przemysłowych. W środowiskach OT problem jest szczególnie istotny, ponieważ granica między IT i OT bywa nieostra, a rozwiązania wdrażane tymczasowo na potrzeby utrzymania lub serwisu często pozostają aktywne znacznie dłużej, niż zakładano.

W ostatnich latach badacze wielokrotnie zwracali uwagę na publicznie dostępne interfejsy zarządzające w sektorach produkcji, energetyki, wodociągów, ochrony zdrowia i usług. Zjawisko to wpisuje się w szerszy problem architektur projektowanych przede wszystkim pod kątem dostępności operacyjnej, a nie odporności na atak zewnętrzny. W efekcie błędy higieny bezpieczeństwa, takie jak ekspozycja RDP lub VNC, stają się bezpośrednim ryzykiem dla procesów fizycznych.

Analiza techniczna

Technicznie problem ma kilka warstw. Pierwszą jest sama skala ekspozycji. Dane telemetryczne i wyniki skanów wskazują na około 1,8 mln publicznie dostępnych serwerów RDP oraz około 1,6 mln serwerów VNC. Choć część z nich należy do honeypotów, operatorów telekomunikacyjnych i dostawców hostingu, po przeprowadzeniu klasyfikacji nadal pozostaje około 91 tys. serwerów RDP i 29 tys. serwerów VNC przypisanych do konkretnych branż.

Drugą warstwą jest błędna konfiguracja uwierzytelniania. VNC od lat bywa wdrażany w prosty sposób, często z domyślnymi ustawieniami lub bez silnej kontroli dostępu. W analizowanym przypadku niemal 60 tys. serwerów VNC działało bez uwierzytelniania, co oznacza możliwość uzyskania interaktywnego dostępu do pulpitu lub panelu operatorskiego bez potrzeby łamania haseł czy obchodzenia MFA.

Trzecia warstwa dotyczy charakteru systemów docelowych. Wśród wystawionych zasobów znalazły się nie tylko stacje robocze i hosty administracyjne, ale również interfejsy HMI, panele nadzoru i inne komponenty wykorzystywane w ICS/OT. W 670 przypadkach niechroniony VNC prowadził bezpośrednio do paneli przemysłowych, co może umożliwić obserwację procesu, zmianę parametrów pracy, ingerencję w harmonogramy, zatrzymanie operacji albo przygotowanie dalszego ruchu bocznego w sieci OT.

Czwartą warstwą jest stan oprogramowania. Część systemów korzystała z wersji Windows po zakończeniu wsparcia. Ponad 19 tys. serwerów RDP miało być narażonych na BlueKeep, czyli znaną podatność umożliwiającą zdalne wykonanie kodu w określonych warunkach. Połączenie publicznego RDP, nieaktualnego systemu i słabej segmentacji nadal tworzy atrakcyjną ścieżkę wejścia dla operatorów ransomware oraz aktorów APT.

Nie bez znaczenia pozostaje również kontekst operacyjny. Badacze odnotowali zainteresowanie wykorzystaniem VNC przez grupy powiązane z Rosją w działaniach przeciwko systemom OT. Jednocześnie cyberprzestępcy nastawieni na zysk nadal traktują exposed remote access jako wygodny punkt wejścia do ataków ransomware i rekonesansu przed dalszą kompromitacją środowiska.

Konsekwencje / ryzyko

Skutki tego typu ekspozycji są w środowiskach przemysłowych poważniejsze niż w typowej sieci biurowej. Zagrożenie obejmuje nie tylko utratę poufności danych czy zaszyfrowanie systemów, ale także zakłócenie procesów fizycznych, wpływ na bezpieczeństwo ludzi, środowiska oraz ciągłość działania organizacji.

Nieautoryzowany podgląd ekranów HMI i paneli operatorskich.
Zmiana parametrów procesów przemysłowych.
Zatrzymanie lub destabilizacja produkcji.
Wykorzystanie dostępu VNC lub RDP do dalszego ruchu bocznego.
Instalacja ransomware w sieci IT i przejście do OT.
Pozyskanie informacji procesowych użytecznych do sabotażu.
Wzrost ryzyka naruszenia wymagań regulacyjnych i audytowych.

Szczególnie niebezpieczne są środowiska, w których zdalny dostęp kończy się bezpośrednio na systemach sterujących, bez warstwy bastionowej, monitoringu sesji, segmentacji oraz kontroli działań uprzywilejowanych. W takim modelu pojedynczy błąd konfiguracyjny może przełożyć się na incydent o charakterze cyberfizycznym.

Rekomendacje

Podstawowym działaniem naprawczym powinno być całkowite usunięcie bezpośredniej ekspozycji RDP i VNC do internetu, zwłaszcza w środowiskach OT. Jeżeli zdalny dostęp jest niezbędny operacyjnie, powinien być realizowany wyłącznie przez bezpieczne rozwiązania pośredniczące.

Usunąć publiczną ekspozycję RDP i VNC oraz dopuścić dostęp jedynie przez VPN lub bezpieczny gateway.
Wymusić silne uwierzytelnianie, najlepiej z MFA i kontrolą urządzeń końcowych.
Stosować bastiony administracyjne i izolować dostęp do HMI oraz systemów inżynierskich.
Segmentować sieci IT i OT oraz ograniczać ruch boczny przy użyciu list kontroli dostępu.
Regularnie identyfikować exposed assets poprzez skanowanie z perspektywy zewnętrznej.
Wyłączyć nieużywane usługi zdalne i zastąpić VNC rozwiązaniami z rejestrowaniem sesji.
Zaktualizować systemy Windows oraz usunąć hosty po zakończonym wsparciu.
Monitorować próby logowania, nietypowe sesje zdalne i skanowanie usług.
Wdrożyć detekcję anomalii w sieci OT oraz korelację zdarzeń między SOC i zespołami inżynieryjnymi.
Przeprowadzić przegląd dostępu stron trzecich, w tym integratorów i serwisantów.

W organizacjach przemysłowych równie ważne jest jednoznaczne przypisanie właściciela ryzyka dla zdalnego dostępu. Wiele takich interfejsów pozostaje publicznie dostępnych, ponieważ nikt nie ma pełnego obrazu zależności między wymaganiami serwisowymi a polityką bezpieczeństwa. Skuteczna redukcja ryzyka wymaga więc współpracy zespołów OT, IT, utrzymania ruchu i dostawców technologii.

Podsumowanie

Ekspozycja VNC i RDP w internecie nadal pozostaje jednym z najbardziej praktycznych i jednocześnie najłatwiejszych do wykorzystania wektorów ataku na środowiska przemysłowe. Najnowsze ustalenia pokazują, że problem obejmuje nie tylko zwykłe systemy biurowe, ale również panele ICS/OT dostępne bez uwierzytelniania. Połączenie słabej konfiguracji, przestarzałych systemów i rosnącej aktywności grup ukierunkowanych na infrastrukturę krytyczną tworzy warunki do incydentów o wysokiej skali oddziaływania. Dla organizacji oznacza to potrzebę pilnego przeglądu zdalnego dostępu i odejścia od modeli, w których systemy sterowania są osiągalne bezpośrednio z internetu.