Archiwa: APT - Strona 13 z 54 - Security Bez Tabu

Cyberwywiad wymierzony w konto Outlook menedżera giełdy. Wielomiesięczna kampania kradzieży danych

Wprowadzenie do problemu / definicja

Ukierunkowane kampanie cyberwywiadowcze coraz częściej koncentrują się nie na całej infrastrukturze ofiary, lecz na pojedynczych, wysoko uprzywilejowanych zasobach informacyjnych. Jednym z najcenniejszych celów pozostaje skrzynka pocztowa kadry kierowniczej, ponieważ zawiera informacje o negocjacjach, kalendarzach spotkań, relacjach biznesowych, planach podróży oraz decyzjach operacyjnych o wysokiej wrażliwości.

Opisywany incydent pokazuje, że długotrwały dostęp do konta Outlook jednego z menedżerów dużej giełdy może zapewnić napastnikom szeroki wgląd w działalność organizacji bez konieczności prowadzenia rozległej lateralizacji w sieci.

W skrócie

Atakujący przez około pięć miesięcy utrzymywali dostęp do środowiska roboczego wysokiego rangą menedżera.
Głównym celem była systematyczna kradzież zawartości skrzynki Outlook, a nie klasyczny atak finansowy czy sabotaż.
Napastnicy wykorzystywali narzędzia podszywające się pod legalne procesy oraz bibliotekę służącą do pracy z danymi Outlooka.
Eksfiltracja była realizowana małymi partiami przez popularne usługi chmurowe, co utrudniało wykrycie.
Charakter działań wskazuje na precyzyjnie zaplanowaną operację cyberwywiadowczą.

Kontekst / historia

Z ustaleń analityków wynika, że celem była skrzynka pocztowa starszego menedżera działającego w globalnej infrastrukturze rynku kapitałowego. Pierwsze ślady aktywności odnotowano 10 października 2025 roku, a faza aktywnej komunikacji z infrastrukturą sterującą rozpoczęła się 12 listopada 2025 roku. Dostęp utrzymywano do marca 2026 roku, co oznacza bardzo długi czas obecności przeciwnika w środowisku.

Badacze nie przypisali kampanii do znanej grupy APT. Brak jednoznacznych cech infrastruktury, wykorzystanie powszechnie dostępnych usług oraz skupienie na pojedynczym, wysoko wartościowym celu znacząco utrudniły atrybucję. Mimo to profil ofiary, cierpliwość operacyjna oraz ograniczony zakres działań wpisują się w model klasycznego cyberwywiadu ukierunkowanego na dane wrażliwe z punktu widzenia rynku.

Analiza techniczna

Na zainfekowanym hoście działały złośliwe pliki binarne uruchamiane z uprawnieniami SYSTEM i podszywające się pod komponenty Adobe Acrobat oraz OneDrive. Taki sposób działania sugeruje, że napastnik uzyskał trwały dostęp do stacji roboczej jeszcze przed wykryciem incydentu przez zespół bezpieczeństwa.

Centralnym elementem operacji było narzędzie wykorzystujące bibliotekę Aspose, czyli legalny komponent .NET służący do pracy z plikami pocztowymi. Zostało ono użyte do konwersji lokalnego pliku OST skrzynki Outlook do archiwum PST. Następnie dane były eksportowane i wyprowadzane etapami, w podziale na zakresy czasowe obejmujące kolejne tygodnie. Dzięki temu napastnicy mogli prowadzić niemal ciągłą kradzież korespondencji bez generowania pojedynczego, dużego transferu danych.

Kolejne ekstrakcje następowały cyklicznie co kilka tygodni. Taki model działania pozwalał przeciwnikowi stopniowo budować pełny obraz komunikacji ofiary, jednocześnie ograniczając ryzyko wykrycia przez systemy DLP, EDR lub monitoring ruchu sieciowego. To charakterystyczny przykład techniki low-and-slow, w której priorytetem pozostaje skrytość, a nie szybkość działania.

Do eksfiltracji użyto popularnych usług chmurowych przeznaczonych dla użytkowników końcowych, w tym Dropbox i OneDrive Personal. Ruch do takich usług często nie wzbudza podejrzeń, ponieważ bywa mylony z codzienną aktywnością biznesową. Dodatkowo napastnik korzystał z adresów IP Microsoftu zapisanych na sztywno zamiast nazw hostów, co mogło ograniczyć widoczność zdarzeń w warstwie DNS i utrudnić korelację telemetryczną.

Mechanizmy utrzymania dostępu opierały się na okresowym ponownym rejestrowaniu zaplanowanych zadań. Nazwy tych zadań imitowały procesy i usługi związane z Adobe, Lenovo oraz OneDrive. Interwały uruchamiania były zmieniane, między innymi na 5 minut, 5 godzin, 15 godzin i 24 godziny. Taka rotacja pozwalała utrzymać niski ślad operacyjny oraz zwiększała odporność na częściowe czyszczenie środowiska. Pod koniec kampanii pojawiły się również dodatkowe pliki binarne podszywające się pod usługę synchronizacji OneDrive oraz komponent sterownika Adobe.

Konsekwencje / ryzyko

Przejęcie skrzynki pocztowej menedżera giełdy oznacza dostęp do informacji potencjalnie wpływających na rynek. Mogą to być dane dotyczące planowanych notowań, działań regulacyjnych, rozmów z partnerami, strategicznych decyzji, wydarzeń korporacyjnych czy relacji z kluczowymi interesariuszami. Nawet jeśli atakujący nie prowadzi sabotażu ani nie szyfruje systemów, skutki wywiadowcze takiego incydentu są bardzo poważne.

Dla organizacji finansowych oraz podmiotów infrastruktury rynku kapitałowego taki scenariusz oznacza wysokie ryzyko naruszenia poufności informacji niepublicznych. Może to prowadzić do strat reputacyjnych, problemów regulacyjnych, konieczności raportowania incydentu, a także do wtórnych operacji socjotechnicznych przeciwko partnerom biznesowym i pracownikom. Długi czas obecności napastnika w środowisku sugeruje dodatkowo niedostateczną widoczność telemetryczną lub zbyt niski poziom detekcji zachowań pozornie zgodnych z normalnym ruchem użytkownika.

Rekomendacje

Organizacje powinny traktować skrzynki pocztowe kadry zarządzającej jako zasoby krytyczne i objąć je podwyższonym nadzorem bezpieczeństwa. W praktyce oznacza to wymuszenie silnego uwierzytelniania wieloskładnikowego, ograniczenie dostępu z urządzeń niezarządzanych oraz wdrożenie zasad conditional access zależnych od ryzyka sesji, geolokalizacji i stanu endpointu.

Konieczne jest monitorowanie nietypowych operacji na plikach OST i PST, zwłaszcza masowych konwersji, eksportów lub odczytów skrzynek przez procesy, które nie są standardowym klientem pocztowym. W środowiskach EDR warto budować reguły wykrywające uruchamianie narzędzi podszywających się pod procesy Adobe, OneDrive lub komponenty producentów sprzętu, a także anomalie w harmonogramie zadań systemowych.

Równie istotna jest kontrola ruchu do usług chmurowych typu personal cloud storage. Organizacje powinny rozróżniać ruch do tenantów firmowych i do kont prywatnych, a tam, gdzie to możliwe, blokować lub silnie ograniczać transfer danych do niezarządzanych przestrzeni dyskowych. Dodatkową warstwą ochrony mogą być polityki DLP analizujące wzorce eksportu archiwów pocztowych oraz segmentacja uprawnień na stacjach roboczych użytkowników uprzywilejowanych.

Z perspektywy reagowania na incydenty warto regularnie przeglądać zaplanowane zadania, mechanizmy autostartu i nietypowe usługi systemowe, szczególnie na urządzeniach członków zarządu i wyższej kadry menedżerskiej. Przydatny będzie również threat hunting ukierunkowany na długoterminowe, niskoszumowe operacje, w których przeciwnik wykorzystuje legalne biblioteki, zaufane platformy chmurowe i minimalizuje liczbę artefaktów.

Podsumowanie

Opisany incydent potwierdza, że nowoczesny cyberwywiad nie zawsze wymaga rozległej kompromitacji infrastruktury. Czasami wystarczy cierpliwy, wielomiesięczny dostęp do jednej skrzynki Outlook, aby uzyskać strategiczny wgląd w działalność organizacji.

W sektorze finansowym szczególnie niebezpieczne są operacje prowadzone małymi krokami, z użyciem legalnych narzędzi i popularnych usług chmurowych, ponieważ łatwo stapiają się z normalnym ruchem biznesowym. Dla zespołów bezpieczeństwa to wyraźny sygnał, że ochrona kont kierownictwa, monitoring eksportu danych pocztowych i detekcja subtelnych mechanizmów persystencji powinny należeć do priorytetów.

Źródła

Security Affairs — https://securityaffairs.com/193086/intelligence/cyber-espionage-campaign-targeted-stock-exchange-executives-outlook-account.html
Symantec Enterprise Blog — https://www.security.com/threat-intelligence/espionage-campaign-stock-exchange
Microsoft Learn, Outlook data files overview — https://learn.microsoft.com/
MITRE ATT&CK — Scheduled Task/Job — https://attack.mitre.org/techniques/T1053/
MITRE ATT&CK — Exfiltration to Cloud Storage — https://attack.mitre.org/techniques/T1567/002/

Operacja Dragon Weave: chińska kampania phishingowa wymierzona w organizacje w Czechach i na Tajwanie

Wprowadzenie do problemu / definicja

Ukierunkowane kampanie spear-phishingowe pozostają jednym z najskuteczniejszych narzędzi wykorzystywanych przez grupy sponsorowane przez państwa. Operacja Dragon Weave pokazuje, że współczesne działania cyberwywiadowcze łączą klasyczne techniki socjotechniczne z wieloetapowym łańcuchem infekcji, komponentami tworzonymi w języku Rust oraz komunikacją C2 ukrywaną w legalnych usługach chmurowych. Głównym celem tej kampanii była kradzież danych z organizacji o wysokiej wartości wywiadowczej.

W skrócie

Kampania została powiązana z podmiotem działającym w interesie Chin z umiarkowanym poziomem pewności.
Ataki były wymierzone przede wszystkim w organizacje z Czech i Tajwanu.
Na celowniku znalazły się instytucje publiczne, sektor badawczy i akademicki, firmy technologiczne oraz organizacje finansowe.
Wektor początkowy stanowiły wiadomości spear-phishingowe z archiwum ZIP.
Łańcuch infekcji wykorzystywał dwa alternatywne mechanizmy uruchomienia malware.
Końcowy implant Azureveil komunikował się przez Azure Blob Storage w modelu dead-drop, co utrudniało wykrywanie.

Kontekst / historia

Operacje przypisywane aktorom powiązanym z Chinami od lat koncentrują się na długoterminowym pozyskiwaniu informacji wywiadowczych. W przypadku Dragon Weave dobór ofiar sugeruje zainteresowanie danymi politycznymi, administracyjnymi, naukowymi i gospodarczymi. Szczególne znaczenie ma wątek czeski, ponieważ Czechy są postrzegane jako jeden z europejskich partnerów utrzymujących relatywnie bliskie relacje z Tajwanem.

Badacze nie przypisali kampanii do konkretnej nazwanej grupy APT, jednak charakter działań odpowiada schematowi operacji państwowych. Wskazują na to selektywny dobór sektorów, starannie przygotowane przynęty tematyczne oraz nacisk na dyskretną eksfiltrację danych zamiast działań destrukcyjnych.

Analiza techniczna

Atak rozpoczynał się od wiadomości e-mail zawierającej archiwum ZIP. Przynęta była dopasowana do profilu ofiary i mogła odnosić się do spotkań biznesowych, spraw administracyjnych lub bieżącej współpracy. Po rozpakowaniu archiwum użytkownik otrzymywał zestaw plików służących zarówno do uwiarygodnienia wiadomości, jak i do uruchomienia właściwego ładunku.

Kluczową cechą kampanii był podwójny mechanizm wdrożenia złośliwego oprogramowania. Pierwsza ścieżka opierała się na kliknięciu pliku LNK, który uruchamiał skrypt PowerShell odpowiedzialny za odszyfrowanie i przygotowanie kolejnych komponentów. Następnie wykonywany był plik RuntimeBroker_update.exe. Druga ścieżka polegała na uruchomieniu samodzielnego droppera napisanego w Rust, który sam wydobywał niezbędne elementy i prowadził do uruchomienia tego samego komponentu wykonawczego.

Na dalszym etapie ładowana była złośliwa biblioteka DLL uruchamiająca loader identyfikowany jako Rustcloak. Jego rola nie ograniczała się wyłącznie do dostarczenia końcowego payloadu. Komponent zawierał również funkcje utrudniające analizę, w tym kontrolę nazw hostów i porównywanie ich z listą maszyn kojarzonych z piaskownicami, środowiskami badawczymi oraz stanowiskami analitycznymi. Jeśli wykryto zgodność, proces kończył działanie bez aktywacji dalszych elementów.

Payload końcowy, Azureveil, działał jako agent C2 oparty na narzędziu Adaptix. Najciekawszym elementem był model komunikacji typu dead-drop realizowany z użyciem kontenerów Azure Blob Storage. Zainfekowany system okresowo publikował zaszyfrowany beacon informujący o aktywności. Operator umieszczał polecenia w tym samym kontenerze, a implant pobierał je, odszyfrowywał, wykonywał i odsyłał wyniki jako zaszyfrowane obiekty. Taki model ogranicza widoczność klasycznych wskaźników ruchu C2 i pozwala ukrywać aktywność w legalnym ruchu do popularnej usługi chmurowej.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem takiej kampanii jest nieautoryzowana eksfiltracja danych. Po uzyskaniu interaktywnego kanału poleceń operator może wykonywać komendy systemowe, zbierać dokumenty, pozyskiwać informacje o środowisku oraz prowadzić dalsze rozpoznanie. W przypadku organizacji publicznych, badawczych i technologicznych ryzyko obejmuje utratę informacji wrażliwych, materiałów strategicznych oraz własności intelektualnej.

Istotnym zagrożeniem pozostaje również wysoki poziom ukrycia operacji. Wykorzystanie legalnych usług chmurowych może utrudniać wykrywanie anomalii na poziomie sieci, szczególnie tam, gdzie ruch do popularnych platform cloud jest dozwolony i powszechny. Dodatkowo funkcje antyanalityczne w loaderze zmniejszają skuteczność automatycznej detonacji próbek w sandboxach, a podwójna ścieżka uruchomienia zwiększa odporność kampanii na błędy użytkownika i ograniczenia pojedynczego mechanizmu wykonania.

Rekomendacje

Organizacje powinny traktować Dragon Weave jako przykład nowoczesnego połączenia phishingu, malware wieloetapowego i nadużycia usług chmurowych. W praktyce oznacza to konieczność wdrożenia ochrony warstwowej obejmującej pocztę, punkty końcowe, sieć i środowisko chmurowe.

Wzmocnić zabezpieczenia poczty elektronicznej, w tym analizę archiwów skompresowanych i filtrowanie podejrzanych załączników.
Blokować lub ściśle kontrolować pliki LNK oraz nietypowe łańcuchy uruchomień PowerShell.
Monitorować procesy takie jak RuntimeBroker_update.exe, anomalie ładowania bibliotek DLL oraz wykonywanie plików z katalogów tymczasowych i profili użytkowników.
Wdrożyć EDR lub XDR z naciskiem na detekcję behawioralną zamiast wyłącznie sygnatur.
Korelować logi z punktów końcowych, poczty i ruchu sieciowego w systemie SIEM.
Prowadzić regularne szkolenia z rozpoznawania spear-phishingu, szczególnie w sektorach wysokiego ryzyka.
Ograniczać uprawnienia użytkowników, stosować segmentację sieci oraz allowlisting aplikacji.
Monitorować dostęp do usług chmurowych pod kątem niestandardowych wzorców zapisu i odczytu danych.

Podsumowanie

Operacja Dragon Weave pokazuje, że współczesne kampanie cyberwywiadowcze coraz częściej łączą precyzyjnie przygotowany spear-phishing z elastycznym łańcuchem infekcji i komunikacją C2 maskowaną jako zwykłe użycie usług chmurowych. Dwa alternatywne mechanizmy uruchomienia malware, komponenty napisane w Rust oraz wykorzystanie Azure Blob Storage zwiększają skuteczność ataku i utrudniają analizę incydentu. Dla obrońców oznacza to konieczność łączenia ochrony poczty, telemetrii endpointów, analityki behawioralnej oraz dojrzałego monitoringu chmury.

Źródła

Dark Reading — https://www.darkreading.com/threat-intelligence/china-uses-dual-method-attack-czech-taiwan-orgs
Seqrite Blog — https://www.seqrite.com/blog/operation-dragon-weave/
Microsoft Learn — https://learn.microsoft.com/en-us/azure/storage/blobs/

Rosnąca aktywność grup APT w Ameryce Łacińskiej zwiększa ryzyko dla administracji i infrastruktury krytycznej

Wprowadzenie do problemu / definicja

Ameryka Łacińska coraz wyraźniej staje się obszarem intensywnych operacji cybernetycznych prowadzonych przez grupy APT wspierane przez państwa. Kampanie tego typu koncentrują się przede wszystkim na cyberwywiadzie, którego celem są instytucje rządowe, infrastruktura krytyczna oraz sektory o znaczeniu strategicznym, w tym transport morski, energetyka i logistyka. W praktyce oznacza to, że cyberprzestrzeń jest wykorzystywana jako narzędzie wspierające cele geopolityczne, gospodarcze i operacyjne.

W skrócie

W ostatnim czasie wzrosła aktywność sponsorowanych przez państwa grup cybernetycznych wymierzonych w kraje Ameryki Łacińskiej i Karaibów. Szczególnie widoczne są działania podmiotów powiązanych z Chinami, które koncentrują się na celach rządowych oraz organizacjach związanych z żeglugą, sektorem naftowym i polityką regionalną.

Najczęściej wykorzystywaną ścieżką wejścia pozostają niezałatane serwery wystawione do Internetu, a istotnym uzupełnieniem jest spear phishing. To potwierdza, że skuteczne operacje APT nadal często bazują na podstawowych słabościach w higienie bezpieczeństwa, a nie wyłącznie na kosztownych exploitach zero-day.

Kontekst / historia

Rosnące zainteresowanie regionem wynika z narastającej rywalizacji geopolitycznej oraz znaczenia Ameryki Łacińskiej dla globalnych łańcuchów dostaw, handlu surowcami i infrastruktury portowej. W takim otoczeniu działania cyberwywiadowcze stają się naturalnym uzupełnieniem klasycznego wywiadu politycznego i ekonomicznego.

W regionie równolegle operuje wiele grup APT powiązanych z interesami państwowymi. Wśród obserwowanych celów znalazły się instytucje publiczne w Wenezueli i Panamie, a kampanie obejmowały około kilkunastu państw od początku 2025 roku. Charakterystyczne jest również to, że różne grupy mogą jednocześnie atakować ten sam podmiot, jeśli ma on znaczenie strategiczne dla więcej niż jednego ośrodka wpływu.

Analiza techniczna

Techniczny obraz tych kampanii pokazuje, że kluczowe znaczenie ma skuteczne wykorzystanie klasycznych wektorów początkowego dostępu. Najczęściej wskazywanym mechanizmem było przejęcie niezałatanego serwera, szczególnie usług takich jak Microsoft SQL Server czy Microsoft Exchange. Dla napastników jest to metoda przewidywalna, skalowalna i efektywna kosztowo.

Drugim istotnym wektorem pozostaje spear phishing, czyli precyzyjnie przygotowane wiadomości kierowane do konkretnych osób lub jednostek organizacyjnych. W nowoczesnych kampaniach APT phishing nie musi kończyć się wyłącznie kradzieżą hasła. Coraz częściej służy do obejścia mechanizmów MFA, przejęcia tokenów sesyjnych lub wykorzystania błędnie skonfigurowanych polityk dostępu warunkowego.

Na znaczeniu zyskują także urządzenia brzegowe oraz powierzchnia ataku API. Przeciwnicy aktywnie badają firewalle, koncentratory VPN, bramy dostępowe, serwery pocztowe oraz interfejsy integracyjne wykorzystywane przez usługi publiczne i półpubliczne. W środowiskach administracji i podmiotów powiązanych z państwem takie zasoby często pozostają słabiej monitorowane niż stacje robocze czy standardowe serwery aplikacyjne.

Warto również zauważyć, że operatorzy APT nie zawsze zaczynają od niestandardowego malware’u. Często korzystają z komercyjnych narzędzi i powszechnie znanych technik post-exploitation, a bardziej wyspecjalizowane komponenty wdrażają dopiero później. To utrudnia wczesne wykrycie incydentu, ponieważ początkowa aktywność może przypominać zwykłe skanowanie usług lub działania typowe dla cyberprzestępczości finansowej.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem takich operacji jest ryzyko długotrwałej kompromitacji środowisk rządowych i systemów o znaczeniu strategicznym. Celem ataków zwykle nie jest natychmiastowy sabotaż, lecz ciche pozyskiwanie informacji, w tym korespondencji, danych operacyjnych, planów politycznych oraz szczegółów dotyczących transportu, eksportu surowców i decyzji regulacyjnych.

Dla sektora prywatnego zagrożenie także pozostaje wysokie. Firmy z branży energetycznej, logistycznej, portowej, finansowej i technologicznej mogą stać się celem nie tylko ze względu na własne zasoby, ale również dlatego, że stanowią pomost do partnerów publicznych, danych rządowych lub kluczowych procesów gospodarczych.

Dodatkowym problemem jest trudność jednoznacznej atrybucji i odróżnienia operacji wywiadowczej od przygotowania gruntu pod przyszły sabotaż lub działania wpływu. Nawet jeśli bieżąca kampania koncentruje się wyłącznie na eksfiltracji danych, utrzymanie trwałej obecności w sieci może w przyszłości posłużyć do manipulacji informacją, zakłócania pracy instytucji albo działań psychologicznych.

Rekomendacje

Priorytetem dla organizacji powinno być skrócenie czasu łatania systemów wystawionych do Internetu. Dotyczy to szczególnie serwerów pocztowych, bazodanowych, urządzeń brzegowych, usług zdalnego dostępu oraz wszystkich publicznie dostępnych zasobów sieciowych.

Drugim filarem obrony musi być bezpieczeństwo tożsamości. Konieczne jest wdrożenie phishing-resistant MFA dla kont uprzywilejowanych i administracyjnych, ograniczenie nadmiarowych uprawnień, egzekwowanie zasad dostępu warunkowego oraz monitorowanie użycia tokenów sesyjnych. Równie ważny jest regularny przegląd konfiguracji federacji tożsamości, aplikacji SaaS i wyjątków od polityk MFA.

Kluczowe pozostaje również zwiększenie widoczności telemetrycznej. Organizacje powinny zbierać i korelować logi z urządzeń sieciowych, serwerów, systemów pocztowych, usług katalogowych, rozwiązań EDR/XDR oraz środowisk chmurowych. Szczególne znaczenie mają detekcje dotyczące nietypowych logowań, użycia legalnych narzędzi administracyjnych, tworzenia nowych kont, zmian uprawnień oraz komunikacji z rzadko obserwowanymi lokalizacjami.

segmentacja sieci i separacja systemów o znaczeniu strategicznym,
ograniczenie ekspozycji usług administracyjnych do Internetu,
regularne testy odporności na spear phishing i kradzież sesji,
threat hunting ukierunkowany na techniki APT,
opracowanie procedur reagowania na incydenty cyberwywiadowcze,
audyt dostawców mających dostęp do danych publicznych lub infrastruktury krytycznej.

Podsumowanie

Wzrost aktywności grup sponsorowanych przez państwa w Ameryce Łacińskiej pokazuje, że cyberbezpieczeństwo regionu jest dziś ściśle związane z geopolityką, handlem i bezpieczeństwem infrastrukturalnym. Najważniejszy wniosek jest jednak bardzo praktyczny: wiele skutecznych kampanii nadal opiera się na niezałatanych systemach, słabościach w obszarze tożsamości i dobrze przygotowanym spear phishingu. Dla obrońców oznacza to, że poprawa podstawowych mechanizmów bezpieczeństwa może znacząco podnieść koszt działania nawet dla przeciwnika dysponującego państwowym zapleczem.

Źródła

Gamaredon wykorzystuje lukę WinRAR do wdrażania GammaWorm i GammaSteel przeciwko Ukrainie

Wprowadzenie do problemu / definicja

Grupa Gamaredon, od lat łączona z rosyjskimi operacjami cyberwywiadowczymi, została powiązana z kampanią wykorzystującą podatność WinRAR oznaczoną jako CVE-2025-8088. Luka pozwala na przeprowadzenie ataku typu path traversal, dzięki czemu spreparowane archiwum może doprowadzić do zapisania i uruchomienia złośliwych plików poza oczekiwaną ścieżką ekstrakcji. W praktyce oznacza to, że zwykły plik archiwum może stać się punktem wejścia do pełnego łańcucha infekcji w środowisku Windows.

Kampania została powiązana z dostarczaniem kilku komponentów malware, w tym GammaPhish, GammaLoad, GammaWorm oraz GammaSteel. Ich zadania obejmują inicjalizację infekcji, pobieranie kolejnych etapów, rozprzestrzenianie się w sieci oraz kradzież danych z zainfekowanych systemów.

W skrócie

Gamaredon wykorzystuje lukę w WinRAR, aby uruchomić wieloetapowy łańcuch ataku przeciwko podmiotom ukraińskim. Po początkowym etapie dostarczany jest komponent HTML Application określany jako GammaPhish, a następnie skrypty VBScript znane jako GammaLoad.

GammaWorm odpowiada za trwałość, propagację i zdalne wykonywanie poleceń.
GammaSteel pełni rolę modułowego stealera do wyszukiwania i eksfiltracji plików.
Atak wykorzystuje udziały sieciowe, nośniki USB, skróty LNK oraz Alternate Data Streams.
Kampania wpisuje się w długofalowe operacje szpiegowskie wymierzone głównie w Ukrainę.

Kontekst / historia

Gamaredon pozostaje jednym z najaktywniejszych aktorów APT operujących przeciwko Ukrainie. W przeszłości grupa była kojarzona głównie z kampaniami spear-phishingowymi, dokumentami-przynętami oraz relatywnie prostymi, lecz skutecznymi metodami utrzymywania dostępu do systemów administracji, wojska i infrastruktury krytycznej. Najnowsza aktywność pokazuje jednak rozwój zarówno narzędzi, jak i sposobów dostarczania malware.

Znaczenie CVE-2025-8088 wynika z faktu, że luka dotyczy popularnego narzędzia archiwizacyjnego obecnego w wielu organizacjach. Nawet jeśli sama technika path traversal nie jest nowa, jej operacyjne wykorzystanie przez grupę APT zwiększa ryzyko skutecznego wejścia do środowisk, w których oprogramowanie użytkowe nie jest objęte pełnym nadzorem aktualizacyjnym.

Analiza techniczna

Łańcuch ataku rozpoczyna się od dostarczenia pliku xHTML lub archiwum zawierającego element inicjalny określany jako GammaPhish. Ten etap działa jak dropper i mechanizm startowy dla kolejnych komponentów. Po jego wykonaniu uruchamiany jest GammaLoad, czyli zestaw pośrednich loaderów opartych na VBScript.

GammaLoad odpowiada za profilowanie hosta, pobieranie dalszych skryptów z infrastruktury sterującej oraz przekazywanie kontroli następnym modułom malware. Badacze wskazują na kaskadową architekturę wielu etapów loadera, co utrudnia analizę incydentu i spowalnia działania zespołów reagowania.

Jednym z głównych ładunków jest GammaWorm. Moduł ten odpowiada za utrzymywanie trwałości, rozprzestrzenianie się w środowisku oraz wykonywanie poleceń otrzymywanych z infrastruktury atakującego. Do ukrywania części komponentów wykorzystywane są NTFS Alternate Data Streams, co zmniejsza widoczność artefaktów w standardowych listingach katalogów. Trwałość osiągana jest między innymi przez wpisy RunOnce oraz zadania harmonogramu podszywające się pod legalne elementy systemu.

Szczególnie istotny jest mechanizm propagacji. GammaWorm ukrywa prawidłowe katalogi na udziałach sieciowych i urządzeniach USB, po czym zastępuje je złośliwymi skrótami LNK. Dla użytkownika wygląda to jak otwarcie znanego folderu, ale w rzeczywistości uruchamiana jest zarówno przynęta, jak i kod malware. Taka technika sprzyja rozprzestrzenianiu się infekcji bocznej, zwłaszcza w środowiskach o słabej segmentacji sieci i ograniczonej kontroli nośników wymiennych.

Komunikacja z serwerami dowodzenia bywa maskowana przy użyciu techniki Dead Drop Resolver. W jednym z opisanych wariantów malware wykorzystuje publiczny kanał Telegram do pobierania informacji potrzebnych do ustalenia aktywnej infrastruktury C2. To podejście utrudnia blokowanie ruchu i pozwala ukryć właściwy backend operacji za legalną usługą internetową.

Drugim kluczowym komponentem jest GammaSteel, czyli modułowy stealer wdrażany przez GammaLoad. Część jego logiki ma być przechowywana w rejestrze systemowym, a poszczególne moduły szyfrowane są z użyciem DPAPI. GammaSteel monitoruje dyski lokalne i sieciowe, reaguje na podłączenie nowych urządzeń USB oraz śledzi zapisywanie i modyfikowanie wybranych plików. Zebrane dane są następnie eksfiltrowane do magazynu zgodnego z S3 lub do infrastruktury kontrolowanej bezpośrednio przez operatora.

Konsekwencje / ryzyko

Z perspektywy obrońców jest to kampania wysokiego ryzyka. Po pierwsze, wykorzystuje powszechnie stosowane narzędzie, które często nie podlega tak rygorystycznej kontroli wersji jak system operacyjny czy przeglądarki. Po drugie, atak nie kończy się na jednorazowym loaderze, lecz prowadzi do wdrożenia wyspecjalizowanych modułów do propagacji i kradzieży danych.

GammaWorm zwiększa prawdopodobieństwo rozlania się incydentu poza pierwotny punkt wejścia. W organizacjach z otwartymi udziałami SMB, słabą kontrolą urządzeń USB i ograniczoną telemetrią EDR skutkiem mogą być wieloetapowe infekcje wtórne trudne do szybkiego wykrycia. Dodatkowo użycie ADS i zadań harmonogramu może utrudniać analizę forensic oraz prowadzić do przeoczenia części śladów.

GammaSteel bezpośrednio zagraża poufności danych. Selektywne wyszukiwanie plików, monitorowanie zmian w czasie rzeczywistym i elastyczne kanały eksfiltracji oznaczają, że nawet krótkotrwała infekcja może zakończyć się utratą istotnych dokumentów operacyjnych, administracyjnych, wojskowych lub projektowych.

Rekomendacje

Najważniejszym krokiem powinno być niezwłoczne zaktualizowanie WinRAR do wersji niewrażliwej na CVE-2025-8088 oraz potwierdzenie, że starsze komponenty WinRAR i biblioteki UnRAR nie pozostały na stacjach roboczych. Organizacje powinny również objąć tego typu oprogramowanie pełnym inwentarzem i kontrolą zgodności wersji.

W warstwie detekcji warto monitorować następujące zachowania:

tworzenie zadań harmonogramu o nietypowych nazwach lub lokalizacjach,
uruchamianie wscript.exe, cscript.exe i curl.exe po rozpakowaniu archiwów,
dostęp do Alternate Data Streams,
masowe tworzenie plików LNK na udziałach sieciowych i nośnikach USB,
modyfikacje kluczy rejestru wpływających na ukrywanie plików i rozszerzeń.

W obszarze prewencji warto ograniczyć lub wyłączyć wykonywanie VBScript tam, gdzie nie jest to niezbędne biznesowo. Pomocne będą także kontrola aplikacji, segmentacja udziałów sieciowych, ograniczenie użycia nośników USB oraz reguły wykrywające skróty LNK uruchamiające interpretery skryptowe.

W procesie reagowania należy sprawdzić nie tylko standardowe lokalizacje persistence, ale również ADS, klucze RunOnce, zadania harmonogramu oraz artefakty w rejestrze związane z konfiguracją C2. Istotna jest też analiza ruchu wychodzącego do legalnych platform internetowych, które mogą pełnić funkcję pośrednika dla komunikacji malware.

Podsumowanie

Kampania przypisywana Gamaredon pokazuje, że popularne narzędzia użytkowe nadal pozostają atrakcyjnym wektorem wejścia dla zaawansowanych operacji APT. Połączenie exploitu na WinRAR, wieloetapowych loaderów VBScript, ukrywania komponentów w ADS, propagacji przez skróty LNK i kradzieży danych za pomocą GammaSteel tworzy spójny oraz trudny do szybkiego zatrzymania łańcuch ataku.

Dla zespołów bezpieczeństwa to wyraźny sygnał, że skuteczna obrona wymaga jednoczesnego podejścia do zarządzania poprawkami, widoczności telemetrycznej endpointów, kontroli skryptów i analizy zachowań charakterystycznych dla malware działającego wieloetapowo.

Źródła

The Hacker News — https://thehackernews.com/2026/06/gamaredon-exploits-winrar-to-deliver.html
Sekoia.io, FSB’s matryoshka #1/3: Inside Gamaredon Cyber Operations — https://blog.sekoia.io/fsbs-matryoshka-1-3-gamaredons-gifts-that-keeps-unpacking-gammaphish-and-gammaworm/
NVD, CVE-2025-8088 — https://nvd.nist.gov/vuln/detail/CVE-2025-8088
CISA Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-8088

Operacja Dragon Weave: wieloetapowy cyberatak wymierzony w organizacje w Czechach i na Tajwanie

Wprowadzenie do problemu / definicja

Operacja Dragon Weave to zaawansowana kampania cyberszpiegowska, przypisywana z umiarkowaną pewnością podmiotom powiązanym z Chinami. Działania były ukierunkowane na organizacje o wysokiej wartości wywiadowczej w Czechach i na Tajwanie, w tym instytucje rządowe, sektor publiczny, środowiska badawcze, firmy technologiczne oraz podmioty finansowe.

Na tle wielu podobnych operacji kampanię wyróżnia połączenie precyzyjnego spear phishingu z dwoma równoległymi metodami uruchomienia tego samego łańcucha infekcji. Taki model zwiększa skuteczność ataku i utrudnia jego wykrycie na wczesnym etapie.

W skrócie

Kampania zaczyna się od wiadomości e-mail zawierającej archiwum ZIP oraz treść nawiązującą do wiarygodnych tematów administracyjnych lub biznesowych. Po otwarciu załącznika ofiara uruchamia infekcję, jednocześnie widząc dokument-wabik, który ma zmniejszyć podejrzenia.

Atak wykorzystuje dwa warianty startowe: plik LNK uruchamiający PowerShell lub samodzielny dropper napisany w Rust.
W obu scenariuszach celem jest uruchomienie komponentu RuntimeBroker_update.exe.
Następnie ładowana jest złośliwa biblioteka DLL, potem loader Rustcloak, a finalnie malware Azureveil.
Końcowy ładunek korzysta z Azure Blob Storage i modelu dead-drop C2, co utrudnia wykrycie klasycznej komunikacji z serwerem dowodzenia.

Kontekst / historia

Dobór ofiar wskazuje na klasyczną operację ukierunkowaną na pozyskiwanie informacji o znaczeniu politycznym, gospodarczym i technologicznym. Czechy i Tajwan od lat pozostają w obszarze zainteresowania grup prowadzących działania zgodne z priorytetami geopolitycznymi Pekinu.

W przypadku Czech istotne znaczenie ma ich pozycja w strukturach europejskich i transatlantyckich, a także relacje z Tajwanem. Szerszy kontekst potwierdzają wcześniejsze publiczne przypisania kampanii cybernetycznych aktorom powiązanym z Chińską Republiką Ludową, co wzmacnia obraz długofalowej presji w cyberprzestrzeni.

Analiza techniczna

Techniczna konstrukcja Dragon Weave została zaprojektowana tak, aby zwiększyć szanse skutecznego dostarczenia ładunku i jednocześnie ograniczyć możliwość detekcji. Punktem wejścia jest wiadomość spear phishingowa z załącznikiem ZIP, której treść odwołuje się do realistycznych scenariuszy, takich jak korespondencja urzędowa lub kontakt biznesowy.

Po rozpakowaniu archiwum infekcja może zostać uruchomiona na dwa sposoby. W pierwszym wariancie wykorzystywany jest plik LNK, który inicjuje skrypt PowerShell odpowiedzialny za odszyfrowanie i uruchomienie kolejnych komponentów. Drugi wariant polega na użyciu pliku wykonywalnego pełniącego funkcję samodzielnego droppera napisanego w Rust, który rozpakowuje elementy niezbędne do dalszego przebiegu ataku.

W obu ścieżkach kluczowym etapem jest uruchomienie RuntimeBroker_update.exe. To binarium ładuje złośliwą bibliotekę DLL, a następnie uruchamia loader Rustcloak. Jego zadaniem jest odszyfrowanie i wykonanie finalnego payloadu o nazwie Azureveil.

Rustcloak zawiera mechanizmy antyanalityczne i antysandboxowe. Sprawdza między innymi nazwę komputera i porównuje ją z listą środowisk znanych z analiz bezpieczeństwa. Jeśli wykryje potencjalne środowisko badawcze, kończy działanie bez aktywowania pełnego ładunku, co znacząco utrudnia analizę próbki.

Szczególnie istotny jest sposób komunikacji Azureveil. Zamiast bezpośredniego kontaktu z serwerem C2 malware wykorzystuje model dead-drop oparty na Azure Blob Storage. Zainfekowany system wysyła zaszyfrowane sygnały aktywności, pobiera polecenia umieszczone w kontenerze chmurowym, wykonuje je i odsyła wyniki w formie zaszyfrowanych blobów. Dzięki temu ruch może przypominać legalne korzystanie z popularnej usługi chmurowej.

Konsekwencje / ryzyko

Skuteczna infekcja może dać atakującym możliwość zdalnego wykonywania poleceń, przesyłania danych oraz eksfiltracji plików. Oznacza to realne ryzyko utraty dokumentów administracyjnych, danych badawczych, własności intelektualnej, informacji finansowych oraz planów operacyjnych.

Niebezpieczne jest również połączenie kilku technik utrudniających obronę. Wiarygodny spear phishing zwiększa skuteczność początkowego wejścia, dwa równoległe mechanizmy wdrożenia podnoszą odporność kampanii na błędy użytkownika, a wykorzystanie Rusta i usług chmurowych utrudnia działanie klasycznych narzędzi detekcyjnych.

Dla zespołów SOC oznacza to większe ryzyko fałszywie negatywnych wyników, zwłaszcza jeśli organizacja nie monitoruje szczegółowo skrótów LNK, aktywności PowerShell, ładowania DLL z nietypowych lokalizacji oraz anomalii w ruchu do usług cloud storage.

Rekomendacje

Organizacje powinny traktować podobne kampanie jako precyzyjnie zaprojektowane operacje wymierzone w konkretne procesy biznesowe i administracyjne. Ochrona musi obejmować zarówno użytkownika końcowego, jak i pełną widoczność telemetrii technicznej.

Wzmocnić bezpieczeństwo poczty elektronicznej przez sandboxing załączników, filtrowanie archiwów i ścisłą kontrolę plików LNK.
Ograniczyć możliwość uruchamiania PowerShell z nieautoryzowanych kontekstów oraz wdrożyć polityki allowlistingu aplikacji.
Monitorować procesy potomne uruchamiane z eksploratora, archiwizerów i skrótów.
Zwracać szczególną uwagę na nietypowe użycie RuntimeBroker_update.exe oraz ładowanie bibliotek DLL z niestandardowych ścieżek.
Skonfigurować EDR lub XDR pod wykrywanie zachowań, a nie wyłącznie sygnatur plików.
Centralizować logi w SIEM i korelować zdarzenia z poczty, EDR, AMSI, PowerShell oraz ruchu do usług storage w chmurze.
Prowadzić szkolenia użytkowników oparte na realistycznych scenariuszach administracyjnych i biznesowych.

Podsumowanie

Dragon Weave pokazuje, że współczesne kampanie cyberszpiegowskie coraz częściej łączą socjotechnikę, wielościeżkowe dostarczanie ładunku, komponenty napisane w Rust oraz komunikację C2 ukrytą w legalnych usługach chmurowych. Z perspektywy obrońców nie jest to zwykły phishing, lecz przemyślany i wielowarstwowy łańcuch ataku zaprojektowany z myślą o długotrwałej niewidoczności oraz skutecznej eksfiltracji danych.

Dla organizacji z sektorów publicznych, badawczych, technologicznych i finansowych kluczowe pozostają: twarda kontrola poczty, monitoring zachowań po stronie hosta oraz szczegółowa analiza ruchu wychodzącego do usług chmurowych. To właśnie te obszary mogą zdecydować o tym, czy podobna kampania zostanie wykryta odpowiednio wcześnie.

Źródła

Dark Reading – China Uses Dual-Method Cyberattack on Czech Orgs — https://www.darkreading.com/threat-intelligence/china-uses-dual-method-attack-czech-taiwan-orgs
NÚKIB – The Czech Government Has Publicly Attributed Cyberattacks to China — https://nukib.gov.cz/en/infoservis-en/news/2263-the-czech-government-has-publicly-attributed-cyberattacks-to-china-actor-apt31-linked-to-the-chinese-ministry-of-state-security-has-targeted-the-infrastructure-of-the-czech-ministry-of-foreign-affairs
Associated Press – Czech Republic accuses China of 'malicious cyber campaign’ against its foreign ministry — https://apnews.com/article/163e7e752624b9e243a31d533f7fcaa2
ESET – APT Activity Report — https://www.eset.com/us/business/apt-report/

SideCopy atakuje afgańskie instytucje finansowe z użyciem Xeno RAT

Wprowadzenie do problemu / definicja

Ukierunkowane kampanie spear-phishingowe pozostają jednym z najskuteczniejszych wektorów wejścia w operacjach cyberwywiadowczych. Najnowsza aktywność przypisywana grupie SideCopy pokazuje, że atakujący konsekwentnie wykorzystują dopasowane językowo przynęty, legalne narzędzia systemowe Windows oraz publicznie dostępne trojany zdalnego dostępu do kompromitacji instytucji państwowych. W tym przypadku celem była infrastruktura związana z afgańskim Ministerstwem Finansów, a użytym malware okazał się Xeno RAT.

W skrócie

Kampania została oparta na spear-phishingu z wykorzystaniem archiwum ZIP zawierającego złośliwy plik skrótu LNK. Przynęta została przygotowana w języku paszto, co wskazuje na precyzyjne rozpoznanie środowiska ofiary. Po uruchomieniu skrótu dochodziło do użycia narzędzia mshta.exe w celu pobrania zdalnej aplikacji HTA, a następnie wykonania zaciemnionego kodu JavaScript bezpośrednio w pamięci.

Łańcuch infekcji prowadził do wdrożenia Xeno RAT, ustanowienia trwałości w systemie oraz otwarcia kanału zdalnej kontroli nad hostem. Zakres możliwości malware obejmował między innymi kradzież danych, keylogging, zrzuty ekranu, monitoring schowka oraz obsługę tunelowania SOCKS5.

Kontekst / historia

SideCopy jest powszechnie śledzone jako klaster powiązany z szerszym ekosystemem Transparent Tribe, znanym również jako APT36. Grupa od lat koncentruje się na cyberwywiadzie wymierzonym głównie w podmioty rządowe, wojskowe i organizacje o znaczeniu strategicznym w Azji Południowej. W przeszłości operatorzy tej infrastruktury wykorzystywali różne rodziny RAT-ów i techniki socjotechniczne, regularnie dostosowując zestaw narzędzi do konkretnego celu.

Obecna kampania wpisuje się w szerszy trend operacji ukierunkowanych na instytucje publiczne oraz sektory administracyjne. Dobór języka przynęty, charakter dokumentów-wabików oraz profil ofiar sugerują, że nie był to atak masowy, lecz operacja zaplanowana pod kątem konkretnego środowiska. Według analiz badaczy celem były nie tylko jednostki centralne, ale również regionalne struktury finansowe i urzędnicy posługujący się językiem paszto.

Analiza techniczna

Początkowy etap ataku bazował na wiadomości phishingowej dostarczającej archiwum ZIP. Wewnątrz znajdował się plik LNK nazwany tak, aby sprawiać wrażenie wiarygodnego dokumentu urzędowego. Taki wybór formatu nie jest przypadkowy: skróty Windows są lekkie, często pomijane przez użytkowników i mogą uruchamiać złożone ciągi poleceń bez wzbudzania natychmiastowych podejrzeń.

Po aktywacji LNK uruchamiany był mshta.exe, czyli natywne narzędzie systemu Windows służące do wykonywania aplikacji HTA. Mechanizm ten od lat jest nadużywany przez napastników jako element technik living-off-the-land, ponieważ pozwala wykorzystywać zaufane składniki systemu do uruchamiania złośliwego kodu. W analizowanym przypadku mshta.exe pobierał zdalny komponent z przejętej domeny związanej z afgańskim sektorem edukacyjnym. Następnie wykonywany był zaciemniony JavaScript, co utrudniało analizę statyczną i zwiększało skuteczność obejścia części mechanizmów bezpieczeństwa.

Kolejny etap obejmował wdrożenie trwałości w rejestrze systemowym z wykorzystaniem artefaktów podszywających się pod legalne komponenty, w tym nawiązujących nazwą do przeglądarki Microsoft Edge. Równolegle ofiara otrzymywała dokument-wabik, którego zadaniem było odwrócenie uwagi od rzeczywistej aktywności infekcji. Sam Xeno RAT był ładowany przy użyciu mechanizmu opartego o bibliotekę DLL, co dodatkowo komplikowało analizę i mogło wspierać wykonanie wieloetapowe.

Xeno RAT to otwartoźródłowy trojan zdalnego dostępu, który zyskał popularność z uwagi na szeroki zestaw funkcji i łatwą dostępność. Po zestawieniu połączenia z serwerem C2 przez TCP operator może wydawać polecenia obejmujące zarządzanie plikami, uruchamianie dodatkowych modułów DLL, zbieranie informacji o oprogramowaniu ochronnym, przechwytywanie naciśnięć klawiszy, wykonywanie zrzutów ekranu, odczyt zawartości schowka, a nawet dostęp do kamery lub mikrofonu. Wspierane jest również tunelowanie sieciowe przez SOCKS5, co może służyć zarówno do ukrywania ruchu, jak i do poruszania się bocznego lub wykorzystania zainfekowanego hosta jako punktu pośredniego.

Z perspektywy obrony istotne jest to, że cały łańcuch infekcji łączy kilka dobrze znanych, ale skutecznych technik: socjotechnikę dopasowaną do odbiorcy, nadużycie zaufanych binariów systemowych, wykonanie kodu w pamięci, persistence w rejestrze oraz modułowy RAT zapewniający pełną kontrolę operacyjną.

Konsekwencje / ryzyko

Skutki takiej kompromitacji mogą być poważne, zwłaszcza w środowiskach administracji publicznej i finansów państwowych. Xeno RAT umożliwia długotrwały, ukryty dostęp do stacji roboczych urzędników, co stwarza ryzyko wycieku dokumentów finansowych, danych personalnych, informacji budżetowych oraz komunikacji wewnętrznej. Jeśli zainfekowane konto posiada podwyższone uprawnienia lub dostęp do systemów międzyresortowych, incydent może eskalować do poziomu naruszenia obejmującego większą część infrastruktury administracyjnej.

Dodatkowym zagrożeniem jest możliwość wykorzystania zainfekowanego hosta jako punktu wejścia do dalszych działań rozpoznawczych i lateral movement. Funkcje proxy oraz ładowania kolejnych modułów oznaczają, że operator nie musi ograniczać się do pojedynczej kradzieży danych. W praktyce może rozwijać operację etapowo, dostosowując aktywność do wartości uzyskanych zasobów i reakcji obrońców.

Ryzyko wzrasta również dlatego, że publicznie dostępne narzędzia, takie jak Xeno RAT, obniżają próg wejścia dla grup ofensywnych. Nawet jeśli rdzeń malware jest znany analitykom, odpowiednie modyfikacje w loaderze, infrastrukturze C2 lub łańcuchu dostarczenia potrafią istotnie utrudnić wykrycie i atrybucję.

Rekomendacje

Organizacje publiczne i podmioty infrastruktury krytycznej powinny w pierwszej kolejności ograniczyć możliwość uruchamiania plików LNK pochodzących z niezaufanych źródeł oraz monitorować nietypowe użycie mshta.exe. W praktyce oznacza to wdrożenie polityk blokujących lub ściśle kontrolujących wykonanie HTA, skryptów oraz binariów living-off-the-land, które nie są niezbędne biznesowo.

Należy rozszerzyć detekcję o telemetrię obejmującą:

uruchomienia mshta.exe z parametrami sieciowymi,
tworzenie lub modyfikację kluczy Run i innych mechanizmów persistence w rejestrze,
połączenia wychodzące TCP do nietypowych serwerów C2,
wykonanie zaciemnionego JavaScript poza standardowym kontekstem użytkowym,
ładowanie podejrzanych bibliotek DLL przez procesy potomne powiązane z LNK lub HTA.

Warto również wdrożyć rygorystyczne filtrowanie poczty pod kątem archiwów ZIP zawierających skróty Windows, a użytkowników szkolić w rozpoznawaniu wiadomości wykorzystujących lokalny język, terminologię urzędową i dokumenty pozornie zgodne z obiegiem administracyjnym. Kampanie celowane są skuteczne właśnie dlatego, że nie wyglądają jak typowy spam.

Po stronie reagowania kluczowe jest szybkie pozyskanie artefaktów z pamięci, analizy rejestru oraz dzienników procesów potomnych. W przypadku wykrycia podobnej aktywności należy traktować incydent jako potencjalny cyberwywiad, a nie jedynie infekcję pojedynczej stacji. Oznacza to konieczność przeglądu kont uprzywilejowanych, sesji sieciowych, relacji z serwerami plików oraz wszelkich oznak ruchu bocznego.

Dobrą praktyką pozostaje także segmentacja sieci, stosowanie zasad least privilege, ochrona kont administracyjnych oddzielnymi stacjami oraz wdrożenie EDR/XDR zdolnego do korelacji sekwencji: phishing → LNK → mshta → HTA/JavaScript → persistence → komunikacja C2.

Podsumowanie

Kampania przypisywana SideCopy pokazuje, że skuteczny cyberwywiad nie zawsze wymaga zaawansowanych exploitów typu zero-day. Odpowiednio dobrana socjotechnika, wykorzystanie legalnych komponentów Windows i wdrożenie elastycznego RAT-a wystarczają do uzyskania trwałego dostępu do wrażliwych środowisk rządowych. W analizowanym przypadku szczególne znaczenie ma dopasowanie językowe przynęty, modularny łańcuch infekcji oraz szeroki zakres funkcji Xeno RAT, który czyni go użytecznym narzędziem zarówno do rozpoznania, jak i długotrwałej eksfiltracji danych. Dla zespołów bezpieczeństwa to wyraźny sygnał, że obrona przed współczesnym spear-phishingiem musi łączyć kontrolę poczty, monitoring procesów systemowych, analizę persistence oraz szybkie polowanie na oznaki aktywności C2.

Źródła

Pakistan-Linked SideCopy Targets Afghanistan Finance Ministry with Xeno RAT — https://thehackernews.com/2026/06/pakistan-linked-sidecopy-targets.html
Operation XENOFISCAL: SideCopy deploying persistent XenoRAT targeting the MoF, Afghanistan — https://www.seqrite.com/blog/operation-xenofiscal-sidecopy-deploying-persistent-xenorat-targeting-the-mof-afghanistan/
Open-Source Xeno RAT Trojan Emerges as a Potent Threat on GitHub — https://thehackernews.com/2024/02/open-source-xeno-rat-trojan-emerges-as.html?m=0
Cyber Threat Roundup, 14 Apr 25 — https://www.dc3.mil/Portals/100/Documents/DC3/Missions/DCISE/DCISE%20Cyber%20Threat%20Roundup/2025/april/20250414%20Cyber%20Threat%20Roundup.pdf
Cyber Threat Intelligence Advisory — https://assets.kpmg.com/content/dam/kpmgsites/in/pdf/2025/05/kpmg-ctip-sidecopy-apt-20-may-2025.pdf.coredownload.inline.pdf

Gamaredon wykorzystuje lukę w WinRAR do dostarczania GammaWorm i GammaSteel przeciwko Ukrainie

Wprowadzenie do problemu / definicja

Grupa Gamaredon, od lat wiązana z rosyjskimi operacjami cyberszpiegowskimi, została powiązana z kampanią wykorzystującą podatność w programie WinRAR do uruchomienia wieloetapowego łańcucha infekcji. Atak prowadzi do dostarczenia komponentów odpowiedzialnych za rozpoznanie środowiska, utrzymanie dostępu, propagację w sieci oraz kradzież danych.

Sprawa zwraca uwagę, ponieważ pokazuje praktyczne wykorzystanie błędu typu path traversal w popularnym narzędziu archiwizującym. Jednocześnie kampania potwierdza dalszą profesjonalizację zestawu narzędzi używanych przeciwko celom ukraińskim.

W skrócie

Badacze ustalili, że operatorzy Gamaredon wykorzystują lukę CVE-2025-8088 w WinRAR do uruchomienia komponentu GammaPhish, który następnie pobiera skryptowy downloader GammaLoad. Za jego pośrednictwem dostarczane są kolejne moduły, w tym GammaWorm oraz GammaSteel.

GammaWorm odpowiada za trwałość, rozprzestrzenianie się przez nośniki USB i zasoby współdzielone oraz uruchamianie dalszego kodu z infrastruktury C2. Z kolei GammaSteel działa jako stealer, wyszukując i eksfiltrując pliki do zewnętrznej infrastruktury.

Kontekst / historia

Gamaredon należy do najbardziej aktywnych grup ukierunkowanych na Ukrainę. Operatorzy tej aktywności byli wcześniej łączeni z kampaniami wymierzonymi w administrację publiczną, sektor wojskowy oraz elementy infrastruktury krytycznej.

Charakterystyczne dla tej grupy są masowe kampanie spear phishingowe, użycie archiwów jako nośnika pierwszego etapu ataku oraz szybkie modyfikowanie narzędzi w celu utrudnienia detekcji. Opisana operacja wpisuje się w ten schemat, ale jednocześnie pokazuje bardziej modularne podejście do budowy łańcucha infekcji.

Zamiast pojedynczego malware atakujący wdrażają zestaw komponentów realizujących odrębne zadania:

dostarczenie początkowego ładunku,
konfigurację komunikacji z serwerami sterującymi,
utrzymanie trwałości,
propagację w środowisku,
eksfiltrację danych.

Taka architektura zwiększa odporność operacji na częściową blokadę i pozwala elastycznie dostosowywać działanie malware do bieżących potrzeb operatorów.

Analiza techniczna

Centralnym elementem kampanii jest wykorzystanie luki CVE-2025-8088 w WinRAR. Błąd typu path traversal umożliwia zapisanie plików w nieoczekiwanych lokalizacjach po otwarciu spreparowanego archiwum, co pozwala przygotować grunt pod uruchomienie kolejnych etapów infekcji.

Pierwszym obserwowanym etapem jest komponent GammaPhish, działający jako payload typu HTML Application. Jego zadaniem jest inicjowanie kolejnego kroku i pobranie pośredniego downloadera VBScript o nazwie GammaLoad.

GammaLoad pełni rolę orkiestratora całej infekcji. Rozpoznaje host, aktualizuje konfigurację sieciową w rejestrze z użyciem mechanizmu dead drop resolvers oraz pobiera dalsze skrypty z infrastruktury C2.

Jednym z dostarczanych modułów jest GammaWorm. Malware ustanawia trwałość między innymi przez zadania harmonogramu, a następnie wspiera propagację w środowisku poprzez ukrywanie legalnych katalogów w udziałach sieciowych i na nośnikach USB oraz zastępowanie ich złośliwymi skrótami LNK.

Dodatkowo GammaWorm wykorzystuje alternatywne strumienie danych NTFS do ukrywania swoich modułów. Technika ta utrudnia wykrycie zagrożenia przez mniej zaawansowane rozwiązania ochronne i analityczne.

Na uwagę zasługuje także sposób rozwiązywania adresów infrastruktury C2. Według ustaleń badaczy GammaWorm korzysta z żądania HTTP realizowanego przez curl do publicznego kanału Telegram, z którego pobierane są informacje potrzebne do dalszej komunikacji. Nadużycie legalnej platformy pomaga ukryć aktywność wśród normalnego ruchu sieciowego.

Drugim istotnym modułem jest GammaSteel, czyli stealer o budowie modułowej. Jego zadaniem jest wyszukiwanie plików o określonych rozszerzeniach, a następnie ich eksfiltracja. Dane mogą być wysyłane do zasobu w chmurze AWS S3 lub do serwera kontrolowanego bezpośrednio przez atakujących jako kanału zapasowego.

Badacze wskazali również, że ten sam łańcuch infekcji może być używany do dystrybucji innych rodzin malware, w tym komponentów destrukcyjnych takich jak GammaWipe. To oznacza, że platforma stosowana przez operatorów może obsługiwać zarówno scenariusze szpiegowskie, jak i sabotażowe.

Konsekwencje / ryzyko

Z perspektywy obrońców największe ryzyko wynika z połączenia kilku technik w jednym ataku: wykorzystania podatności w powszechnie używanym oprogramowaniu, socjotechniki opartej na archiwach, skryptowych downloaderów, trwałości przez harmonogram zadań, ukrywania komponentów w ADS oraz propagacji przez LNK i nośniki wymienne.

Taki zestaw technik zwiększa skuteczność operacji zarówno w środowiskach korporacyjnych, jak i w organizacjach o niższej dojrzałości bezpieczeństwa. Dla ofiar oznacza to ryzyko kradzieży dokumentów operacyjnych, materiałów wojskowych, danych administracyjnych oraz informacji o znaczeniu strategicznym.

Istotne jest również ryzyko wtórne. Jeśli operatorzy są w stanie dostarczać inne rodziny malware przy użyciu tego samego łańcucha, środowisko początkowo objęte cyberszpiegostwem może później zostać wykorzystane do działań destrukcyjnych, usuwania danych lub zakłócania pracy systemów.

Rekomendacje

Organizacje powinny w pierwszej kolejności zweryfikować, czy używane wersje WinRAR zostały zaktualizowane i nie są podatne na CVE-2025-8088. Tam, gdzie natychmiastowa aktualizacja nie jest możliwa, należy ograniczyć otwieranie archiwów z niezweryfikowanych źródeł oraz zastosować dodatkowe mechanizmy izolacji dla stacji roboczych podwyższonego ryzyka.

W warstwie detekcyjnej warto monitorować uruchamianie plików HTA, VBScript oraz nietypowych procesów potomnych pojawiających się po otwarciu archiwów. Szczególną uwagę należy zwrócić na tworzenie zadań harmonogramu, użycie curl w nietypowych kontekstach użytkownika, modyfikacje udziałów sieciowych, masowe tworzenie skrótów LNK oraz obecność alternatywnych strumieni danych NTFS.

ograniczenie lub blokowanie wykonywania HTA i VBScript tam, gdzie nie są biznesowo wymagane,
wdrożenie reguł EDR i SIEM wykrywających ekstrakcję archiwów prowadzącą do zapisu w niestandardowych ścieżkach,
kontrola użycia nośników USB i monitorowanie zmian w katalogach współdzielonych,
inspekcja ruchu do usług publicznych wykorzystywanych jako pośrednia warstwa C2,
segmentacja zasobów plikowych oraz ograniczenie praw zapisu do współdzielonych katalogów,
regularne ćwiczenia reagowania na incydenty obejmujące scenariusze z użyciem skryptów, LNK i malware modularnego.

Z punktu widzenia reagowania kluczowe będzie szybkie ustalenie pełnego łańcucha wykonania: od otwarcia archiwum, przez uruchomienie HTA i skryptów VBScript, po komunikację z C2 i ewentualną eksfiltrację. Analiza artefaktów takich jak zadania harmonogramu, wpisy rejestru, skróty LNK, ADS oraz logi proxy może znacząco skrócić czas identyfikacji skali incydentu.

Podsumowanie

Kampania przypisywana Gamaredon pokazuje, że klasyczne wektory wejścia, takie jak złośliwe archiwa, nadal pozostają bardzo skuteczne, jeśli zostaną połączone z podatnością w popularnym narzędziu i modularnym zestawem malware. W tym przypadku luka w WinRAR stała się punktem startowym dla łańcucha prowadzącego do rozpoznania środowiska, utrzymania dostępu, propagacji oraz kradzieży danych.

Dla zespołów bezpieczeństwa to wyraźny sygnał, że ochrona przed współczesnymi kampaniami APT wymaga jednoczesnego podejścia do zarządzania podatnościami, ograniczania interpreterów skryptowych, monitorowania anomalii w systemie plików oraz analizy ruchu wychodzącego do legalnych usług wykorzystywanych jako infrastruktura pośrednia.

Źródła

The Hacker News — https://thehackernews.com/2026/06/gamaredon-exploits-winrar-to-deliver.html