Pomagamy Zrozumieć i Wdrażać Bezpieczeństwo
Wyobraź sobie, że przez kilka miesięcy budujesz proces bezpieczeństwa wokół konkretnego modelu AI.
Nie kolejne demo dla zarządu. Nie chatbota, który poprawia styl polityki bezpieczeństwa albo przygotowuje podsumowanie publicznego raportu. Model zaczyna wykonywać prawdziwą pracę.
Czytaj dalej „Fable 5 Wrócił. Problem Nie Zniknął. AI Lock-In W Cyberbezpieczeństwie”
Współczesne incydenty bezpieczeństwa coraz częściej pokazują, że wyłączenie infrastruktury command-and-control nie oznacza automatycznego usunięcia zagrożenia. W analizowanym przypadku napastnik wykorzystał legalne narzędzia administracyjne do zbudowania alternatywnego kanału dostępu, który pozostał aktywny nawet po zaniku głównej komunikacji z malware. To przykład nadużycia podejścia living-off-the-land oraz legalnych usług zdalnego dostępu do utrzymania persistence.
Szczególnie niebezpieczne jest to, że użyte komponenty nie muszą wyglądać jak klasyczne złośliwe oprogramowanie. Tailscale i OpenSSH są powszechnie stosowanymi narzędziami administracyjnymi, dlatego w słabiej monitorowanych środowiskach mogą funkcjonować długo bez wzbudzania podejrzeń.
Analizowana operacja nie została opisana jako działalność zaawansowanej grupy APT, lecz raczej mniej doświadczonego operatora, który mimo popełnianych błędów skutecznie przejął kilka systemów. To ważna obserwacja dla obrońców: skuteczny incydent nie wymaga dziś zaawansowanego arsenalu malware. W praktyce wystarczą darmowe narzędzia, podstawowe usługi zdalnego dostępu i konsekwentne działania operacyjne.
Z opisu wynika, że głównym celem atakującego było pozyskiwanie danych uwierzytelniających, zwłaszcza do bankowości elektronicznej, poczty e-mail i portali administracyjnych. Nie odnotowano typowych oznak ransomware, szerokiego ruchu lateralnego ani masowej eksfiltracji dokumentów. Taki profil wskazuje raczej na kampanię nastawioną na przejęcie kont i bezpośrednią monetyzację skradzionych poświadczeń.
Łańcuch ataku opierał się głównie na wykonaniu bezplikowym. W początkowej fazie użyto stagera VBScript z opóźnieniem, co miało utrudnić analizę w sandboxie. Następnie uruchamiany był loader PowerShell pobierający komponent .NET odpowiedzialny za załadowanie agenta Havoc Demon bez zapisywania właściwego implantu na dysku. Taki model ogranicza liczbę artefaktów plikowych i utrudnia wykrywanie metodami sygnaturowymi.
Do podniesienia uprawnień operator wykorzystywał mechanizm Start-Process z parametrem RunAs, czyli rozwiązanie zależne od interakcji użytkownika z oknem UAC. Nie był to cichy bypass, ale próba uzyskania zgody użytkownika w celu dalszej eskalacji. Po osiągnięciu wyższego poziomu uprawnień napastnik wdrożył kolejne mechanizmy utrzymania dostępu, w tym zadanie harmonogramu uruchamiane przy logowaniu z najwyższymi uprawnieniami, wstrzykiwanie shellcode do procesu Explorer.exe oraz zmodyfikowaną wersję RustDesk jako kanał zapasowy.
Do zbierania danych wykorzystano prosty keylogger napisany w Pythonie, zapisujący naciśnięcia klawiszy do lokalnego pliku. Co istotne, nie stosował on osobnego beaconingu ani automatycznej eksfiltracji. Operator pobierał dane ręcznie, logując się do systemu i odczytując zapisane keystroke’i. Dodatkowo używał narzędzia powercfg, aby zapobiec przechodzeniu stacji w stan uśpienia i wydłużyć czas aktywnego zbierania informacji.
Najważniejszy etap operacji nastąpił w chwili instalacji OpenSSH Server i Tailscale na stacji roboczej ofiary. Następnie host został dołączony do prywatnej sieci mesh kontrolowanej przez napastnika, skonfigurowano uwierzytelnianie kluczem SSH oraz uruchomiono tunel odwrotny. W praktyce oznaczało to zbudowanie niezależnego kanału administracyjnego działającego poza klasyczną infrastrukturą malware C2.
Taki dostęp nie wymagał wystawiania portów do Internetu i mógł działać przez zaufany, szyfrowany overlay sieciowy. Gdy serwer Havoc przestał odpowiadać, kanał oparty na Tailscale i OpenSSH nadal funkcjonował. Po późniejszym przywróceniu C2 implant wznowił komunikację bez konieczności ponownej infekcji, co pokazuje, że malware było tylko jednym z kilku równoległych sposobów kontroli nad hostem.
Największe ryzyko w tego rodzaju incydencie polega na błędnym założeniu, że zablokowanie beaconingu lub przejęcie serwera C2 kończy problem. Jeżeli napastnik wcześniej wdrożył legalne narzędzia zdalnego dostępu, może pozostać aktywny mimo pozornego sukcesu działań naprawczych. To otwiera drogę do ponownego wejścia, dalszego zbierania poświadczeń, rozszerzenia skali działań albo przygotowania kolejnych etapów ataku.
Dodatkowym wyzwaniem jest trudność detekcji. Tailscale i OpenSSH są legalnymi, podpisanymi narzędziami o uzasadnionych zastosowaniach administracyjnych. W organizacjach o słabej inwentaryzacji oprogramowania lub ograniczonym monitoringu endpointów ich obecność może nie wywołać żadnego alarmu. Jeśli obrona skupia się wyłącznie na złośliwych plikach, a nie na nietypowych zachowaniach systemu, taki kanał persistence może pozostać niewidoczny przez długi czas.
Dla małych i średnich firm szczególnie dotkliwe mogą być skutki finansowe wynikające z kradzieży poświadczeń do bankowości i poczty. Przejęcie skrzynek e-mail zwiększa ryzyko oszustw BEC, resetów haseł, podszywania się pod pracowników i manipulowania procesami płatniczymi. Nawet relatywnie prosty technicznie atak może więc przełożyć się na poważne straty operacyjne i reputacyjne.
Organizacje powinny traktować wykrycie komunikacji C2 jako początek pełnego polowania na persistence, a nie jako zakończenie incydentu. W praktyce oznacza to konieczność sprawdzenia wszystkich alternatywnych ścieżek dostępu, w tym usług mesh VPN, serwerów SSH, tuneli odwrotnych, narzędzi RMM oraz mechanizmów harmonogramu zadań.
W warstwie detekcyjnej warto wdrożyć alertowanie na instalację OpenSSH Server na stacjach roboczych Windows, o ile nie wynika to bezpośrednio z polityki administracyjnej. Należy również monitorować procesy i usługi powiązane z Tailscale na hostach, które standardowo nie korzystają z takiego oprogramowania. Cenne będą też reguły wykrywające użycie poleceń typu ssh -R, nietypowe uruchomienia wscript.exe z katalogów użytkownika, zadania harmonogramu uruchamiane z najwyższymi uprawnieniami oraz zmiany ustawień zasilania wykonywane przez powercfg.
Po stronie hardeningu warto ograniczyć możliwość instalacji nieautoryzowanego oprogramowania przez application control, zasadę least privilege i ścisłą kontrolę lokalnych administratorów. Dobrą praktyką pozostaje również segmentacja ruchu wychodzącego oraz blokowanie niezatwierdzonych usług, które mogą służyć do budowy trwałych tuneli do zewnętrznych sieci overlay.
W odpowiedzi na incydent należy zweryfikować co najmniej:
Kluczowe jest przyjęcie założenia, że legalne narzędzie administracyjne może pełnić rolę backdoora. Z tego powodu polityki bezpieczeństwa powinny oceniać przede wszystkim kontekst użycia, a nie wyłącznie reputację samej binarki.
Opisany incydent pokazuje wyraźną zmianę w praktyce operacyjnej cyberprzestępców: trwały dostęp do systemu nie musi już opierać się wyłącznie na klasycznym malware i dedykowanym serwerze C2. Połączenie legalnej sieci mesh VPN, serwera SSH i prostych mechanizmów persistence może wystarczyć do utrzymania kontroli nad hostem nawet po awarii lub przejęciu głównej infrastruktury atakującego.
Dla zespołów bezpieczeństwa najważniejszy wniosek jest prosty: remediacja nie może kończyć się na usunięciu implantu lub zablokowaniu komunikacji z C2. Konieczne jest aktywne poszukiwanie cichych, wtórnych kanałów dostępu, które wyglądają jak zwykłe narzędzia administracyjne, ale w praktyce pełnią funkcję trwałego backdoora.
W końcówce grudnia 2025 r. WebRAT (backdoor z funkcjami infostealera i spyware) zaczął być dystrybuowany przez GitHub w formie repozytoriów podszywających się pod proof-of-concept (PoC) exploitów na świeżo nagłaśniane podatności. Mechanizm jest prosty: ofiara szuka „działającego exploita”, trafia na repo z atrakcyjnym README i sekcją „Download”, a w praktyce pobiera hasłowany ZIP z ładunkiem malware.
To nie jest „luka” w GitHub jako platformie, tylko klasyczny atak socjotechniczny wykorzystujący zaufanie do publicznych repozytoriów, presję czasu („CVE jest gorące”) i chęć szybkiego uruchomienia PoC bez weryfikacji.
rasmanesc.exe), wabik-DLL oraz plik, którego nazwa zawiera hasło do ZIP. Dropper eskaluje uprawnienia, próbuje wyłączyć Defendera i pobiera właściwego WebRAT z twardo zaszytego URL. Solar 4RAYS opisywał WebRAT już w maju 2025 r. jako złośliwe oprogramowanie kradnące dane z przeglądarek, portfeli kryptowalutowych oraz kont m.in. Steam/Discord/Telegram, a także zdolne do podglądu ekranu i obserwacji przez webcam. Wątek dystrybucji obejmował m.in. cheaty, pirackie strony i nawet linki w komentarzach (np. pod filmami instruktażowymi).
Kaspersky zauważa, że w nowej odsłonie przynęta jest wyraźnie przesunięta w stronę studentów i mniej doświadczonych osób w infosec, które szukają PoC do nauki/testów i uruchamiają je na „normalnej” stacji roboczej zamiast w izolacji.
To wpisuje się w szerszy trend: atakujący budują wiarygodność fałszywych repozytoriów (dopieszczone README, tagi, commit-spam, instrukcje w wielu językach), a potem podstawiają komponent kradnący dane lub backdoora. Kaspersky opisał podobny wzorzec w kampanii GitVenom (setki repozytoriów z „projektami-wydmuszkami” i złośliwymi komponentami).
W kampanii WebRAT repozytoria podszywały się m.in. pod exploity dla podatności nagłaśnianych w mediach, w tym (przykłady z opisów kampanii):
Kaspersky zwraca uwagę na powtarzalny, „raportowy” układ opisów: przegląd podatności, warunki podatności, instrukcje pobrania i użycia, a nawet zalecenia mitygacji – z drobnymi różnicami w słownictwie, co pasuje do treści generowanych maszynowo.
W opisywanym wariancie archiwum zawierało cztery elementy (nazwy mogą się różnić, ale schemat się powtarza):
pass – 8511),payload.dll (korupcja PE, bez funkcji),rasmanesc.exe) orazstart_exp.bat, który sprowadza się do uruchomienia droppera (zwiększa szansę, że użytkownik kliknie „to co trzeba”). Według Kaspersky’ego rasmanesc.exe m.in.:
BleepingComputer doprecyzowuje, że WebRAT ma też kilka metod persystencji (m.in. modyfikacje rejestru, harmonogram zadań, „rozsiew” w katalogach systemowych).
W Securelist opublikowano m.in. przykładowe IOCs dla tej kampanii: listę złośliwych repozytoriów, domeny C2 oraz hashe (MD5) próbek, w tym MD5 dla rasmanesc.exe wskazywany w analizie.
Uwaga operacyjna: traktuj IOCs jako punkt startu (campaign-specific), a nie „pełną listę” — lepiej budować detekcje po zachowaniu (Defender tampering, BAT→EXE→download→execute, nietypowy ruch HTTP do nowych domen).
Jeśli użytkownik uruchomi taki „PoC”, ryzyko nie kończy się na jednorazowym incydencie. W opisach WebRAT pojawiają się m.in.:
W praktyce oznacza to kompromitację kont prywatnych i służbowych (SSO w przeglądarce, tokeny, menedżery haseł), a przy pracy na laptopie firmowym — realny wektor wejścia do organizacji.
start_exp.bat → rasmanesc.exe → połączenie HTTP(S) do świeżych/egzotycznych domen → zapis/uruchomienie kolejnego binarium. %Downloads% i katalogów tymczasowych (ASR/WDAC/AppLocker zależnie od środowiska),To, co wyróżnia WebRAT w tej odsłonie, to „opakowanie” ataku: zamiast typowego „cracka” mamy narrację stricte bezpieczeństwową (CVE, CVSS, mitigacje), co zwiększa skuteczność na osobach, które chcą wyglądać profesjonalnie („testuję podatność”), ale nie mają jeszcze twardej higieny operacyjnej.
Trend jest udokumentowany nie tylko w raportach vendorów, ale i w literaturze: analiza PoC na GitHub dla CVE z lat 2017–2021 wykazała, że da się znaleźć setki repozytoriów z oznakami złośliwości; autorzy raportują 899 takich repo na 47 285 badanych (~1,9%).
Prompty AI to nic innego jak instrukcje lub pytania, które zadajemy modelom sztucznej inteligencji (np. ChatGPT), aby uzyskać od nich użyteczną odpowiedź. Odpowiednio sformułowane prompty potrafią znacznie usprawnić pracę specjalistów ds. bezpieczeństwa informacji – od analizy zagrożeń, przez automatyzację żmudnych zadań, po cele edukacyjne. Nic dziwnego, że w ostatnim czasie ChatGPT stał się gorącym tematem w IT – znajduje coraz szersze zastosowanie, także w cybersecurity.
Czytaj dalej „Kompletny Przewodnik Po Promptach AI – Ponad 100 Gotowych Rozwiązań”
Cyberbezpieczeństwo to umiejętność bardzo poszukiwana w świecie technologii. Dlatego Cisco, wpływowa międzynarodowa firma specjalizująca się w sieciach i komunikacji, postanowiła wyjść naprzeciw potrzebom rynku, uruchamiając szkolenie z cyberbezpieczeństwa skierowane do początkujących. Ma ono na celu zapewnienie dostępu do podstawowej edukacji z zakresu etycznego hakowania.
Czytaj dalej „Cisco Wprowadza Darmowe 120-Godzinne Szkolenie Junior Cybersecurity Analyst”
W tym artykule opiszę zbiorczo wszystkie szanse, problemy i marzenia z którymi obecnie się zmagam i są związane bezpośrednio z projektem Security Bez Tabu oraz na jakim etapie są poszczególne projekty. Nie znajdziesz tu technikaliów. Planuje również odsyłać do tego postu jeśli pojawią się w najbliższej przyszłości pytania o książki, kursy itp.
Czytaj dalej „Jak To Jest Na Tę Chwilę Z #SBT?”
Miałem przyjemność udzielić wywiadu w ramach cyklu „Call for Tech” prowadzonego przez Dominik Jurek oraz Piotr Jurek, założycieli NEXT TECHNOLOGY PROFESSIONALS.
Czytaj dalej „Praca W Cybersecurity – Wywiad z Wojciechem Ciemskim”