Archiwa: APT - Strona 27 z 31 - Security Bez Tabu

Tag: APT

Cloud Atlas atakuje rosyjską branżę rolną przed forum branżowym — analiza techniczna, ryzyko i zalecenia

Wprowadzenie do problemu / definicja luki

Grupa APT Cloud Atlas (znana także jako Inception) przeprowadziła kolejną kampanię cyberszpiegowską wymierzoną w rosyjski sektor rolno-spożywczy. Ataki wykorzystują przynęty związane z programem nadchodzącego forum rolniczego w Moskwie (30 października 2025 r.) oraz klasyczną podatność CVE-2017-11882 w edytorze równań MS Office, co umożliwia zdalne wykonanie kodu po otwarciu spreparowanego dokumentu. Kampanię jako pierwsza publicznie opisała redakcja The Record, na podstawie analiz rosyjskiej firmy F6.

W skrócie

  • Cel: przedsiębiorstwa agro-przemysłowe w Rosji (co najmniej jedna ofiara z października; wcześniejsze cele we IX–X 2025).
  • Wejście: spear-phishing z dokumentem .doc zawierającym łańcuch prowadzący do eksploatacji CVE-2017-11882 (RTF template injection).
  • Ładunek: rodzina narzędzi Cloud Atlas, m.in. VBShower z dalszym dogrywaniem modułów; w 2024 r. obserwowano także VBCloud/PowerShower.
  • Trend: utrzymywanie wieloetapowej, znanej od lat ścieżki infekcji, okresowe eksperymenty z dostarczaniem ładunku i nietypowymi strefami domen.

Kontekst / historia / powiązania

Cloud Atlas jest aktywna co najmniej od 2014 r., konsekwentnie stosując kampanie spear-phishingowe wobec podmiotów rządowych i sektorów strategicznych w regionie Europy Wschodniej i Azji Centralnej. W ostatnich latach grupa była regularnie łączona z celami w Rosji i Białorusi.

Analiza techniczna / szczegóły luki

Wejście i przynęta. W październiku 2025 r. F6 zarejestrowało wiadomości z konta mkrutij@list[.]ru z załącznikiem „Программа Форум Зерно и масличные.doc”, który faktycznie zawiera program konferencji. Analogiczna fala ze września używała tematu „Бланк ТЧ” i innego nadawcy (glotovao56@yandex[.]ru).

Łańcuch eksploatacji. Dokument-loader pobiera przez mechanizm RTF template plik RTF z exploitem CVE-2017-11882, po czym dociąga droppera (us.txt) i uruchamia VBShower z C2 ukrytym za ścieżkami URL na domenie kommando[.]live. Wcześniejsze łańcuchy korzystały również z hostów regioninvest[.]net i news-freebase[.]com.

CVE-2017-11882. To przepełnienie bufora w Equation Editor (EQNEDT32.exe), pozwalające na RCE bez interakcji poza otwarciem dokumentu. Mimo łatki z 2017 r. podatność pozostaje powszechnie nadużywana.

Moduły po infekcji. W arsenal Cloud Atlas od lat obserwuje się VBShower/PowerShower; w 2024 r. Kaspersky opisał nowy backdoor VBCloud ładowany właśnie przez VBShower (z opcją dociągania pluginów i komunikacją przez chmurę).

Infrastruktura i TTP. F6 wskazuje na nietypowe dla grupy strefy domen (np. .live, .online, .cfd) oraz łączenie ról domen (ładowanie szablonu i C2 na jednym hostu), podczas gdy historycznie rozdzielano etapy (template/C2/PowerShower) między różne domeny.

Praktyczne konsekwencje / ryzyko

  • Łańcuch kompatybilny z „starymi” stacjami: wystarczy niezałatany Office lub legacy EQNEDT32.exe; w środowiskach z uprawnieniami lokalnych adminów skutki obejmują pełne przejęcie hosta.
  • Ryzyko wycieku IP i danych operacyjnych w łańcuchach dostaw rolno-spożywczych (receptury, logistyka, planowanie zasiewów/zbiorów, zakup komponentów). Wskazania F6 sugerują, że część przynęt dotyczyła także podmiotów obronnych.
  • Utrzymywanie się skuteczności „starej” podatności wspierane czynnikiem ludzkim (otwieranie dokumentów) i technicznym (brak twardych zasad makr/załączników).

Rekomendacje operacyjne / co zrobić teraz

  1. Wyłącz i usuń Equation Editor (EQNEDT32.exe) w GPO/SCCM; zweryfikuj binarki Office pod kątem obecności komponentu. Zaimplementuj „Office Attack Surface Reduction” i politykę blokowania RTF z internetowej strefy pochodzenia. (Dotyczy CVE-2017-11882 i vektorów RTF.)
  2. Patch management: potwierdź wdrożenie biuletynów z 2017 r. i późniejszych dla Office; przeprowadź skan podatności pod kątem CVE-2017-11882.
  3. Filtry pocztowe i detekcje:
    • Blokuj/monitoruj rozszerzenia .rtf, .hta, .lnk, .cmd w załącznikach; skanuj „template injection” w RTF.
    • Reguły EDR/IDS na sekwencję: WINWORD.exe -> eqnedt32.exe -> powershell.exe/cscript.exe + nietypowe ruchy do domen podobnych do kommando[.]live, regioninvest[.]net.
  4. Network hardening: egress-allowlist dla serwisów HTTP/HTTPS, TLS inspection z uwzględnieniem nietypowych ścieżek URL; DNS sinkhole dla znanych IoC z raportu F6.
  5. Awareness i procesy: micro-szkolenia przed wydarzeniami branżowymi (podniesione ryzyko przynęt „agenda/plan konferencji”), weryfikacja zaproszeń z out-of-band.
  6. Hunting (przykładowe hipotezy):
    • Wyszukaj dokumenty Word odwołujące się do zewnętrznych szablonów RTF (Event ID/O365 audit).
    • Artefakty VBShower/PowerShower/VBCloud w %TEMP%, harmonogramie zadań i RunKeys; nietypowe User-Agent w Invoke-RestMethod.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

W porównaniu z wcześniejszymi opisami kampanii Cloud Atlas (2019–2024) obecna fala nadal opiera się na dobrze znanym łańcuchu (phish → RTF/CVE-2017-11882 → VBShower), ale wyraźniej eksperymentuje z etapami dostarczania i strefami domen. Zbieżne obserwacje pojawiały się w materiałach Kaspersky (stabilne TTP + nowe implanty) oraz Check Point (utrzymanie stałych technik, zmiana przynęt wg bieżącego kontekstu).

Podsumowanie / kluczowe wnioski

  • Cloud Atlas wykorzystuje wydarzenia branżowe jako wiarygodne przynęty i nadal z powodzeniem eksploatuje historyczną lukę CVE-2017-11882.
  • Mimo „wiekowych” technik, efektywność ataków pozostaje wysoka — decydują higiena systemów i czynnik ludzki.
  • Priorytetami defensywnymi są: deprecjacja EQNEDT32, twarde polityki dla dokumentów Office/RTF, egress-kontrola i hunting pod kątem rodziny VBShower/PowerShower/VBCloud.

Źródła / bibliografia

  1. The Record — opis kampanii na sektor rolny (29 października 2025). (The Record from Recorded Future)
  2. F6 — analiza techniczna ostatnich ataków (28 października 2025). (f6.ru)
  3. Kaspersky Securelist — „Cloud Atlas attacks with new backdoor VBCloud” (23 grudnia 2024). (securelist.com)
  4. Palo Alto Networks Unit 42 — analiza CVE-2017-11882 (2017–2018). (Unit 42)
  5. Check Point Research — cele w Rosji i na Białorusi (grudzień 2022). (Check Point Research)

Kanada: hacktywiści naruszyli systemy wody, energii i rolnictwa. Co wiemy i jak reagować

Wprowadzenie do problemu / definicja luki

Kanadyjskie Canadian Centre for Cyber Security (Cyber Centre) ostrzegło 29 października 2025 r., że tzw. hacktywiści wielokrotnie uzyskali dostęp do internetowo wystawionych systemów sterowania przemysłowego (ICS/OT) w kraju. W trzech udokumentowanych przypadkach doszło do manipulacji parametrami procesowymi w: zakładzie wodociągowym (ciśnienie wody), firmie naftowo-gazowej (Automated Tank Gauge – ATG) oraz w silosie do suszenia zboża (temperatura i wilgotność). Ataki miały charakter okazjonalny i oportunistyczny, ale realnie groziły niebezpiecznymi warunkami pracy instalacji.

W skrócie

  • Co się stało: hacktywiści wykorzystali bezpośrednio wystawione do Internetu elementy ICS/HMI/SCADA, uzyskując możliwość zmiany nastaw i wywołania alarmów/zakłóceń.
  • Skala ryzyka: degradacja usług komunalnych, błędne alarmy w sektorze O&G, potencjalnie niebezpieczne warunki w rolnictwie – bez katastrofalnych skutków, ale z niską barierą wejścia dla napastników.
  • Trend: rośnie liczba „mało wyrafinowanych” ataków na OT/ICS, co wcześniej sygnalizowała też CISA.
  • Dlaczego teraz: ekspozycja ICS do sieci publicznej + słabe uwierzytelnianie = szybkie „trofea” dla grup szukających rozgłosu (przykład: wpadka prorosyjnej grupy TwoNet na przynęcie-honeypocie).

Kontekst / historia / powiązania

Ostrzeżenie Cyber Centre wpisuje się w globalny trend: od 2024 r. rośnie aktywność grup hacktivist uderzających w infrastrukturę krytyczną – często prosto i głośno, dla efektu medialnego. CISA już w maju 2025 r. alarmowała o „niewyrafinowanych aktorach” celujących w ICS/SCADA w sektorach O&G, wody i żywności.
Równolegle raporty Dragos wskazywały, że część „hacktywistów” zaczęła łączyć działania z ransomware, co zwiększa presję na operatorów OT (Handala, Kill Security, CyberVolk – przykłady z 2024 r.).
Na świeżo: w październiku 2025 r. badacze Forescout ujawnili, że prorosyjna grupa TwoNet chwaliła się „zhakowaniem” wodociągów – w rzeczywistości był to sprytnie przygotowany honeypot OT/ICS. Incydent obnażył techniki oparte na słabych hasłach do HMI i manipulacji setpointami/zdarzeniami.

Analiza techniczna / szczegóły luki

Z ostrzeżenia AL25-016 wynika, że wektor nr 1 to po prostu ekspozycja urządzeń OT do Internetu (np. PLC, RTU, HMI, SCADA, SIS, BMS, IIoT) – często z domyślnymi/dzielonymi kontami lub bez MFA. Skutki obserwowane w Kanadzie:

  • Woda: manipulacja wartościami ciśnienia → spadek jakości/ciągłości usługi dla społeczności.
  • O&G: manipulacja ATG (Automated Tank Gauge) → fałszywe alarmy.
  • Rolnictwo: zmiany temperatury/wilgotności w silosie suszarniczym → warunki potencjalnie niebezpieczne, gdyby nie szybkie wykrycie.

W praktyce takie ataki często wykorzystują:

  • Zdalne usługi (np. otwarte HTTP/VNC/RDP/VPN bez MFA) do paneli HMI/SCADA.
  • Słabe/lokalne konta (valid accounts) zamiast exploitów 0-day.
  • Prostą manipulację procesem (zmiana setpointów, wyłączanie alarmów/logów), jak pokazał przypadek TwoNet w honeypocie.

Praktyczne konsekwencje / ryzyko

  • Bezpieczeństwo procesowe: nawet krótkotrwała zmiana parametrów (ciśnienie, temp., poziom zbiorników) może prowadzić do stanu niebezpiecznego.
  • Ciągłość działania: fałszywe alarmy ATG = kosztowne przerwy i inspekcje.
  • Reputacja/regulator: incydenty w wodzie/energetyce szybko trafiają do mediów i mogą skutkować sankcjami nadzorczymi.
  • Eskalacja taktyk: część grup hacktywistycznych łączy działania z ransomware, co zwiększa ryzyko długotrwałych zakłóceń i wycieku danych.

Rekomendacje operacyjne / co zrobić teraz

Na bazie zaleceń Cyber Centre (AL25-016) oraz dobrych praktyk OT/ICS:

  1. Inwentaryzacja i „de-exposure” (D+E):
    • Zrób pełną listę wszystkich urządzeń ICS dostępnych z Internetu.
    • Wyłącz bezpośrednią ekspozycję – preferuj VPN z 2FA i listami uprawnień; jeśli musisz zostawić dostęp, wprowadź wzmożone monitorowanie.
  2. Kontrole dostępu: odetnij domyślne konta, wprowadź MFA dla wszystkich ról zdalnych, segmentację sieci (IT/OT) i zasadę najmniejszych uprawnień.
  3. Monitoring i testy:
    • IPS/IDS dla ruchu przemysłowego (np. Modbus, DNP3), ciągły VA/PT i tabeltopy z jasno zdefiniowanymi rolami OT/IT.
  4. Higiena konfiguracji HMI/SCADA: wymuś timeout sesji, alarmy nieusuwalne bez zgody drugiej osoby (four-eyes), rejestrowanie zmian setpointów. (Wnioski także po analizie incydentu TwoNet-honeypot).
  5. Zgodność z wytycznymi: wdrażaj Cyber Security Readiness Goals (CRG) oraz dokumenty Cyber Centre dla ICS/CI jako „minimum operacyjne”.
  6. Zgłaszanie i współpraca: w Kanadzie – My Cyber Portal / contact@cyber.gc.ca i lokalna policja; w USA – śledź alerty CISA i przekazuj wskaźniki/artefakty.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

Klasyczne kampanie APT przeciw OT celują w długotrwałą infiltrację i precyzyjne uderzenia (zwykle „ciche”). Tu mamy ekspozycję + szybkie „kliknięcie” w HMI/ATG, często przy użyciu słabych haseł lub domyślnych konfiguracji – niski próg wejścia, wysoki PR. Przykład TwoNet pokazuje, że nawet „głośne” sukcesy bywały na przynęcie, ale techniki (wyłączenie logów/alarmów, manipulacja PLC) są realne i transferowalne do prawdziwych środowisk.

Podsumowanie / kluczowe wnioski

  • Nie zostawiaj HMI/SCADA/PLC w Internecie. To najkrótsza ścieżka do incydentu.
  • Prosta manipulacja nastawami może wystarczyć, by zakłócić usługi krytyczne.
  • Hacktywiści polują na łatwe cele – widoczność i rozgłos są dla nich równie ważne jak szkody.
  • Checklistę Cyber Centre potraktuj jako „baseline” na już; dalej – segmentacja, MFA, monitoring protokołów przemysłowych i ćwiczenia reagowania.

Źródła / bibliografia

  1. Canadian Centre for Cyber Security – AL25-016: Internet-accessible ICS abused by hacktivists (29.10.2025). Najważniejsze źródło faktów nt. kanadyjskich incydentów i zaleceń. (Canadian Centre for Cyber Security)
  2. BleepingComputer – Canada says hacktivists breached water and energy facilities (29.10.2025). Streszczenie i kontekst medialny. (BleepingComputer)
  3. CISA – Unsophisticated cyber actor(s) targeting OT (06.05.2025). Szerszy trend uderzeń w ICS/SCADA. (cisa.gov)
  4. Forescout (Vedere Labs) – Anatomy of a Hacktivist Attack: Russian-Aligned Group Targets OT/ICS (09.10.2025) oraz materiały prasowe wtórne (The Record). Przykład TwoNet/honeypot. (Forescout)
  5. Dragos – OT/ICS threats escalate… (25.02.2025). Trend: hacktywiści korzystają z ransomware. (dragos.com)

ISA/IEC 62443 – Kompletny Przewodnik Po Standardzie Cyberbezpieczeństwa OT/ICS

Czym jest standard ISA/IEC 62443 i dlaczego ma znaczenie dla bezpieczeństwa OT/ICS

ISA/IEC 62443 to międzynarodowa seria standardów definiujących wymagania i procesy dla cyberbezpieczeństwa systemów automatyki przemysłowej i sterowania (Industrial Automation and Control Systems, IACS) oraz infrastruktury OT. Standard ten został opracowany przez International Society of Automation (ISA) i przyjęty przez International Electrotechnical Commission (IEC), tworząc wspólne, konsensusowe ramy ochrony dla wszystkich sektorów przemysłu wykorzystujących systemy ICS.

Czytaj dalej „ISA/IEC 62443 – Kompletny Przewodnik Po Standardzie Cyberbezpieczeństwa OT/ICS”

Kompletny Plan Wdrożenia NIS2 – Lista Kontrolna I Dowody Zgodności

Jak ten artykuł pomoże Ci w wdrażaniu NIS2?

Dyrektywa NIS2 (Network and Information Systems 2) nakłada na organizacje z wielu sektorów obowiązek wdrożenia zaawansowanych środków cyberbezpieczeństwa oraz wykazania zgodności z wymaganiami regulacyjnymi. Dla menedżerów, CISO oraz specjalistów IT odpowiedzialnych za bezpieczeństwo oznacza to konieczność opracowania kompleksowego planu działania – od fazy planowania, przez realizację technicznych i organizacyjnych zabezpieczeń, aż po przygotowanie dowodów zgodności na potrzeby audytu.

Czytaj dalej „Kompletny Plan Wdrożenia NIS2 – Lista Kontrolna I Dowody Zgodności”

Wdrożenie NIS2 W Sektorach – Energetyka, Zdrowie I Usługi Cyfrowe

Nowe wymagania dyrektywy NIS2 i szerszy zakres sektorów

Dyrektywa NIS2 (UE 2022/2555) znacząco podnosi poprzeczkę w obszarze cyberbezpieczeństwa, zastępując poprzednią dyrektywę NIS z 2016 roku. Jej zapisy poszerzają listę sektorów objętych obowiązkami z kilku do 18 sektorów krytycznych, w tym m.in. energetykę, ochronę zdrowia oraz szereg usług cyfrowych (jak telekomunikacja, usługi chmurowe, data center). W efekcie liczba podmiotów w Polsce podlegających nowym przepisom wzrosła z ~400 do ponad 10 000.

Czytaj dalej „Wdrożenie NIS2 W Sektorach – Energetyka, Zdrowie I Usługi Cyfrowe”

DSA-6040-1: aktualizacja bezpieczeństwa Thunderbird dla Debiana (CVE-2025-11708…11715)

Wprowadzenie do problemu / definicja luki

Debian opublikował DSA-6040-1 dotyczący pakietu thunderbird. Aktualizacja łata zestaw luk (CVE-2025-11708, -11709, -11710, -11711, -11712, -11714, -11715), które w sprzyjających warunkach mogą prowadzić do zdalnego wykonania kodu lub wycieku pamięci. Wydania naprawcze:

  • Debian 12 bookworm (oldstable): 1:140.4.0esr-1~deb12u1
  • Debian 13 trixie (stable): 1:140.4.0esr-1~deb13u1.

W skrócie

  • Problem dotyczy Thunderbird ESR 140.3 i wcześniejszych. Naprawa w Thunderbird 140.4 (ESR) i nowszych.
  • Część błędów to klasyczne memory safety (CVE-2025-11714, -11715), a inne to m.in. use-after-free w MediaTrackGraph (CVE-2025-11708) oraz problemy z WebGL i IPC pozwalające na przekroczenia zakresu i wyciek pamięci (CVE-2025-11709, -11710).
  • Debian dostarczył gotowe poprawki dla wspieranych gałęzi. Zalecana jest natychmiastowa aktualizacja.

Kontekst / historia / powiązania

Mozilla wydała biuletyn MFSA 2025-85 14 października 2025 r., grupujący poprawki w Thunderbird 140.4. Debian spiął to w DSA-6040-1 z wersjami ESR dla swoich wydań. Memory-safety CVE pojawiają się cyklicznie wraz z nowymi wersjami silnika Gecko i są traktowane jako potencjalnie umożliwiające RCE.

Analiza techniczna / szczegóły luki

Poniżej skrót opisu najistotniejszych CVE wchodzących w skład DSA-6040-1 (wg MFSA 2025-85):

  • CVE-2025-11708 – use-after-free w MediaTrackGraphImpl::GetInstance() (wysokie ryzyko). Typowy scenariusz: dereferencja zwolnionego wskaźnika → wykonanie arbitralnego kodu.
  • CVE-2025-11709 – odczyty/zapisy poza buforem w uprzywilejowanym procesie wyzwalane przez złośliwe tekstury WebGL (wysokie). Może prowadzić do eskalacji w modelu wieloprocesowym.
  • CVE-2025-11710 – wyciek informacji między procesami przez złośliwe komunikaty IPC (wysokie). Pozwala wydobywać bloki pamięci procesu uprzywilejowanego.
  • CVE-2025-11711 – możliwość modyfikacji nie-zapisywalnych właściwości obiektów JavaScript (wysokie). Osłabia granice bezpieczeństwa JS.
  • CVE-2025-11712 – atrybut type w OBJECT potrafił nadpisać domyślne zachowanie przeglądarki dla zasobów bez nagłówka Content-Type (umiarkowane). Może wspierać wektor XSS na źle skonfigurowanych serwerach.
  • CVE-2025-11714, CVE-2025-11715 – zbiorcze błędy bezpieczeństwa pamięci (wysokie), domniemanie podatne na RCE przy odpowiednim nakładzie pracy.

Mozilla zaznacza, że większości z tych błędów nie da się wykorzystać przez sam podgląd e-maili (skrypty są wyłączone), ale stanowią ryzyko w kontekstach przeglądarkowych (np. otwieranie linków/załączników w osadzonym web-view).

Praktyczne konsekwencje / ryzyko

  • Zdalne wykonanie kodu / przejęcie konta użytkownika przy odwiedzeniu specjalnie spreparowanej strony/zasobu przez Thunderbird w trybie przeglądarkowym.
  • Wycieki pamięci i obejście mechanizmów separacji procesów (IPC), co może ujawnić poufne dane lub ułatwić dalszą eksploatację.
  • Łańcuchy exploitów: kombinacja OOB + UAF + memory-safety zwiększa szanse stabilnego RCE.

Rekomendacje operacyjne / co zrobić teraz

  1. Zaktualizuj Thunderbird do wersji z repozytoriów bezpieczeństwa Debiana:
    • bookworm: 1:140.4.0esr-1~deb12u1trixie: 1:140.4.0esr-1~deb13u1
      Następnie:
    sudo apt update sudo apt install --only-upgrade thunderbird # lub pełna aktualizacja środowiska sudo apt full-upgrade
  2. Restart aplikacji po aktualizacji – załadujesz nowe biblioteki.
  3. Twarde polityki treści po stronie serwera (dla CVE-2025-11712): serwuj poprawny Content-Type, rozważ CSP i blokadę typu „nosniff”.
  4. Ostrożność z linkami/załącznikami w wiadomościach – otwieraj w izolowanym profilu lub sandboxie.
  5. Monitoruj wydawnictwa MFSA/DSA i bazę OVAL Debiana, aby automatyzować zgodność (np. skanery zgodne z DSA/OVAL).

Różnice / porównania z innymi przypadkami

  • To nie jest pojedyncza „krytyczna” luka 0-day jak wtyczki multimedialne; to pakiet poprawek zgodny z rutynowym cyklem ESR.
  • W porównaniu z biuletynami dla Firefox 144, klasy memory-safety są wspólne i mają podobny profil ryzyka – Debian przenosi te poprawki do gałęzi ESR Thunderbirda.

Podsumowanie / kluczowe wnioski

  • Zainstaluj aktualizację z DSA-6040-1 natychmiast – redukuje ryzyko RCE i wycieków pamięci.
  • Najbardziej ryzykowne elementy to use-after-free oraz błędy WebGL/IPC; nawet jeśli nie aktywują się przy zwykłym czytaniu maili, mogą zostać wykorzystane w scenariuszach przeglądarkowych.

Źródła / bibliografia

  • Debian Security Advisory DSA-6040-1: thunderbird security update, 26 października 2025 r. (lists.debian.org)
  • MFSA 2025-85: Security Vulnerabilities fixed in Thunderbird 140.4, 14 października 2025 r. (Mozilla)
  • Mozilla: opisy zbiorczych memory-safety (11714, 11715) powiązane z Firefox 144/ESR 140.4. (Mozilla)
  • NVD – karta CVE-2025-11708 (use-after-free, zasięg produktów). (NVD)

Mem3nt0 mori: jak Kaspersky powiązał APT ForumTroll ze szpiegowskim Dante od Memento Labs (ex-Hacking Team)

Wprowadzenie do problemu / definicja luki

Kaspersky opisał dziś kulisy kampanii Operation ForumTroll (marzec 2025), w której kliknięcie spersonalizowanego linku phishingowego prowadziło do cichej infekcji przez przeglądarkę Chrome. Badacze wykryli i zgłosili nową podatność CVE-2025-2783 (sandbox escape w komponencie Mojo), którą Google załatał w stabilnym wydaniu 134.0.6998.177/.178 z 25 marca 2025 r.

W toku dalszej analizy Kaspersky powiązał tę kampanię i pokrewny arsenał z komercyjnym spyware “Dante” rozwijanym przez Memento Labs — firmę, którą świat znał wcześniej jako Hacking Team.

W skrócie

  • Wejście: e-mail phishingowy ze spersonalizowanym, krótkotrwałym URL-em; sama wizyta w witrynie uruchamiała exploit 0-day na Chrome (Windows).
  • Eksploit: CVE-2025-2783 — eskalacja z sandboksa (Mojo/IPC), potwierdzona przez Google i NVD; poprawka 25.03.2025.
  • Łańcuch: validator → exploit → persistent loader → etap LeetAgent → właściwe moduły szpiegowskie (Dante).
  • Atrybucja: zbieżności kodu, TTP, ścieżek FS, mechanizmów trwałości oraz jawne ciągi “Dante” w binariach; kontynuacja linii RCS (Da Vinci/Galileo) po rebrandingu Hacking Team → Memento Labs.

Kontekst / historia / powiązania

Hacking Team to jedna z najbardziej rozpoznawalnych marek rynku spyware (RCS: Da Vinci/Galileo). Po wycieku ~400 GB danych w 2015 r. firma została w 2019 r. przejęta przez InTheCyber i przemianowana na Memento Labs. W 2023 r. na konferencji ISS World MEA firma ujawniła nazwę nowego produktu: DANTE. Według Kaspersky’ego kod RCS ewoluował do 2022 r., gdy został zastąpiony przez Dante.

Szersze mapowanie rynku komercyjnego spyware (NSO/Intellexa/Candiru/Paragon/Quadream/RCS Labs/Memento Labs itd.) potwierdza ciągłość działalności dostawców po rebrandingu.

Analiza techniczna / szczegóły luki

Łańcuch ataku (high-level)

  1. Phishing URL (krótko żyjący, spersonalizowany) → 2. Validator (sprawdza środowisko) → 3. Exploit CVE-2025-2783 (ucieczka z sandboksa Chrome/Windows) → 4. Persistent loader (utrwalenie) → 5. LeetAgent (staging/koordynacja) → 6. Dante (moduły szpiegowskie).

CVE-2025-2783 (Chrome Mojo)

  • Błąd klasy incorrect handle w Mojo IPC na Windows umożliwiający sandbox escape przy udziale złośliwego pliku/strony.
  • Status: wykryty in-the-wild, załatany 25.03.2025; zgłaszający: Boris Larin, Igor Kuznetsov (Kaspersky); wektor CVSS3.1 wg CISA-ADP: AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H (8.3).

Artefakty i IOCs (wybrane wzorce)

  • Folder modułów: w %LocalAppData%, nazwy katalogu i plików bez rozszerzeń to 8-bajtowe Base64; jeden z plików ma nazwę równą katalogowi — to pomocny wzorzec detekcyjny aktywnej infekcji.
  • Próbki: Kaspersky publikuje skróty (loader/LeetAgent/Dante) w sekcji IOCs.

Atrybucja do Dante / Memento Labs

  • Po zdjęciu VMProtect odkryto ciągi “Dante” oraz odniesienie do wersji “2.0” zgodne z nazwą prelekcji ISS World MEA 2023; wykryto liczne podobieństwa kodowe między późnymi próbkami RCS a Dante. Wniosek: nowy produkt zastąpił dotychczasową bazę w 2022 r.

Praktyczne konsekwencje / ryzyko

  • Ataki bezklikalne po kliknięciu linku: samo otwarcie strony w Chrome wystarczało do naruszenia (brak dodatkowej interakcji).
  • Ryzyko pełnego przejęcia hosta: sandbox escape w Chrome połączony z loaderem i modułami daje zdolności pełnego szpiegostwa (zrzuty ekranu, exfiltracja, keylogging, audio/wideo — typowe dla linii RCS/Dante).
  • Cele wysokoprofilowe: charakter kampanii (APT, spear-phishing, krótkotrwała infrastruktura) wskazuje na ukierunkowaną cyber-szpiegowską operację.

Rekomendacje operacyjne / co zrobić teraz

1) Natychmiastowe działania IT/SecOps

  • Zaktualizuj Chrome do ≥ 134.0.6998.177/.178 (Windows); sprawdź kanał Extended Stable.
  • Hunting po artefaktach: przeszukaj %LocalAppData% pod kątem katalogów/plików nazwanych 8-bajtowym Base64 (bez rozszerzeń) oraz zbieżnych mechanizmów trwałości. Zweryfikuj hosty z podejrzanymi folderami.
  • Weryfikacja IOCs: porównaj próbki z hashami opublikowanymi przez Kaspersky (loader/LeetAgent/Dante).

2) Detekcja i twardnienie

  • EDR/XDR: reguły pod CVE-2025-2783 (Mojo/handle dup), ładowanie niezaufanych DLL, nietypowe child-procesy Chrome → LOLBins, tworzenie trwałości przez rzadko używane ścieżki użytkownika. (Wzorce zgodne z opisem łańcucha Kaspersky).
  • Gateway/Proxy: czasowo-ograniczone, spersonalizowane URL-e — wzmacniać detekcję na krótko żyjące domeny, TLS fingerprinting, anomalię HTTP.
  • Kontrola przeglądarki: polityki blokujące ładowanie Mojo IPC z nieznanych źródeł, ograniczanie rozszerzeń, izolacja profili uprzywilejowanych.

3) Zarządzanie podatnościami

  • CVE-2025-2783 znajduje się w CISA KEV — egzekwuj priorytetową poprawkę zgodnie z terminem BOD 22-01 (organizacje publiczne/regulated).

4) Świadomość i procedury

  • Trenuj rozpoznawanie spear-phishingu i politykę bezpiecznego otwierania linków (otwieranie w przeglądarce izolowanej/VDI dla wrażliwych ról).

Różnice / porównania z innymi przypadkami

  • Pegasus/Intellexa/Candiru vs. Dante: ekosystemy różnią się łańcuchami eksploatacji (mobilne vs. desktopowe), ale model biznesowy (ofensywne zdolności dla rządów) i ukrywanie tożsamości w kodzie są wspólne. W przypadku Dante rzadki jest wprost odnaleziony znacznik nazwy w binariach, co ułatwiło atrybucję.
  • RCS (Da Vinci/Galileo) → Dante: ciągłość kodowa i TTP sugeruje ewolucję produktu po rebrandingu Hacking Team → Memento Labs (2022: przejście na Dante).

Podsumowanie / kluczowe wnioski

  • Operation ForumTroll to przykład APT-grade browser exploit chain: phishing → Chrome 0-day (CVE-2025-2783) → staged spyware. Google załatał błąd 25.03.2025.
  • Atrybucja do Dante/Memento Labs została potwierdzona kombinacją cech kodu, TTP i artefaktów — to “powrót” Hacking Team w nowej odsłonie.
  • Organizacje powinny patchować, huntować wg wzorców FS/IOC, wzmacniać EDR/XDR i segmentować ryzyko przeglądarki.

Źródła / bibliografia

  1. Kaspersky Securelist – “Mem3nt0 mori – The Hacking Team is back! / How we linked ForumTroll APT to Dante spyware” (analiza łańcucha, IOCs, atrybucja do Dante/Memento Labs), 27.10.2025. (Securelist)
  2. Google – Chrome Releases: Stable Channel Update for Desktop 134.0.6998.177/.178 (potwierdzenie CVE-2025-2783; “exploited in the wild”), 25.03.2025. (Chrome Releases)
  3. NVD (NIST) – CVE-2025-2783 (opis, odwołanie do CISA KEV, wektor CVSS), aktual. 24.10.2025. (NVD)
  4. Kaspersky Blog – Operation ForumTroll: APT attack with Google Chrome zero-day exploit chain, 25.03.2025. (Securelist)
  5. Atlantic Council – “Mythical Beasts and where to find them: Mapping the global spyware market…” (kontekst rynku, Memento Labs/Hacking Team), 04.09.2024. (Atlantic Council)