Archiwa: APT - Strona 47 z 52 - Security Bez Tabu

Tag: APT

Belgijskie i węgierskie podmioty dyplomatyczne celem kampanii szpiegowskiej powiązanej z Chinami (UNC6384)

Wprowadzenie do problemu / definicja luki

Arctic Wolf Labs opisało aktywną kampanię cyber-szpiegowską przypisywaną grupie UNC6384 ukierunkowaną na podmioty dyplomatyczne w Belgii i na Węgrzech (oraz inne cele w Europie). Ataki datowane są na wrzesień–październik 2025 r. i wykorzystują spreparowane skróty Windows (.lnk), które nadużywają podatności ZDI-CAN-25373 – techniki pozwalającej ukryć wykonanie poleceń poprzez manipulację argumentami w plikach LNK. Końcowym ładunkiem jest PlugX (SOGU) – znany trojan zdalnego dostępu często łączony z grupami powiązanymi z ChRL.

W skrócie

  • Cele: placówki rządowe i dyplomatyczne w Belgii i na Węgrzech; dodatkowo obserwowano cele w Serbii, Włoszech i Holandii.
  • Wejście: spear-phishing z linkiem do wieloetapowego droppera LNK z motywami spotkań KE/NATO.
  • Eksploatacja: nadużycie ZDI-CAN-25373 (Windows LNK) do wywołania PowerShell i rozpakowania archiwum TAR; brak oficjalnej poprawki od Microsoft według Trend Micro/ZDI (stan na publikację).
  • Payload: PlugX ładowany przez DLL side-loading legalnego narzędzia Canon IJ Printer Assistant (cnmpaui.exe).
  • Atrybucja: UNC6384 oceniany jako aktor „PRC-nexus”, z przecięciem TTP/infrastruktury do Mustang Panda.

Kontekst / historia / powiązania

W sierpniu 2025 r. Google Threat Intelligence Group (GTIG) ujawniła wcześniejszą odsłonę kampanii UNC6384 wymierzoną w dyplomatów w Azji Południowo-Wschodniej. Tam atakujący przejmowali captive portal, podszywali się pod „Adobe plugin update” i w końcu dostarczali SOGU/PlugX przy użyciu side-loadingu komponentów Canona (STATICPLUGIN → MSI → CANONSTAGER).

Równocześnie PlugX pozostaje w centrum zainteresowania organów ścigania: 14 stycznia 2025 r. Departament Sprawiedliwości USA ogłosił operację usunięcia tej rodziny malware z ~4 258 komputerów w USA, wiążąc infekcje z Mustang Panda/Twill Typhoon.
The Record podkreśla, że PlugX od lat jest używany przez szereg chińskich grup, a działania DoJ to kontynuacja globalnych wysiłków po wcześniejszych przejęciach infrastruktury C2.

Analiza techniczna / szczegóły luki

Łańcuch ataku (wariant europejski obserwowany przez Arctic Wolf):

  1. Spear-phishing z agendami spotkań KE, warsztatów NATO i wydarzeń wielostronnych.
  2. Kliknięcie prowadzi do pobrania LNK, który nadużywa ZDI-CAN-25373 – podatności w sposobie obsługi argumentów w LNK (whitespace padding w strukturze COMMAND_LINE_ARGUMENTS).
  3. LNK uruchamia PowerShell, który wydobywa i rozpakowuje plik TAR (np. rjnlzlkfe.ta) do katalogu %AppData%\Local\Temp.
  4. Następnie wykonywany jest cnmpaui.exe (legalny binarny Canon), który side-loaduje złośliwą cnmpaui.dll i odszyfrowuje ładunek PlugX (np. cnmplog.dat).

ZDI-CAN-25373 (aka ZDI-25-148): Trend Micro/ZDI opisuje wieloletnie i szerokie nadużycia tej słabości przez co najmniej 11 ugrupowań APT (KR/IR/RU/CN). Microsoft – według ZDI – nie wydał poprawki, co wymusza polityki ograniczania LNK i detekcje behawioralne.

PlugX/SOGU: wielofunkcyjny RAT znany od co najmniej 2008 r., zapewniający m.in. keylogging, exfiltrację plików, trwałość i zdalne sterowanie; stale ewoluuje (warianty Korplug/TIGERPLUG/SOGU).

Wybrane wskaźniki (IOC) z kampanii UNC6384 (Arctic Wolf):

  • Przykładowe nazwy/hashe:
    Agenda_Meeting 26 Sep Brussels.lnk (SHA-256: 911cccd2…5fca539), cnmpaui.exe (Canon, legit), cnmpaui.dll (loader), cnmplog.dat (zaszyfrowany PlugX), rjnlzlkfe.ta (TAR).
  • Domeny C2 m.in.: racineupci[.]org, dorareco[.]net, naturadeco[.]net, cseconline[.]org.

Praktyczne konsekwencje / ryzyko

  • Priorytetowe cele wywiadowcze: dokumenty niejawne, stanowiska negocjacyjne, kalendarze i trasy podróży, wgląd w procesy decyzyjne UE/NATO.
  • Brak patcha na kluczową technikę (ZDI-CAN-25373) zwiększa ryzyko ponownego wejścia i długotrwałej obecności atakującego.
  • Realistyczne wektory obejścia kontroli: dokumenty-wabiki zgodne z realnym kalendarzem wydarzeń, podpisane binaria, TLS/HTTPS i side-loading u wiarygodnych producentów.

Rekomendacje operacyjne / co zrobić teraz

Prewencja i twardnienie:

  • Ogranicz/filtruj LNK z nieufnych lokalizacji; rozważ wyłączenie automatycznego rozwijania skrótów w Explorerze (zgodnie z zaleceniami AW/Trend).
  • Blokuj domeny C2 z raportu Arctic Wolf; monitoruj ewentualne próby łączności (telemetria proxy/EDR).
  • Application Control/allow-listing dla narzędzi producentów (np. cnmpaui.exe) i blokowanie side-loadingu z niestandardowych ścieżek.
  • TLS inspection tam, gdzie to możliwe prawnie/organizacyjnie – atakujący używają prawidłowych certyfikatów (Let’s Encrypt).

Wykrywanie i hunting (przykłady):

  • Szukaj wywołań cmd.exe/powershell.exe z rodzicem .lnk (reguły/hunty wg Trend Micro).
  • Poluj na Canon IJ Printer Assistant uruchamiany z niestandardowych ścieżek (np. %AppData%) i współwystępowanie plików cnmpaui.exe/.dll/.dat.
  • Koreluj nietypowe żądania do gstatic → redirect → „plugin update” (artefakty kampanii GTIG/captive portal).

Reakcja i ograniczanie skutków:

  • Jeżeli wykryto ślady PlugX/UNC6384: izoluj hosty, zbierz pamięć/artefakty, wymuś rotację poświadczeń, wdróż reguły EDR/YARA dla skojarzonych wskaźników oraz zastosuj segmentację sieci.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

  • UNC6384 (Europa, 2025): spear-phishing + LNK/ZDI-CAN-25373 → Canon side-loading → PlugX.
  • UNC6384 (APAC, 2025 – GTIG): AitM/captive portal hijack → STATICPLUGIN (signed) → MSI → CANONSTAGER → SOGU/PlugX.
  • Mustang Panda (operacje 2024/2025): szerokie użycie PlugX; DoJ/FBI przeprowadziły bezprecedensowe oczyszczenie >4,2 tys. hostów z PlugX (USB-borne warianty).

Podsumowanie / kluczowe wnioski

  • Kampania UNC6384 pokazuje szybką adopcję świeżo ujawnionych technik (LNK/ZDI-CAN-25373) i wysoki realizm socjotechniki (agendy KE/NATO).
  • PlugX nadal pozostaje kluczowym narzędziem chińskich operacji szpiegowskich pomimo głośnych działań organów ścigania; jego ekosystem ewoluuje (od klasycznych backdoorów po warianty USB).
  • Brak łatki dla ZDI-CAN-25373 wymusza kompensacje proceduralne i detekcyjne – od blokowania LNK, przez allow-listing, po agresywny hunting TTP.

Źródła / bibliografia

  1. The Record: „Diplomatic entities in Belgium and Hungary hacked in China-linked spy campaign”, 30 października 2025 r. (The Record from Recorded Future)
  2. Arctic Wolf Labs: „UNC6384 Weaponizes ZDI-CAN-25373…”, 30 października 2025 r. (szczegóły TTP/IOC). (Arctic Wolf)
  3. Google Threat Intelligence Group (GTIG): „PRC-Nexus Espionage Campaign Hijacks Web Traffic…”, 25 sierpnia 2025 r. (wariant captive-portal/AitM). (Google Cloud)
  4. Trend Micro / ZDI: „ZDI-CAN-25373: Windows Shortcut Exploit Abused as Zero-Day…”, 18 marca 2025 r. (opis luki, brak patcha, hunting). (www.trendmicro.com)
  5. US DoJ: „Justice Department and FBI Conduct International Operation to Delete PlugX…”, 14 stycznia 2025 r. (operacja usunięcia PlugX z ~4 258 systemów). (Department of Justice)

CISA i NSA publikują wytyczne hartowania Microsoft Exchange. Co powinni zrobić administratorzy już dziś?

Wprowadzenie do problemu / definicja luki

CISA i NSA – we współpracy z australijskim ACSC i kanadyjskim Cyber Centre – opublikowały spójny dokument „Microsoft Exchange Server Security Best Practices”, zawierający praktyczne wytyczne hartowania on-premises Exchange’a. Agencje podkreślają, że środowiska Exchange należy traktować jako zagrożone „tu i teraz” oraz wymuszają podejście prewencyjne: minimalny przywilej, szybkie aktualizacje, redukcja powierzchni ataku, silna kryptografia w transporcie.

W skrócie

  • Najważniejsza obrona: bieżące CU/SU i hotfixy oraz migracja z wersji EOL. Od 14 października 2025 r. jedyną wspieraną on-prem wersją jest Exchange Server Subscription Edition (SE).
  • Włącz i utrzymuj usługę Exchange Emergency Mitigation (EM), korzystaj z Health Checker i SetupAssist.
  • Utwardzaj uwierzytelnianie: MFA, Modern Auth/OAuth 2.0, rezygnacja z NTLMv1, przygotowanie do wycofania NTLM; preferuj Kerberos + SMBv3.
  • Kryptografia i ochrona w transporcie: spójne TLS, Extended Protection przeciw relay/AitM, HSTS.
  • Redukcja powierzchni ataku: cert-based signing dla Exchange Management Shell, ograniczenie zdalnego PowerShella, RBAC/split permissions, Download Domains, detekcja manipulacji nagłówkiem P2 FROM.

Kontekst / historia / powiązania

Nowe wytyczne pojawiają się po serii incydentów i ostrzeżeń – m.in. po wakacyjnej Emergency Directive ED 25-02 dotyczącej poważnej luki w konfiguracjach hybrydowych (CVE-2025-53786), która umożliwia pivot z on-prem do Exchange Online. Nadal tysiące serwerów pozostaje niezałatanych.

Analiza techniczna / szczegóły luki

Dokument agencji porządkuje obronę w trzech filarach:

  1. Hartowanie uwierzytelniania i dostępu
  • MFA + Modern Auth (OAuth 2.0) dla administratorów i użytkowników.
  • Wyłączenie NTLMv1, audyt użycia NTLM i plan migracji (docelowo brak NTLM); preferuj Kerberos.
  • RBAC z podziałem obowiązków (split permissions), ograniczenie kont uprzywilejowanych tylko do autoryzowanych stacji.
  1. Silne szyfrowanie i ochrona kanałów
  • Spójna konfiguracja TLS na wszystkich węzłach; Extended Protection (EP) chroniąca przed AitM/relay/forwarding (domyślna od Exchange 2019 CU14 na nowych instalacjach).
  • HSTS dla konsol www i klienta; zgodne ustawienia NTLM/TLS jako warunek działania EP.
  1. Minimalizacja powierzchni ataku aplikacji
  • Exchange Emergency Mitigation (EM) aktywna i nadzorowana (OCS, URL Rewrite, wyłączanie podatnych usług/App Pools).
  • Health Checker i SetupAssist przed/po aktualizacjach.
  • Cert-based signing dla serializacji (Exchange Management Shell), domyślnie od SU 11/2023.
  • Wyłączenie zdalnego PowerShella dla użytkowników, jeśli niepotrzebny.
  • Download Domains dla ochrony przed CSRF.
  • Detekcja P2 FROM header spoofing (domyślna od SU 11/2024) + reguły transportowe.

Dodatkowo: włączenie funkcji ochronnych Windows/Defender (AMSI, ASR, AppLocker/WDAC) i EDR; własne anty-spam/anty-malware Exchange.

Praktyczne konsekwencje / ryzyko

  • Ryzyko przejęcia domeny przy pivotach z on-prem do M365 w konfiguracjach hybrydowych; ślady w logach M365 mogą być ograniczone.
  • Utrzymanie EOL 2016/2019 po 14.10.2025 zwiększa ekspozycję (brak poprawek, łatwy wektor dla APT/fin-crime).
  • Ataki relay/AitM na kanały uwierzytelniania bez EP/HSTS i spójnego TLS.

Rekomendacje operacyjne / co zrobić teraz

  1. Aktualizacje: natychmiast do najnowszego CU + SU, zaplanuj cykl: 2×CU/rok + miesięczne SU/hotfixy. Zweryfikuj Health Checker/SetupAssist.
  2. Migracja: jeśli używasz Exchange 2016/2019 – migracja do SE lub usługi wspieranej; serwery EOL odseparuj, nie wystawiaj bezpośrednio do Internetu.
  3. EM Service: upewnij się, że Exchange EM działa i ma łączność do OCS (telemetria w Event Log + dedykowany log).
  4. Uwierzytelnianie: wymuś MFA + Modern Auth, audyt NTLM, plan rezygnacji, Kerberos/SMBv3 jako standard.
  5. Transport: ujednolić TLS, włączyć Extended Protection (po spełnieniu prerekwizytów), dodać HSTS.
  6. Powierzchnia ataku:
    • cert-signing EMS, wyłącz zdalny PowerShell dla userów, Download Domains, detekcja P2 FROM, RBAC z rozdziałem obowiązków.
    • Włącz AMSI/ASR/EDR, anty-spam/anty-malware Exchange.
  7. Hybryda (jeśli dotyczy): przeanalizuj zaszłości po ED 25-02 / CVE-2025-53786 – reset SP, przejście na Exchange Hybrid App, weryfikacja uprawnień i dzienników.

Różnice / porównania z innymi przypadkami

  • W przeciwieństwie do doraźnych „workaroundów” publikowanych między patchami, ten materiał to spójny blueprint prewencyjny obejmujący hardening, a nie jedynie pojedyncze CVE.
  • Wytyczne akcentują wycofywanie NTLM i EP/HSTS – komponenty często pomijane w starszych hardening-checklistach z czasów ProxyLogon/ProxyShell.

Podsumowanie / kluczowe wnioski

  • Traktuj Exchange jak system o krytycznej ekspozycji – aktualizuj, migruj z EOL, stosuj MFA/Modern Auth, EP/HSTS i ogranicz uprawnienia.
  • Utrzymuj EM, monitoruj i automatyzuj remediację.
  • W hybrydach usuń „długi ogon” zaufania między on-prem a M365 zgodnie z rekomendacjami po ED 25-02.

Źródła / bibliografia

  1. NSA/CISA/ACSC/Cyber Centre – „Microsoft Exchange Server Security Best Practices”, październik 2025 (PDF). Kluczowe: EP, NTLM, EM, HSTS, RBAC, P2 FROM, EOL 14.10.2025. (CISA)
  2. Canadian Centre for Cyber Security – komunikat o wspólnej publikacji; data modyfikacji 30 października 2025. (Canadian Centre for Cyber Security)
  3. BleepingComputer – omówienie wytycznych, kontekst ED 25-02/CVE-2025-53786 i dane o skali ekspozycji. (BleepingComputer)
  4. Cybersecurity Dive / CyberScoop – materiały prasowe nt. publikacji i nacisk na aktualizacje/CU. (cybersecuritydive.com)

Ribbon Communications naruszone przez hakerów sponsorowanych przez państwo — co wiemy i jak się chronić

Wprowadzenie do problemu / definicja luki

Ribbon Communications — dostawca rozwiązań sieciowych i usług komunikacji chmurowej dla operatorów telekomunikacyjnych oraz klientów rządowych — ujawnił, że jego sieć IT została naruszona przez grupę przypisywaną aktorowi państwowemu. Firma wykryła incydent na początku września 2025 r., a ślady wskazują, że pierwszy dostęp mógł nastąpić już w grudniu 2024 r. Firma zakończyła nieautoryzowany dostęp i prowadzi dochodzenie z udziałem zewnętrznych ekspertów i organów ścigania.

W skrócie

  • Czas trwania: od ~grudnia 2024 r. do wykrycia we wrześniu 2025 r.
  • Skala: brak dowodów na kradzież „informacji materialnych” spółki; dostęp do plików kilku klientów na dwóch laptopach poza główną siecią.
  • Atrybucja: aktor powiązany z państwem; bez publicznego wskazania konkretnej grupy.
  • Wpływ finansowy: spółka nie spodziewa się istotnego wpływu na wyniki; przewiduje dodatkowe koszty śledztwa i wzmocnienia zabezpieczeń w 4Q2025.

Kontekst / historia / powiązania

Incydent wpisuje się w serię ujawnionych w latach 2024–2025 operacji cyberszpiegowskich przeciw operatorom telekomunikacyjnym i powiązanym dostawcom infrastruktury. Amerykańskie agencje (CISA, FBI, NSA) ostrzegały m.in. przed kampanią Salt Typhoon wymierzoną w dostawców telekomunikacyjnych w USA i na świecie, obejmującą długotrwałe utrzymywanie dostępu i wykradanie metadanych połączeń oraz treści niezaszyfrowanych komunikacji.
O sprawie Ribbon pisały również serwisy branżowe i agencje prasowe, potwierdzając skalę i charakter ataku (aktor państwowy, długie utrzymanie się w środowisku).

Analiza techniczna / szczegóły incydentu

Publiczna dokumentacja ujawnia kluczowe fakty operacyjne, ale nie zawiera szczegółów TTPs (narzędzia, techniki, procedury). Na podstawie zgłoszenia SEC wiadomo, że:

  • dostęp uzyskano do sieci IT (nie wskazano na kompromitację sieci produkcyjnych/telekomowych),
  • dwa laptopy znajdujące się poza główną siecią zawierały pliki klientów i zostały odczytane przez napastników,
  • brak dowodów na eksfiltrację „informacji materialnych” spółki; dochodzenie trwa.

Biorąc pod uwagę wcześniejsze kampanie przeciw telkomom (np. Salt Typhoon), realistyczny scenariusz obejmuje mieszankę technik: spear-phishing i/lub nadużycie dostawcy zewnętrznego (Initial Access), długotrwałe living-off-the-land, kradzież poświadczeń, pivotowanie do zasobów z danymi klientów oraz ostrożną eksfiltrację porcji danych, by nie wywoływać alarmów. Jest to inferencja na podstawie publicznych porad bezpieczeństwa dot. tej klasy kampanii.

Praktyczne konsekwencje / ryzyko

  • Ryzyko dla klientów Ribbon: narażenie wybranych plików klientów (detale nieujawnione) może skutkować wtórnymi atakami (spear-phishing ukierunkowany, nadużycia konfiguracji, socjotechnika na łańcuch dostaw).
  • Ryzyko sektorowe: ataki państwowe na łańcuch dostaw telekomunikacji mają na celu metadane połączeń, lokalizację, a czasem treści niezaszyfrowanej komunikacji; w przeszłości odnotowano dostęp do danych podsłuchowych u operatorów.
  • Ryzyko regulacyjne i kontraktowe: potencjalne obowiązki notyfikacyjne, audyty klientów krytycznej infrastruktury, ryzyko utraty zaufania przy przetargach publicznych (DoD i inni).

Rekomendacje operacyjne / co zrobić teraz

Dla klientów i partnerów Ribbon (CISO, SecOps, GRC):

  1. Weryfikacja ekspozycji: poproś o listę potencjalnie dotkniętych zasobów/plików i zakres czasowy; oceń, czy dane uwierzytelniające/konfiguracje mogły się znaleźć w tych plikach.
  2. Reset i rotacja sekretów: natychmiastowa rotacja haseł, kluczy API, certyfikatów powiązanych z kontami/usługami współdzielonymi z Ribbon (zasada „assume compromise”).
  3. Hardening i detekcja pod TTPs APT: wdrożenie zaleceń z poradnika CISA/NSA dot. długotrwałych kampanii przeciw telkomom (m.in. EDR z blokowaniem LOLBins, segmentacja, weryfikacja dostawców M365/IdP, monitorowanie exfiltracji, DLP).
  4. Minimalizacja danych na punktach końcowych: egzekwuj politykę „no customer data on endpoints” + pełne szyfrowanie dysków i DLP na stacjach, żeby uniknąć powtórki ze scenariusza „laptopy poza siecią”.
  5. Zastępcze kanały szyfrowane: tam, gdzie to możliwe, przenieś wrażliwą komunikację na end-to-end encrypted (E2EE), co redukuje wartość przechwyconego ruchu.

Dla samych operatorów telco i dostawców infrastruktury:

  • Zero Trust w praktyce: weryfikacja tożsamości i stanu urządzeń, polityki least privilege, just-in-time access.
  • Telekom-specyficzny threat hunting: anomalia w CDR, SS7/Diameter/SIP, nieautoryzowane sondy LI (lawful intercept), proxy exfiltracyjne do chmur współdzielonych. (Na podstawie trendów opisanych przez agencje USA).
  • Testy odzyskiwania i tabletopy: symuluj długotrwały APT w łańcuchu dostaw (prolonged dwell time).

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

W przeciwieństwie do głośnych wycieków z 2024–2025, gdzie agencje USA potwierdzały kradzież danych podsłuchowych i metadanych u wielu operatorów (kampania Salt Typhoon), w sprawie Ribbon nie ma obecnie dowodów na eksfiltrację informacji materialnych spółki; potwierdzono natomiast wgląd w wybrane pliki klientów na endpointach poza główną siecią. Innymi słowy: charakter szkód wygląda bardziej na punktowy incydent w łańcuchu dostaw niż bezpośrednie zagnieżdżenie się w core’owych sieciach telekomowych.

Podsumowanie / kluczowe wnioski

  • To kolejny sygnał, że łańcuch dostaw telekomunikacji pozostaje celem APT, a długi dwell time (miesiące) jest nadal normą.
  • Najsłabszym ogniwem bywają punkty końcowe z danymi klientów poza głównymi segmentami, dlatego egzekwowanie polityk DLP i E2EE to dziś „must-have”.
  • Organizacje współpracujące z dostawcami telco powinny przeprowadzić natychmiastowy przegląd sekretów i dostępów oraz wdrożyć zalecenia z najnowszych CSA CISA/NSA.

Źródła / bibliografia

  • SEC 10-Q (Ribbon Communications, 23 października 2025): oficjalne ujawnienie incydentu (sekcja Cybersecurity Incident Disclosure). (SEC)
  • BleepingComputer (30 października 2025): opracowanie incydentu i kontekstu sektorowego. (BleepingComputer)
  • Reuters (29–30 października 2025): potwierdzenie skali czasowej i atrybucji na poziomie „nation-state”. (Reuters)
  • SecurityWeek (30 października 2025): tło dotyczące roli Ribbon jako dostawcy „backbone tech”. (SecurityWeek)
  • CISA/NSA CSA (3 września 2025): wskazówki operacyjne i TTPs kampanii wymierzonych w telkomy (Salt Typhoon). (cisa.gov)

FAQ: ISA/IEC 62443 W Praktyce

Czym jest ISA/IEC 62443 i dlaczego jest ważna?

ISA/IEC 62443 to rodzina międzynarodowych standardów cyberbezpieczeństwa dedykowanych systemom automatyki i sterowania przemysłowego (Industrial Automation and Control Systems, IACS) oraz infrastrukturze OT (Operational Technology). Powstała z inicjatywy ISA (International Society of Automation) jako seria ISA-99, a następnie została przyjęta przez IEC pod numerem 62443. Standardy te zostały opracowane konsensualnie przez ekspertów z branży i są jedynym tak kompleksowym, uzgodnionym globalnie zestawem wymagań dla bezpieczeństwa systemów przemysłowych.

Czytaj dalej „FAQ: ISA/IEC 62443 W Praktyce”

Cloud Atlas atakuje rosyjską branżę rolną przed forum branżowym — analiza techniczna, ryzyko i zalecenia

Wprowadzenie do problemu / definicja luki

Grupa APT Cloud Atlas (znana także jako Inception) przeprowadziła kolejną kampanię cyberszpiegowską wymierzoną w rosyjski sektor rolno-spożywczy. Ataki wykorzystują przynęty związane z programem nadchodzącego forum rolniczego w Moskwie (30 października 2025 r.) oraz klasyczną podatność CVE-2017-11882 w edytorze równań MS Office, co umożliwia zdalne wykonanie kodu po otwarciu spreparowanego dokumentu. Kampanię jako pierwsza publicznie opisała redakcja The Record, na podstawie analiz rosyjskiej firmy F6.

W skrócie

  • Cel: przedsiębiorstwa agro-przemysłowe w Rosji (co najmniej jedna ofiara z października; wcześniejsze cele we IX–X 2025).
  • Wejście: spear-phishing z dokumentem .doc zawierającym łańcuch prowadzący do eksploatacji CVE-2017-11882 (RTF template injection).
  • Ładunek: rodzina narzędzi Cloud Atlas, m.in. VBShower z dalszym dogrywaniem modułów; w 2024 r. obserwowano także VBCloud/PowerShower.
  • Trend: utrzymywanie wieloetapowej, znanej od lat ścieżki infekcji, okresowe eksperymenty z dostarczaniem ładunku i nietypowymi strefami domen.

Kontekst / historia / powiązania

Cloud Atlas jest aktywna co najmniej od 2014 r., konsekwentnie stosując kampanie spear-phishingowe wobec podmiotów rządowych i sektorów strategicznych w regionie Europy Wschodniej i Azji Centralnej. W ostatnich latach grupa była regularnie łączona z celami w Rosji i Białorusi.

Analiza techniczna / szczegóły luki

Wejście i przynęta. W październiku 2025 r. F6 zarejestrowało wiadomości z konta mkrutij@list[.]ru z załącznikiem „Программа Форум Зерно и масличные.doc”, który faktycznie zawiera program konferencji. Analogiczna fala ze września używała tematu „Бланк ТЧ” i innego nadawcy (glotovao56@yandex[.]ru).

Łańcuch eksploatacji. Dokument-loader pobiera przez mechanizm RTF template plik RTF z exploitem CVE-2017-11882, po czym dociąga droppera (us.txt) i uruchamia VBShower z C2 ukrytym za ścieżkami URL na domenie kommando[.]live. Wcześniejsze łańcuchy korzystały również z hostów regioninvest[.]net i news-freebase[.]com.

CVE-2017-11882. To przepełnienie bufora w Equation Editor (EQNEDT32.exe), pozwalające na RCE bez interakcji poza otwarciem dokumentu. Mimo łatki z 2017 r. podatność pozostaje powszechnie nadużywana.

Moduły po infekcji. W arsenal Cloud Atlas od lat obserwuje się VBShower/PowerShower; w 2024 r. Kaspersky opisał nowy backdoor VBCloud ładowany właśnie przez VBShower (z opcją dociągania pluginów i komunikacją przez chmurę).

Infrastruktura i TTP. F6 wskazuje na nietypowe dla grupy strefy domen (np. .live, .online, .cfd) oraz łączenie ról domen (ładowanie szablonu i C2 na jednym hostu), podczas gdy historycznie rozdzielano etapy (template/C2/PowerShower) między różne domeny.

Praktyczne konsekwencje / ryzyko

  • Łańcuch kompatybilny z „starymi” stacjami: wystarczy niezałatany Office lub legacy EQNEDT32.exe; w środowiskach z uprawnieniami lokalnych adminów skutki obejmują pełne przejęcie hosta.
  • Ryzyko wycieku IP i danych operacyjnych w łańcuchach dostaw rolno-spożywczych (receptury, logistyka, planowanie zasiewów/zbiorów, zakup komponentów). Wskazania F6 sugerują, że część przynęt dotyczyła także podmiotów obronnych.
  • Utrzymywanie się skuteczności „starej” podatności wspierane czynnikiem ludzkim (otwieranie dokumentów) i technicznym (brak twardych zasad makr/załączników).

Rekomendacje operacyjne / co zrobić teraz

  1. Wyłącz i usuń Equation Editor (EQNEDT32.exe) w GPO/SCCM; zweryfikuj binarki Office pod kątem obecności komponentu. Zaimplementuj „Office Attack Surface Reduction” i politykę blokowania RTF z internetowej strefy pochodzenia. (Dotyczy CVE-2017-11882 i vektorów RTF.)
  2. Patch management: potwierdź wdrożenie biuletynów z 2017 r. i późniejszych dla Office; przeprowadź skan podatności pod kątem CVE-2017-11882.
  3. Filtry pocztowe i detekcje:
    • Blokuj/monitoruj rozszerzenia .rtf, .hta, .lnk, .cmd w załącznikach; skanuj „template injection” w RTF.
    • Reguły EDR/IDS na sekwencję: WINWORD.exe -> eqnedt32.exe -> powershell.exe/cscript.exe + nietypowe ruchy do domen podobnych do kommando[.]live, regioninvest[.]net.
  4. Network hardening: egress-allowlist dla serwisów HTTP/HTTPS, TLS inspection z uwzględnieniem nietypowych ścieżek URL; DNS sinkhole dla znanych IoC z raportu F6.
  5. Awareness i procesy: micro-szkolenia przed wydarzeniami branżowymi (podniesione ryzyko przynęt „agenda/plan konferencji”), weryfikacja zaproszeń z out-of-band.
  6. Hunting (przykładowe hipotezy):
    • Wyszukaj dokumenty Word odwołujące się do zewnętrznych szablonów RTF (Event ID/O365 audit).
    • Artefakty VBShower/PowerShower/VBCloud w %TEMP%, harmonogramie zadań i RunKeys; nietypowe User-Agent w Invoke-RestMethod.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

W porównaniu z wcześniejszymi opisami kampanii Cloud Atlas (2019–2024) obecna fala nadal opiera się na dobrze znanym łańcuchu (phish → RTF/CVE-2017-11882 → VBShower), ale wyraźniej eksperymentuje z etapami dostarczania i strefami domen. Zbieżne obserwacje pojawiały się w materiałach Kaspersky (stabilne TTP + nowe implanty) oraz Check Point (utrzymanie stałych technik, zmiana przynęt wg bieżącego kontekstu).

Podsumowanie / kluczowe wnioski

  • Cloud Atlas wykorzystuje wydarzenia branżowe jako wiarygodne przynęty i nadal z powodzeniem eksploatuje historyczną lukę CVE-2017-11882.
  • Mimo „wiekowych” technik, efektywność ataków pozostaje wysoka — decydują higiena systemów i czynnik ludzki.
  • Priorytetami defensywnymi są: deprecjacja EQNEDT32, twarde polityki dla dokumentów Office/RTF, egress-kontrola i hunting pod kątem rodziny VBShower/PowerShower/VBCloud.

Źródła / bibliografia

  1. The Record — opis kampanii na sektor rolny (29 października 2025). (The Record from Recorded Future)
  2. F6 — analiza techniczna ostatnich ataków (28 października 2025). (f6.ru)
  3. Kaspersky Securelist — „Cloud Atlas attacks with new backdoor VBCloud” (23 grudnia 2024). (securelist.com)
  4. Palo Alto Networks Unit 42 — analiza CVE-2017-11882 (2017–2018). (Unit 42)
  5. Check Point Research — cele w Rosji i na Białorusi (grudzień 2022). (Check Point Research)

Kanada: hacktywiści naruszyli systemy wody, energii i rolnictwa. Co wiemy i jak reagować

Wprowadzenie do problemu / definicja luki

Kanadyjskie Canadian Centre for Cyber Security (Cyber Centre) ostrzegło 29 października 2025 r., że tzw. hacktywiści wielokrotnie uzyskali dostęp do internetowo wystawionych systemów sterowania przemysłowego (ICS/OT) w kraju. W trzech udokumentowanych przypadkach doszło do manipulacji parametrami procesowymi w: zakładzie wodociągowym (ciśnienie wody), firmie naftowo-gazowej (Automated Tank Gauge – ATG) oraz w silosie do suszenia zboża (temperatura i wilgotność). Ataki miały charakter okazjonalny i oportunistyczny, ale realnie groziły niebezpiecznymi warunkami pracy instalacji.

W skrócie

  • Co się stało: hacktywiści wykorzystali bezpośrednio wystawione do Internetu elementy ICS/HMI/SCADA, uzyskując możliwość zmiany nastaw i wywołania alarmów/zakłóceń.
  • Skala ryzyka: degradacja usług komunalnych, błędne alarmy w sektorze O&G, potencjalnie niebezpieczne warunki w rolnictwie – bez katastrofalnych skutków, ale z niską barierą wejścia dla napastników.
  • Trend: rośnie liczba „mało wyrafinowanych” ataków na OT/ICS, co wcześniej sygnalizowała też CISA.
  • Dlaczego teraz: ekspozycja ICS do sieci publicznej + słabe uwierzytelnianie = szybkie „trofea” dla grup szukających rozgłosu (przykład: wpadka prorosyjnej grupy TwoNet na przynęcie-honeypocie).

Kontekst / historia / powiązania

Ostrzeżenie Cyber Centre wpisuje się w globalny trend: od 2024 r. rośnie aktywność grup hacktivist uderzających w infrastrukturę krytyczną – często prosto i głośno, dla efektu medialnego. CISA już w maju 2025 r. alarmowała o „niewyrafinowanych aktorach” celujących w ICS/SCADA w sektorach O&G, wody i żywności.
Równolegle raporty Dragos wskazywały, że część „hacktywistów” zaczęła łączyć działania z ransomware, co zwiększa presję na operatorów OT (Handala, Kill Security, CyberVolk – przykłady z 2024 r.).
Na świeżo: w październiku 2025 r. badacze Forescout ujawnili, że prorosyjna grupa TwoNet chwaliła się „zhakowaniem” wodociągów – w rzeczywistości był to sprytnie przygotowany honeypot OT/ICS. Incydent obnażył techniki oparte na słabych hasłach do HMI i manipulacji setpointami/zdarzeniami.

Analiza techniczna / szczegóły luki

Z ostrzeżenia AL25-016 wynika, że wektor nr 1 to po prostu ekspozycja urządzeń OT do Internetu (np. PLC, RTU, HMI, SCADA, SIS, BMS, IIoT) – często z domyślnymi/dzielonymi kontami lub bez MFA. Skutki obserwowane w Kanadzie:

  • Woda: manipulacja wartościami ciśnienia → spadek jakości/ciągłości usługi dla społeczności.
  • O&G: manipulacja ATG (Automated Tank Gauge) → fałszywe alarmy.
  • Rolnictwo: zmiany temperatury/wilgotności w silosie suszarniczym → warunki potencjalnie niebezpieczne, gdyby nie szybkie wykrycie.

W praktyce takie ataki często wykorzystują:

  • Zdalne usługi (np. otwarte HTTP/VNC/RDP/VPN bez MFA) do paneli HMI/SCADA.
  • Słabe/lokalne konta (valid accounts) zamiast exploitów 0-day.
  • Prostą manipulację procesem (zmiana setpointów, wyłączanie alarmów/logów), jak pokazał przypadek TwoNet w honeypocie.

Praktyczne konsekwencje / ryzyko

  • Bezpieczeństwo procesowe: nawet krótkotrwała zmiana parametrów (ciśnienie, temp., poziom zbiorników) może prowadzić do stanu niebezpiecznego.
  • Ciągłość działania: fałszywe alarmy ATG = kosztowne przerwy i inspekcje.
  • Reputacja/regulator: incydenty w wodzie/energetyce szybko trafiają do mediów i mogą skutkować sankcjami nadzorczymi.
  • Eskalacja taktyk: część grup hacktywistycznych łączy działania z ransomware, co zwiększa ryzyko długotrwałych zakłóceń i wycieku danych.

Rekomendacje operacyjne / co zrobić teraz

Na bazie zaleceń Cyber Centre (AL25-016) oraz dobrych praktyk OT/ICS:

  1. Inwentaryzacja i „de-exposure” (D+E):
    • Zrób pełną listę wszystkich urządzeń ICS dostępnych z Internetu.
    • Wyłącz bezpośrednią ekspozycję – preferuj VPN z 2FA i listami uprawnień; jeśli musisz zostawić dostęp, wprowadź wzmożone monitorowanie.
  2. Kontrole dostępu: odetnij domyślne konta, wprowadź MFA dla wszystkich ról zdalnych, segmentację sieci (IT/OT) i zasadę najmniejszych uprawnień.
  3. Monitoring i testy:
    • IPS/IDS dla ruchu przemysłowego (np. Modbus, DNP3), ciągły VA/PT i tabeltopy z jasno zdefiniowanymi rolami OT/IT.
  4. Higiena konfiguracji HMI/SCADA: wymuś timeout sesji, alarmy nieusuwalne bez zgody drugiej osoby (four-eyes), rejestrowanie zmian setpointów. (Wnioski także po analizie incydentu TwoNet-honeypot).
  5. Zgodność z wytycznymi: wdrażaj Cyber Security Readiness Goals (CRG) oraz dokumenty Cyber Centre dla ICS/CI jako „minimum operacyjne”.
  6. Zgłaszanie i współpraca: w Kanadzie – My Cyber Portal / contact@cyber.gc.ca i lokalna policja; w USA – śledź alerty CISA i przekazuj wskaźniki/artefakty.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

Klasyczne kampanie APT przeciw OT celują w długotrwałą infiltrację i precyzyjne uderzenia (zwykle „ciche”). Tu mamy ekspozycję + szybkie „kliknięcie” w HMI/ATG, często przy użyciu słabych haseł lub domyślnych konfiguracji – niski próg wejścia, wysoki PR. Przykład TwoNet pokazuje, że nawet „głośne” sukcesy bywały na przynęcie, ale techniki (wyłączenie logów/alarmów, manipulacja PLC) są realne i transferowalne do prawdziwych środowisk.

Podsumowanie / kluczowe wnioski

  • Nie zostawiaj HMI/SCADA/PLC w Internecie. To najkrótsza ścieżka do incydentu.
  • Prosta manipulacja nastawami może wystarczyć, by zakłócić usługi krytyczne.
  • Hacktywiści polują na łatwe cele – widoczność i rozgłos są dla nich równie ważne jak szkody.
  • Checklistę Cyber Centre potraktuj jako „baseline” na już; dalej – segmentacja, MFA, monitoring protokołów przemysłowych i ćwiczenia reagowania.

Źródła / bibliografia

  1. Canadian Centre for Cyber Security – AL25-016: Internet-accessible ICS abused by hacktivists (29.10.2025). Najważniejsze źródło faktów nt. kanadyjskich incydentów i zaleceń. (Canadian Centre for Cyber Security)
  2. BleepingComputer – Canada says hacktivists breached water and energy facilities (29.10.2025). Streszczenie i kontekst medialny. (BleepingComputer)
  3. CISA – Unsophisticated cyber actor(s) targeting OT (06.05.2025). Szerszy trend uderzeń w ICS/SCADA. (cisa.gov)
  4. Forescout (Vedere Labs) – Anatomy of a Hacktivist Attack: Russian-Aligned Group Targets OT/ICS (09.10.2025) oraz materiały prasowe wtórne (The Record). Przykład TwoNet/honeypot. (Forescout)
  5. Dragos – OT/ICS threats escalate… (25.02.2025). Trend: hacktywiści korzystają z ransomware. (dragos.com)

ISA/IEC 62443 – Kompletny Przewodnik Po Standardzie Cyberbezpieczeństwa OT/ICS

Czym jest standard ISA/IEC 62443 i dlaczego ma znaczenie dla bezpieczeństwa OT/ICS

ISA/IEC 62443 to międzynarodowa seria standardów definiujących wymagania i procesy dla cyberbezpieczeństwa systemów automatyki przemysłowej i sterowania (Industrial Automation and Control Systems, IACS) oraz infrastruktury OT. Standard ten został opracowany przez International Society of Automation (ISA) i przyjęty przez International Electrotechnical Commission (IEC), tworząc wspólne, konsensusowe ramy ochrony dla wszystkich sektorów przemysłu wykorzystujących systemy ICS.

Czytaj dalej „ISA/IEC 62443 – Kompletny Przewodnik Po Standardzie Cyberbezpieczeństwa OT/ICS”