Archiwa: Linux - Strona 22 z 43

Kampania Ghost wykorzystuje złośliwe pakiety npm do kradzieży portfeli kryptowalut i poświadczeń deweloperskich

Wprowadzenie do problemu / definicja

Kampania Ghost to kolejny przykład zagrożenia wymierzonego w łańcuch dostaw oprogramowania, w którym cyberprzestępcy wykorzystują zaufanie do ekosystemu npm. Złośliwe pakiety podszywają się pod przydatne biblioteki i narzędzia programistyczne, a ich rzeczywistym celem jest wyłudzenie uprawnień administracyjnych, pobranie kolejnych komponentów malware oraz kradzież danych o wysokiej wartości.

W praktyce oznacza to, że zwykła instalacja zależności może stać się punktem wejścia do kompromitacji stacji roboczej dewelopera. Szczególnie niebezpieczne jest to, że atak łączy techniki socjotechniczne z wieloetapowym łańcuchem infekcji, co utrudnia jego szybkie wykrycie.

W skrócie

Badacze zidentyfikowali co najmniej siedem pakietów npm powiązanych z kampanią Ghost. Pakiety były publikowane w sposób sugerujący legalne zastosowania, a ich instalacja imitowała standardowy proces działania npm.

atak wykorzystywał fałszywe komunikaty instalacyjne, by skłonić ofiarę do podania hasła sudo lub administratora,
po uzyskaniu poświadczeń malware pobierał kolejne etapy z zewnętrznej infrastruktury,
celem były między innymi portfele kryptowalutowe, hasła, klucze SSH oraz tokeny deweloperskie,
kampania szczególnie koncentrowała się na środowiskach macOS i projektach opartych o Node.js.

Kontekst / historia

Ataki na publiczne rejestry pakietów nie są nowością, jednak kampania Ghost pokazuje dojrzalszy model działania przestępców. Zamiast ograniczać się do prostego złośliwego skryptu, operatorzy budują pozory wiarygodności, publikując biblioteki o nazwach przypominających typowe komponenty wykorzystywane w codziennej pracy programistów.

W analizowanej aktywności widoczne są też podobieństwa do wcześniejszych obserwacji łączonych z nazwą GhostClaw. Chodzi przede wszystkim o wykorzystanie repozytoriów i projektów budujących reputację przez dłuższy czas, a następnie aktywujących złośliwe funkcje w odpowiednim momencie. To wpisuje się w szerszy trend, w którym atakujący coraz lepiej rozumieją workflow nowoczesnych zespołów developerskich, w tym użycie automatyzacji, skryptów shellowych i narzędzi AI.

Analiza techniczna

Techniczny schemat kampanii Ghost opiera się na kilku etapach. Pierwszy z nich to loader ukryty w pakiecie npm, który pełni jednocześnie rolę mechanizmu socjotechnicznego. Zamiast natychmiast uruchamiać jawnie złośliwe działania, pakiet generuje komunikaty mające wyglądać jak normalne logi instalacyjne.

Następnie użytkownik otrzymuje informację o rzekomym problemie z uprawnieniami zapisu lub konieczności dokończenia instalacji z użyciem wyższych uprawnień. W tym momencie ofiara jest nakłaniana do podania hasła administratora lub sudo. To kluczowy element całego ataku, ponieważ wiele osób pracujących w środowiskach developerskich nie uznaje takich żądań za całkowicie nietypowe.

Po przechwyceniu poświadczeń uruchamiany jest kolejny etap infekcji. Loader kontaktuje się z infrastrukturą zewnętrzną, aby pobrać adres właściwego ładunku oraz dane potrzebne do jego odszyfrowania lub uruchomienia. Taki model znacznie utrudnia analizę statyczną, ponieważ najważniejsze komponenty nie muszą być obecne bezpośrednio w samym pakiecie npm.

Końcowy malware odpowiada za kradzież danych i komunikację z serwerem sterującym. Według analiz zagrożenie może wykradać informacje z przeglądarek, portfeli kryptowalutowych, kluczy SSH, konfiguracji chmurowych oraz tokenów wykorzystywanych w narzędziach developerskich. W części wariantów wykorzystywano także skrypty setup.js i postinstall.js, dzięki czemu złośliwe działania były lepiej wtopione w standardowe procesy ekosystemu Node.js.

Istotnym elementem operacji było również maskowanie śladów. Badacze zwracali uwagę na czyszczenie terminala po wykonaniu kluczowych kroków oraz prezentowanie komunikatów o pomyślnej instalacji, mimo że w tle działały już procesy odpowiedzialne za eksfiltrację danych.

Konsekwencje / ryzyko

Ryzyko wynikające z kampanii Ghost jest bardzo wysokie, ponieważ nie ogranicza się do pojedynczej infekcji na stacji roboczej. Przejęcie kluczy SSH, tokenów CI/CD, poświadczeń przeglądarkowych czy sekretów chmurowych może stać się punktem wyjścia do dalszej kompromitacji repozytoriów kodu, pipeline’ów buildów, środowisk testowych i produkcyjnych.

W organizacjach rozwijających aplikacje Web3 lub przechowujących aktywa cyfrowe dodatkowym zagrożeniem jest utrata dostępu do portfeli kryptowalutowych. Co ważne, nawet szybkie wykrycie i usunięcie pakietu nie rozwiązuje problemu, jeśli wcześniej doszło do wycieku sekretów. Takie dane pozostają wartościowe dla napastników do momentu pełnej rotacji.

Z perspektywy obrony szczególnie niepokojące jest połączenie kilku klas zagrożeń naraz: kompromitacji supply chain, kradzieży poświadczeń i wieloetapowego malware. To wskazuje na operację zaprojektowaną z myślą o skali, automatyzacji i długotrwałej użyteczności.

Rekomendacje

Organizacje powinny potraktować ten incydent jako sygnał do zaostrzenia kontroli nad zależnościami zewnętrznymi i procesem instalacji pakietów. Samo zaufanie do popularnego rejestru nie jest już wystarczającym zabezpieczeniem.

ograniczyć instalację pakietów do zatwierdzonych źródeł i prywatnych mirrorów,
stosować allowlisty dla zależności używanych w projektach produkcyjnych,
monitorować użycie skryptów preinstall, postinstall i podobnych hooków,
wykrywać próby uruchamiania procesów shellowych, pobierania zdalnych komponentów i wyłudzania haseł,
unikać używania sudo podczas instalacji bibliotek, jeśli nie jest to formalnie wymagane,
regularnie rotować tokeny deweloperskie, klucze SSH i sekrety chmurowe,
monitorować endpointy macOS i Linux pod kątem nietypowych procesów uruchamianych przy instalacji npm,
szkolić programistów, że prośba o hasło administratora podczas instalacji biblioteki JavaScript powinna być traktowana jako sygnał alarmowy.

Jeżeli istnieje podejrzenie kontaktu z podejrzanym pakietem, należy natychmiast odizolować host, zabezpieczyć artefakty incydentu, unieważnić aktywne sesje i przeprowadzić pełną rotację wszystkich sekretów, do których system mógł mieć dostęp. Samo odinstalowanie pakietu nie powinno być uznawane za wystarczającą reakcję.

Podsumowanie

Kampania Ghost pokazuje, że ataki na ekosystem npm stają się coraz bardziej zaawansowane i celowane. Połączenie fałszywych logów instalacyjnych, wyłudzania hasła sudo, pobierania zewnętrznych komponentów i kradzieży danych wysokiej wartości sprawia, że zagrożenie wykracza poza prosty incydent malware.

Najważniejszy wniosek dla organizacji jest jasny: proces instalacji zależności musi być traktowany jako istotna powierzchnia ataku. Bez dodatkowych kontroli, monitoringu i edukacji zespołów developerskich nawet pojedynczy pakiet może stać się początkiem poważnego incydentu bezpieczeństwa.

Źródła

The Hacker News — https://thehackernews.com/2026/03/ghost-campaign-uses-7-npm-packages-to.html
ReversingLabs — https://www.reversinglabs.com/blog/ghost-campaign-malicious-npm-packages-target-crypto-wallets-and-developer-credentials
JFrog Security Research — https://jfrog.com/blog/ghostclaw-malware-campaign-targets-macos-developers-via-github-and-npm/
Jamf Threat Labs — https://www.jamf.com/blog/ghostclaw-macos-infostealer-github-ai-workflows/
Panther — https://panther.com/blog/malicious-npm-packages-ghost-campaign-analysis

Fałszywy „OpenClaw Deployer” na GitHubie roznosi trojana: kampania zatrutych repozytoriów celuje w deweloperów i graczy

Wprowadzenie do problemu / definicja

Publiczne repozytoria kodu od lat są fundamentem nowoczesnego rozwoju oprogramowania, ale jednocześnie stają się coraz atrakcyjniejszym kanałem dystrybucji malware. Najnowszy przypadek dotyczy fałszywego projektu „OpenClaw Deployer”, który podszywał się pod narzędzie do wdrażania konteneryzowanego rozwiązania AI, a w rzeczywistości dostarczał trojana kradnącego dane.

To przykład ataku na łańcuch dostaw oprogramowania, w którym zaufanie użytkownika budowane jest nie przez wiadomość phishingową, lecz przez wiarygodnie wyglądające repozytorium, dokumentację i pozory aktywnego rozwoju projektu.

W skrócie

Atakujący publikowali fałszywe repozytoria na GitHubie, podszywające się pod legalne narzędzia i pakiety.
Jednym z głównych wabików był projekt „OpenClaw Deployer”, wykorzystujący rozpoznawalny kontekst narzędzi AI.
Wspólnym elementem próbek był trojan oparty na LuaJIT, zdolny do kradzieży danych i komunikacji z infrastrukturą C2.
Malware wykonywało m.in. zrzuty ekranu, profilowanie ofiary, geolokalizację oraz eksfiltrację wrażliwych informacji.
Badacze powiązali z kampanią ponad 300 zatrutych pakietów, co wskazuje na szeroką i zautomatyzowaną operację.

Kontekst / historia

Złośliwe pakiety w publicznych repozytoriach nie są nowym zjawiskiem, jednak obecna kampania pokazuje wyraźną zmianę jakościową. Zamiast prostych przynęt i prymitywnych nazw projektów, operatorzy przygotowali rozbudowane repozytoria z instrukcjami instalacji, README dla systemów Linux i Windows oraz elementami mającymi budować wiarygodność.

Fałszywy „OpenClaw Deployer” wykorzystywał markę legalnego projektu jako przynętę, tworząc wrażenie autentycznego narzędzia związanego z realnym ekosystemem. Szczególnie niepokojące jest to, że w niektórych przypadkach projekt sprawiał wrażenie rozwijanego społecznie, co dodatkowo utrudniało szybkie odróżnienie oszustwa od prawdziwego oprogramowania open source.

To pokazuje, że współczesne kampanie supply chain coraz częściej polegają na budowie kompletnego środowiska pozorującego legalny projekt, a nie tylko na dostarczeniu pojedynczego złośliwego pliku.

Analiza techniczna

Od strony technicznej kampania została zaprojektowana tak, by utrudnić analizę automatyczną i klasyczną detekcję sygnaturową. Ładunek malware opierał się na architekturze dwuskładnikowej: jednym elementem był zmodyfikowany lub przemianowany interpreter Lua, a drugim zaszyfrowany skrypt zawierający właściwą logikę złośliwego działania.

Każdy z tych komponentów analizowany osobno mógł wydawać się niegroźny albo co najmniej nie ujawniał pełnego zachowania próbki. Dopiero ich wspólne uruchomienie aktywowało trojana. Taki model znacząco utrudnia pracę sandboxów i narzędzi statycznych, które często oceniają pojedyncze pliki, a nie cały kontekst wykonania.

Według opisu kampanii malware wykorzystywało także mechanizmy antyanalityczne. Jednym z nich było bardzo długie opóźnienie wykonania, które miało zniechęcić lub wyminąć środowiska analityczne działające przez ograniczony czas. Jednocześnie złośliwy kod szybko realizował działania o wysokiej wartości, takie jak natychmiastowy zrzut pulpitu oraz eksfiltracja danych do serwerów dowodzenia i kontroli.

Zakres zbieranych informacji sugeruje, że nie chodziło wyłącznie o jednorazową kradzież. Funkcje związane z identyfikacją środowiska, przechwytywaniem danych i oceną kontekstu pracy ofiary mogą stanowić podstawę do dalszej kompromitacji, przejęcia kont, sesji przeglądarek, portfeli kryptowalutowych czy dostępów do usług chmurowych.

Na poziomie operacyjnym uwagę zwraca skala kampanii. Sposób nazewnictwa pakietów oraz ich liczba wskazują, że proces tworzenia przynęt mógł być częściowo zautomatyzowany, prawdopodobnie z użyciem narzędzi AI. To oznacza możliwość szybkiego generowania kolejnych repozytoriów dostosowanych do popularnych trendów, niszowych zainteresowań i nowych grup docelowych.

Konsekwencje / ryzyko

Ryzyko związane z tą kampanią jest wysokie, ponieważ ofiarami mogą być użytkownicy o dużej wartości operacyjnej: deweloperzy, administratorzy, gracze korzystający z narzędzi pomocniczych, a także osoby uruchamiające niezweryfikowane skrypty lub pakiety z Internetu. Kompromitacja takiego systemu może prowadzić do przejęcia tokenów dostępowych, kluczy API, sekretów CI/CD, poświadczeń chmurowych oraz danych z menedżerów haseł.

Zagrożenie nie ogranicza się do pojedynczej stacji roboczej. Jeśli złośliwy pakiet zostanie uruchomiony w środowisku deweloperskim lub buildowym, może dojść do skażenia procesu tworzenia oprogramowania. W skrajnym scenariuszu jeden niezweryfikowany pakiet staje się początkiem szerszego incydentu supply chain obejmującego wewnętrzne repozytoria, pipeline’y i systemy produkcyjne.

Dodatkowym problemem jest wiarygodna oprawa projektów. Dla wielu użytkowników rozbudowany README, sensowna dokumentacja, obecność współautorów i pozornie aktywny rozwój są wystarczającą przesłanką do zaufania. Ten incydent pokazuje jednak, że takie wskaźniki nie mogą być traktowane jako dowód bezpieczeństwa.

Rekomendacje

Organizacje powinny zaostrzyć zasady korzystania z publicznych repozytoriów i narzędzi open source, zwłaszcza w środowiskach deweloperskich. Kluczowe jest ograniczenie możliwości bezpośredniego uruchamiania niezweryfikowanych pakietów pobranych z Internetu, nawet jeśli projekt wygląda profesjonalnie i jest powiązany z modnym obszarem, takim jak AI, automatyzacja czy gaming.

Weryfikować źródło repozytorium i reputację autora przed uruchomieniem kodu.
Skanować artefakty oraz analizować zależności przed wdrożeniem lub testami.
Izolować środowiska testowe i deweloperskie od produkcji oraz od krytycznych sekretów.
Stosować listy dozwolonych źródeł dla narzędzi buildowych i deploymentowych.
Monitorować nietypowe interpretery, loadery oraz procesy wykonujące szybkie zrzuty ekranu.
Wykrywać próby eksfiltracji do nieautoryzowanych serwerów C2.
Rotować poświadczenia po każdym podejrzeniu uruchomienia niezweryfikowanego pakietu.

Z perspektywy zespołów bezpieczeństwa szczególną uwagę warto zwracać na projekty zawierające dwa pozornie nieszkodliwe komponenty, takie jak przemianowany interpreter i zaszyfrowany plik danych. Taki wzorzec powinien być traktowany jako sygnał ostrzegawczy i kandydat do priorytetowej analizy.

Dobrą praktyką pozostaje również wzmacnianie ochrony kont deweloperskich poprzez MFA, segmentację dostępu do sekretów, stosowanie tymczasowych poświadczeń oraz regularny przegląd tokenów GitHub, kluczy SSH i integracji CI/CD. Warto także rozbudować procedury sandboxingu tak, aby odtwarzały rzeczywisty kontekst uruchomienia wieloskładnikowych aplikacji.

Podsumowanie

Fałszywy „OpenClaw Deployer” pokazuje, że malware dystrybuowany przez repozytoria kodu staje się coraz bardziej dojrzały, skalowalny i trudniejszy do wykrycia. Połączenie wiarygodnej otoczki projektu, modularnego ładunku opartego na LuaJIT, mechanizmów antyanalitycznych oraz masowej publikacji przynęt tworzy realne zagrożenie dla deweloperów, graczy i organizacji korzystających z otwartego ekosystemu oprogramowania.

Najważniejszy wniosek jest jednoznaczny: zaufanie do repozytorium nie może opierać się na estetyce projektu, liczbie plików czy pozornie profesjonalnej dokumentacji. W realiach, w których przeciwnicy potrafią masowo tworzyć przekonujące przynęty, bezpieczeństwo musi wynikać z technicznej weryfikacji, kontroli pochodzenia i ścisłej izolacji uruchamianego kodu.

Źródła

Dark Reading — GitHub 'OpenClaw Deployer’ Repo Delivers Trojan Instead — https://www.darkreading.com/application-security/github-openclaw-deployer-repo-delivers-trojan

Cisco FMC celem Interlock: krytyczna luka CVE-2026-20131 była wykorzystywana jako zero-day

Wprowadzenie do problemu / definicja

Krytyczna podatność CVE-2026-20131 w Cisco Secure Firewall Management Center (FMC) dotyczy interfejsu zarządzania WWW i umożliwia zdalne, nieuwierzytelnione wykonanie kodu z uprawnieniami root. Problem wynika z niebezpiecznej deserializacji danych dostarczanych przez użytkownika, co w praktyce może prowadzić do pełnego przejęcia podatnego urządzenia.

Sprawa nabrała szczególnego znaczenia po ujawnieniu, że luka była aktywnie wykorzystywana przez grupę ransomware Interlock jeszcze przed publikacją poprawki. Taki scenariusz oznacza klasyczny przypadek wykorzystania zero-day przeciwko infrastrukturze o wysokiej wartości operacyjnej.

W skrócie

CVE-2026-20131 to krytyczna luka RCE w Cisco FMC, możliwa do wykorzystania zdalnie i bez uwierzytelnienia. Atak polega na przesłaniu spreparowanego obiektu Java do podatnego interfejsu zarządzania.

podatność umożliwia wykonanie kodu jako root,
eksploatacja była prowadzona jeszcze przed publicznym ujawnieniem błędu,
kampanię powiązano z grupą Interlock i operacjami ransomware,
po uzyskaniu dostępu napastnicy wykorzystywali dodatkowe narzędzia do rozpoznania, utrzymania dostępu i ruchu bocznego.

Kontekst / historia

Cisco Secure Firewall Management Center pełni centralną rolę w administracji środowiskiem Cisco Secure Firewall. To oznacza, że kompromitacja FMC może mieć skutki znacznie szersze niż przejęcie pojedynczego hosta, ponieważ system ten zapewnia dostęp do polityk bezpieczeństwa, konfiguracji oraz informacji o architekturze sieci.

Publiczne ujawnienie podatności i publikacja poprawek nastąpiły na początku marca 2026 roku. Późniejsze analizy wykazały jednak, że aktywność związana z wykorzystaniem luki była obserwowana już od końca stycznia 2026 roku, co wskazuje na kilkutygodniowe okno narażenia przed dostępnością łat producenta.

Incydent wpisuje się również w szerszy trend rosnącego zainteresowania cyberprzestępców urządzeniami brzegowymi i systemami bezpieczeństwa. Tego typu platformy są atrakcyjnym celem, ponieważ po przejęciu mogą stać się zarówno punktem wejścia do sieci, jak i narzędziem do ukrywania dalszej aktywności.

Analiza techniczna

Źródłem problemu jest niebezpieczna deserializacja strumienia bajtów Java po stronie interfejsu webowego FMC. W praktyce atakujący może dostarczyć specjalnie przygotowany obiekt serializowany, który doprowadza do wykonania kodu na urządzeniu bez konieczności wcześniejszego logowania.

Zaobserwowane próby eksploatacji obejmowały żądania HTTP kierowane do podatnych komponentów interfejsu zarządzania. W treści żądań umieszczano kod oraz elementy służące do pobierania dodatkowej konfiguracji i potwierdzania skutecznego przejęcia systemu.

Po skutecznym wykorzystaniu luki napastnicy dostarczali złośliwy plik ELF dla systemów Linux oraz wykorzystywali infrastrukturę pośredniczącą do dystrybucji narzędzi i odbierania danych z naruszonych środowisk. Analiza kampanii wskazała na dobrze zorganizowany zestaw komponentów operacyjnych przygotowanych pod konkretne ofiary.

skrypty rekonesansu dla systemów Windows,
implant RAT w JavaScript z łącznością C2 po WebSocket,
równoległy implant w Javie jako zapasowy kanał dostępu,
skrypty Bash przygotowujące węzły pośredniczące i ukrywające ślady,
webshell działający wyłącznie w pamięci JVM,
lekki beacon do potwierdzania wykonania kodu i testowania łączności.

Istotnym elementem kampanii było także użycie legalnych narzędzi administracyjnych i ofensywnych, co utrudnia detekcję. Tego rodzaju aktywność może na pierwszy rzut oka przypominać standardowe działania administratorów, zwłaszcza w rozbudowanych środowiskach korporacyjnych.

Konsekwencje / ryzyko

Skuteczne wykorzystanie CVE-2026-20131 oznacza możliwość pełnego przejęcia Cisco FMC z najwyższymi uprawnieniami. Z perspektywy bezpieczeństwa to scenariusz szczególnie groźny, ponieważ system zarządzający zaporami znajduje się w centrum kontroli ruchu i polityk ochronnych.

Dla organizacji ryzyko ma kilka wymiarów. Po pierwsze, przejęte urządzenie może zostać użyte jako punkt wejścia do dalszej penetracji środowiska. Po drugie, napastnik może próbować modyfikować lub obchodzić mechanizmy ochronne. Po trzecie, przy kampanii ransomware pojawia się ryzyko kradzieży danych, utrzymania dostępu, ruchu bocznego oraz finalnego szyfrowania zasobów.

Szczególnie zagrożone są środowiska, w których interfejs zarządzania FMC był dostępny publicznie lub z mniej zaufanych segmentów sieci. Nawet ograniczenie ekspozycji nie daje jednak pełnej ochrony, jeśli atakujący zdobył wcześniej przyczółek w infrastrukturze.

Rekomendacje

Najważniejszym działaniem jest niezwłoczne wdrożenie poprawek bezpieczeństwa udostępnionych przez Cisco. Organizacje powinny jednocześnie założyć możliwość wcześniejszej kompromitacji, zwłaszcza jeśli urządzenia były wystawione do internetu lub osiągalne z szerokich segmentów wewnętrznych przed publikacją łaty.

zweryfikować wersję Cisco FMC i pilnie przeprowadzić aktualizację,
odciąć publiczny dostęp do interfejsu zarządzania,
ograniczyć dostęp administracyjny do wydzielonych sieci i stacji uprzywilejowanych,
przeanalizować logi HTTP, zdarzenia systemowe i telemetrię pod kątem nietypowych żądań,
sprawdzić połączenia wychodzące z FMC do nieznanych adresów i serwerów C2,
poszukać artefaktów pamięciowych i oznak webshelli bezplikowych,
zbadać środowiska Windows i Linux pod kątem rekonesansu, tuneli i śladów czyszczenia logów,
zweryfikować, czy nie doszło do ruchu bocznego i nadużyć poświadczeń,
wzmocnić defense-in-depth poprzez segmentację, monitoring i EDR/XDR.

W przypadku podejrzenia naruszenia sama aktualizacja nie wystarczy. Konieczne jest pełne dochodzenie incydentowe, ponieważ operatorzy ransomware mogli już uzyskać trwały dostęp do innych systemów.

Podsumowanie

CVE-2026-20131 pokazuje, jak niebezpieczne są podatności zero-day w systemach odpowiedzialnych za centralne zarządzanie bezpieczeństwem. W tym przypadku krytyczna luka w Cisco FMC była wykorzystywana przez Interlock jeszcze przed publicznym ujawnieniem, a sama kampania obejmowała znacznie więcej niż tylko prostą eksploatację błędu.

Dla obrońców to wyraźny sygnał, że urządzenia bezpieczeństwa i platformy administracyjne muszą być traktowane jak cele o najwyższym priorytecie. Szybkie łatanie, ograniczanie ekspozycji interfejsów zarządzania oraz aktywne monitorowanie oznak kompromitacji pozostają kluczowe dla ograniczenia skutków podobnych incydentów.

Źródła

Cisco FMC flaw was exploited by Interlock weeks before patch (CVE-2026-20131) — https://www.helpnetsecurity.com/2026/03/20/cisco-fmc-interlock-ransomware-cve-2026-20131/
Amazon threat intelligence teams identify Interlock ransomware campaign targeting enterprise firewalls — https://aws.amazon.com/blogs/security/amazon-threat-intelligence-teams-identify-interlock-ransomware-campaign-targeting-enterprise-firewalls/
Cisco Security Advisory: Cisco Secure Firewall Management Center Software Remote Code Execution Vulnerability — https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-rce-NKhnULJh

The Gentlemen: nowa grupa ransomware zwiększa presję na przedsiębiorstwa

Wprowadzenie do problemu / definicja

The Gentlemen to relatywnie nowa grupa ransomware, która w krótkim czasie zaznaczyła swoją obecność w krajobrazie zagrożeń wymierzonych w średnie i duże organizacje. Jej działania wpisują się w model podwójnego wymuszenia, w którym atakujący nie ograniczają się do szyfrowania danych, ale wcześniej je wykradają, aby zwiększyć presję negocjacyjną i utrudnić ofierze powrót do normalnego funkcjonowania.

W praktyce oznacza to, że incydent wywołany przez The Gentlemen może jednocześnie skutkować przestojem operacyjnym, stratami finansowymi, ryzykiem regulacyjnym oraz poważnymi konsekwencjami reputacyjnymi. To właśnie połączenie zakłócenia działalności i groźby ujawnienia danych sprawia, że grupa jest szczególnie niebezpieczna dla środowisk korporacyjnych.

W skrócie

The Gentlemen zostało zidentyfikowane jako aktywne zagrożenie w 2025 roku i szybko rozszerzyło skalę działań na różne sektory gospodarki. Publiczne analizy wskazują, że kampanie tej grupy obejmowały między innymi produkcję przemysłową, budownictwo, ochronę zdrowia oraz branżę ubezpieczeniową.

Grupa stosuje model podwójnego wymuszenia.
Ataki obejmują rekonesans, eksfiltrację danych i szyfrowanie systemów.
Operatorzy wykorzystują techniki unikania detekcji oraz nadużycia uprzywilejowanych kont.
Obserwowano zdolność do rozprzestrzeniania ładunku ransomware w środowiskach domenowych.
Zagrożenie dotyczy zarówno systemów Windows, jak i środowisk Linux oraz ESXi.

Kontekst / historia

Pierwsze szersze wzmianki o aktywności The Gentlemen zaczęły pojawiać się latem 2025 roku. Od sierpnia i września zainteresowanie badaczy wyraźnie wzrosło, głównie ze względu na tempo publikowania ofiar oraz dojrzałość stosowanych technik. To sugeruje, że za operacją mogą stać doświadczeni cyberprzestępcy, którzy wcześniej działali w innych kampaniach ransomware lub korzystali z podobnych narzędzi i procedur.

W analizach pojawia się również pytanie o model działania grupy. Część źródeł wskazuje na cechy zbliżone do ransomware-as-a-service, gdzie istotną rolę mogą odgrywać afilianci. Inne raporty podchodzą do tego ostrożniej, podkreślając brak jednoznacznych dowodów na klasyczny model usługowy. Niezależnie od tej różnicy interpretacyjnej obraz operacyjny pozostaje spójny: The Gentlemen działa w sposób zdyscyplinowany, dobrze rozpoznaje środowisko ofiary i potrafi skalować ataki.

Analiza techniczna

Z publicznych analiz wynika, że The Gentlemen prowadzi działania etapowo. W fazie dostępu początkowego podejrzewa się wykorzystanie usług wystawionych do internetu lub przejętych poświadczeń. Po uzyskaniu przyczółka operatorzy przechodzą do szczegółowego rozpoznania infrastruktury, w tym mapowania sieci, identyfikacji krytycznych zasobów i enumeracji kont uprzywilejowanych w Active Directory.

W kampaniach przypisywanych tej grupie obserwowano narzędzia do skanowania środowiska oraz skrypty służące do masowego sprawdzania użytkowników i grup administracyjnych. Takie przygotowanie pozwala napastnikom wytypować najbardziej wartościowe systemy, zaplanować ruch boczny i przygotować wdrożenie ransomware na poziomie domeny.

Na kolejnych etapach operatorzy stosują techniki ograniczające skuteczność mechanizmów ochronnych. W publicznych raportach wskazywano między innymi na nadużywanie legalnych sterowników, manipulacje zasadami grupowymi, używanie własnych narzędzi do wyłączania lub obchodzenia produktów bezpieczeństwa oraz zmiany w rejestrze zapewniające trwałość. Pojawiały się także wzmianki o wykorzystaniu oprogramowania zdalnego dostępu oraz szyfrowanych kanałów eksfiltracji danych.

Sam ładunek ransomware wygląda na przygotowany z myślą o środowiskach enterprise. Badacze opisywali mechanizmy ponownego uruchamiania po restarcie, automatyczny restart procesu szyfrowania, elastyczne tempo pracy oraz możliwość dystrybucji za pomocą WMI i PowerShell Remoting. W próbkach wskazywano również listy procesów i usług przeznaczonych do zatrzymania przed szyfrowaniem, w tym rozwiązania bazodanowe, backupowe, wirtualizacyjne oraz wybrane narzędzia zdalnego dostępu.

Dodatkowo część analiz wskazuje na obsługę wielu platform, w tym Windows, Linux i ESXi. To szczególnie istotne dla organizacji posiadających zwirtualizowane centra danych, ponieważ skuteczny atak na warstwę hypervisora może doprowadzić do jednoczesnego unieruchomienia wielu usług biznesowych.

Konsekwencje / ryzyko

Ryzyko związane z The Gentlemen wykracza daleko poza samo szyfrowanie plików. W modelu podwójnego wymuszenia nawet skuteczne odtworzenie systemów z kopii zapasowych nie rozwiązuje problemu, jeśli wcześniej doszło do kradzieży danych. Organizacja nadal może mierzyć się z groźbą ich ujawnienia, naciskiem negocjacyjnym oraz potencjalnymi roszczeniami i obowiązkami regulacyjnymi.

Dla przedsiębiorstw konsekwencje mogą obejmować:

przestoje operacyjne i wstrzymanie produkcji,
niedostępność usług biznesowych,
utratę poufnych informacji,
wysokie koszty obsługi incydentu i odtwarzania środowiska,
szkody reputacyjne i utratę zaufania klientów,
zakłócenia w łańcuchu dostaw oraz realizacji kontraktów.

Szczególnie niepokojące jest to, że ofiarami padały sektory o wysokim znaczeniu operacyjnym, takie jak produkcja, budownictwo czy ochrona zdrowia. W takich branżach skutki ataku mogą wykraczać poza jedną organizację i wpływać na partnerów, dostawców oraz odbiorców usług.

Rekomendacje

Organizacje powinny traktować aktywność The Gentlemen jako przykład dojrzałego ataku ransomware wymierzonego w środowiska korporacyjne. Kluczowe znaczenie ma ograniczanie dostępu początkowego, w tym pełne wdrożenie MFA, wyłączenie zbędnych usług dostępnych z internetu, regularne łatanie systemów oraz ścisła ochrona kont uprzywilejowanych.

W warstwie detekcji warto monitorować nietypową enumerację domeny, użycie narzędzi administracyjnych do ruchu bocznego, modyfikacje GPO, uruchamianie PowerShell Remoting, masowe zatrzymywanie usług oraz zmiany w kluczach autostartu rejestru. Szczególnej uwagi wymagają również próby dezaktywacji EDR, antywirusa i mechanizmów backupowych.

Duże znaczenie ma segmentacja sieci oraz separacja systemów krytycznych, zwłaszcza platform backupowych, kontrolerów domeny i serwerów wirtualizacji. Kopie zapasowe powinny być regularnie testowane pod kątem odtwarzania, logicznie lub fizycznie odseparowane od środowiska produkcyjnego oraz zabezpieczone przed usunięciem z poziomu kont domenowych.

Plan reagowania powinien uwzględniać scenariusz eksfiltracji danych. Obejmuje to izolację systemów, zabezpieczenie artefaktów, analizę ścieżki ruchu bocznego, reset poświadczeń uprzywilejowanych, ocenę zakresu wycieku oraz ścisłą współpracę zespołów bezpieczeństwa, IT, prawnych i komunikacyjnych. W środowiskach hybrydowych należy dodatkowo uwzględnić zależności z usługami chmurowymi oraz tożsamościami nieludzkimi.

Podsumowanie

The Gentlemen to przykład szybko dojrzewającej operacji ransomware, która łączy skuteczny rekonesans, techniki unikania detekcji, trwałość w systemie oraz model podwójnego wymuszenia. Niezależnie od tego, czy grupa rozwinie się w pełnoprawny ekosystem afiliacyjny, już dziś stanowi istotne zagrożenie dla przedsiębiorstw i infrastruktury o wysokiej wartości biznesowej.

Z perspektywy obrońców najważniejsze pozostaje nie tylko zapobieganie samemu szyfrowaniu, ale również wczesne wykrywanie rekonesansu, nadużywania kont uprzywilejowanych oraz prób wyłączenia zabezpieczeń. Firmy, które połączą twarde kontrole prewencyjne z dojrzałym monitoringiem i gotowością do reagowania, mają największą szansę ograniczyć skutki tego typu incydentów.

Źródła

Interlock wykorzystywał krytyczną lukę CVE-2026-20131 w Cisco FMC przed jej ujawnieniem

Wprowadzenie do problemu / definicja

CVE-2026-20131 to krytyczna podatność typu zdalne wykonanie kodu w Cisco Secure Firewall Management Center oraz Cisco Security Cloud Control Firewall Management. Błąd dotyczy webowego interfejsu zarządzania i umożliwia nieuwierzytelnionemu atakującemu uruchomienie dowolnego kodu z uprawnieniami roota, co stawia zagrożone systemy w grupie najwyższego ryzyka.

Szczególnie niebezpieczny jest fakt, że luka była wykorzystywana przez operatorów ransomware Interlock jeszcze przed jej publicznym ujawnieniem. Oznacza to, że część organizacji mogła zostać skompromitowana, zanim producent opublikował pełne informacje i poprawki bezpieczeństwa.

W skrócie

Grupa Interlock rozpoczęła wykorzystywanie CVE-2026-20131 już 26 stycznia 2026 roku, czyli 36 dni przed publicznym ujawnieniem podatności. Luka otrzymała maksymalną ocenę CVSS 10.0 i wynika z niebezpiecznej deserializacji w interfejsie WWW Cisco FMC.

Udane wykorzystanie podatności pozwala na zdalne wykonanie kodu bez uwierzytelnienia i przejęcie kontroli nad systemem z uprawnieniami roota. Cisco opublikowało poprawki na początku marca 2026 roku, a następnie potwierdziło obserwacje prób wykorzystania tej luki w rzeczywistych atakach.

atak bez uwierzytelnienia,
zdalne wykonanie kodu jako root,
wykorzystanie przed publicznym ujawnieniem,
powiązanie z kampaniami ransomware Interlock,
wysokie ryzyko dla publicznie dostępnych interfejsów zarządzających.

Kontekst / historia

Interlock to grupa ransomware aktywna co najmniej od września 2024 roku. Jej operacje były wiązane z atakami na organizacje z sektorów, w których presja operacyjna zwiększa skłonność do negocjacji lub zapłaty okupu, w tym ochronę zdrowia, edukację, przemysł i administrację.

Model działania grupy obejmuje nie tylko szyfrowanie danych, ale również ich kradzież, utrzymywanie długotrwałego dostępu oraz wykorzystywanie narzędzi wspierających ruch lateralny. W przypadku CVE-2026-20131 kluczowe znaczenie ma to, że aktywność napastników rozpoczęła się przed publicznym ostrzeżeniem producenta, co znacząco utrudniło organizacjom działania prewencyjne.

Badacze wykryli kampanię dzięki obserwacjom z sieci honeypotów i przekazali ustalenia producentowi. Cisco opublikowało advisory 4 marca 2026 roku, a 18 marca 2026 roku zaktualizowało komunikat, wskazując na świadomość prób wykorzystania podatności w środowisku rzeczywistym.

Analiza techniczna

Źródłem problemu jest niebezpieczna deserializacja strumienia bajtów Java dostarczanego do webowego interfejsu zarządzania. Tego typu klasa błędów należy do najgroźniejszych w aplikacjach opartych na Javie, ponieważ spreparowany obiekt może doprowadzić do wykonania kodu już na etapie przetwarzania danych wejściowych.

W analizowanych atakach obserwowano żądania HTTP zawierające próby wykonania kodu Java oraz elementy wspierające walidację skuteczności exploita. Mechanizm obejmował zarówno konfigurację ataku, jak i potwierdzenie przejęcia poprzez zwrotne żądanie HTTP PUT z wygenerowanym plikiem, co wskazuje na wysoki poziom automatyzacji kampanii.

Po uzyskaniu dostępu operatorzy pobierali złośliwe pliki ELF przeznaczone dla systemów Linux. Ujawniona infrastruktura napastników sugerowała uporządkowane zaplecze, w którym pojedynczy serwer hostował zestaw narzędzi i dane powiązane z konkretnymi ofiarami.

Kolejne etapy obejmowały uruchamianie skryptów PowerShell do rekonesansu środowiska, zbierania informacji o systemach, użytkownikach i danych przeglądarek. Następnie wdrażano niestandardowe trojany zdalnego dostępu napisane w JavaScript i Javie, umożliwiające wykonywanie poleceń, transfer plików oraz eksfiltrację danych przez szyfrowane kanały.

Badacze wskazali również na użycie bezplikowych webshelli działających w pamięci, infrastruktury proxy ukrywającej źródło ruchu oraz mechanizmów czyszczenia logów. Dodatkowo napastnicy nadużywali legalnych narzędzi zdalnego dostępu, co utrudniało rozróżnienie aktywności administracyjnej od działań intruza.

Konsekwencje / ryzyko

Ryzyko związane z CVE-2026-20131 jest krytyczne, ponieważ exploit nie wymaga uwierzytelnienia, a skuteczne wykorzystanie prowadzi bezpośrednio do wykonania kodu z najwyższymi uprawnieniami systemowymi. Dodatkowo atakowanym komponentem jest platforma zarządzania bezpieczeństwem sieciowym, czyli system o szerokiej widoczności i wysokim poziomie zaufania w infrastrukturze.

Kompromitacja Cisco FMC może umożliwić przeciwnikowi dostęp do informacji o politykach bezpieczeństwa, segmentacji sieci, zarządzanych urządzeniach oraz topologii środowiska. Taka wiedza ułatwia dalszy rekonesans, obchodzenie kontroli bezpieczeństwa i planowanie ruchu lateralnego.

W scenariuszu ransomware skutki mogą obejmować szyfrowanie danych, kradzież informacji, szantaż publikacją, przestoje operacyjne i znaczące koszty odtworzenia środowiska. Dodatkowym problemem pozostaje trudność detekcji wynikająca z użycia technik bezplikowych, legalnych narzędzi administracyjnych oraz czyszczenia artefaktów po ataku.

Rekomendacje

Organizacje korzystające z Cisco Secure FMC powinny niezwłocznie potwierdzić wdrożenie poprawek usuwających podatność. W przypadku Cisco Security Cloud Control, mimo modelu usługowego, zespoły bezpieczeństwa powinny zweryfikować status ochrony i przeanalizować dzienniki pod kątem oznak wcześniejszej kompromitacji.

Równolegle należy ograniczyć ekspozycję interfejsów zarządzających. Dostęp do paneli administracyjnych powinien być możliwy wyłącznie z wydzielonych sieci, przez VPN lub kontrolowane punkty pośredniczące z silnym uwierzytelnianiem i ograniczeniami adresowymi.

W obszarze detekcji warto przeprowadzić hunting pod kątem nietypowych żądań HTTP do interfejsu zarządzania, połączeń wychodzących z serwera FMC, żądań zwrotnych typu PUT, pobrań binariów ELF oraz uruchamiania procesów Java i PowerShell odbiegających od standardowego profilu pracy systemu.

zinwentaryzować wszystkie instancje Cisco FMC i SCC Firewall Management,
przejrzeć historię dostępu administracyjnego co najmniej od 26 stycznia 2026 roku,
przeprowadzić rotację poświadczeń po każdej podejrzanej aktywności,
sprawdzić oznaki ruchu lateralnego z systemów zarządzających,
wdrożyć reguły detekcyjne oparte na opublikowanych wskaźnikach kompromitacji,
odseparować systemy zarządzania bezpieczeństwem od pozostałych zasobów produkcyjnych,
przygotować scenariusz reagowania zakładający pełne przejęcie hosta zarządzającego.

Jeżeli istnieją przesłanki, że system mógł zostać skompromitowany jeszcze przed aktualizacją, samo usunięcie podatności nie powinno być uznane za wystarczające. Niezbędna jest analiza powłamaniowa, weryfikacja trwałości dostępu napastnika oraz ocena, czy nie doszło do eksfiltracji danych lub manipulacji konfiguracją.

Podsumowanie

Przypadek CVE-2026-20131 pokazuje, jak groźne pozostają podatności pre-auth w systemach zarządzania bezpieczeństwem. Interlock wykorzystywał krytyczną lukę w Cisco FMC przez ponad miesiąc przed jej publicznym ujawnieniem, uzyskując realną przewagę nad obrońcami.

Dla zespołów SOC, administratorów i właścicieli platform bezpieczeństwa najważniejsze wnioski są trzy: szybkie wdrażanie poprawek, minimalizacja ekspozycji interfejsów administracyjnych oraz aktywne poszukiwanie śladów wcześniejszego wykorzystania podatności. W przypadku tak wrażliwych systemów aktualizacja to dopiero początek, a nie koniec reakcji.

Źródła

FBI przejęło infrastrukturę Handala po ataku na Strykera. Legalne funkcje Intune wykorzystane jak cyberbroń

Wprowadzenie do problemu / definicja

Amerykańskie organy ścigania przejęły dwie witryny wykorzystywane przez grupę Handala, opisywaną jako proirański podmiot hacktywistyczny, po głośnym incydencie wymierzonym w firmę Stryker. Sprawa zwraca uwagę branży cyberbezpieczeństwa, ponieważ łączy działania destrukcyjne, operacje wpływu oraz nadużycie legalnych mechanizmów administracyjnych do masowego wymazywania urządzeń końcowych.

To istotny przykład współczesnego ataku, w którym napastnicy nie muszą używać klasycznego malware typu wiper. Wystarczy przejęcie odpowiednio uprzywilejowanych kont i wykorzystanie natywnych funkcji platform do zarządzania urządzeniami, aby osiągnąć podobny efekt operacyjny.

W skrócie

FBI przejęło dwie domeny wykorzystywane przez grupę Handala do publikacji i komunikacji operacyjnej.
Grupa została powiązana z atakiem na Strykera, w którym zresetowano około 80 tys. urządzeń.
Kluczowym elementem operacji miało być nadużycie funkcji zdalnego wymazywania w Microsoft Intune.
Incydent pokazuje, że legalne narzędzia administracyjne mogą zostać użyte jako broń destrukcyjna.

Kontekst / historia

Handala pojawiła się pod koniec 2023 roku i była wielokrotnie łączona z irańskim ekosystemem operacji cybernetycznych. Wcześniejsze kampanie grupy miały być wymierzone głównie w organizacje izraelskie, a analitycy bezpieczeństwa przypisywali jej również działania o charakterze destrukcyjnym przeciw systemom Windows i Linux.

W najnowszym incydencie grupa została powiązana z atakiem na amerykańskiego producenta technologii medycznych Stryker. Nie chodziło wyłącznie o eksfiltrację danych czy presję związaną z publikacją wycieku. Najważniejszym skutkiem operacji było zakłócenie ciągłości działania poprzez masowe przywracanie urządzeń do ustawień fabrycznych.

Równolegle organy ścigania uderzyły w publiczną infrastrukturę grupy. Tego typu działania mają zwykle ograniczyć zdolność napastników do prowadzenia komunikacji, publikowania materiałów z incydentu i wywierania presji na ofiary.

Analiza techniczna

Z dostępnych informacji wynika, że atakujący uzyskali dostęp do konta administratora domeny Windows, a następnie utworzyli nowe konto Global Administrator. Taki łańcuch eskalacji uprawnień jest wyjątkowo groźny, ponieważ łączy kontrolę nad środowiskiem lokalnym z możliwością wykonywania operacji administracyjnych w chmurze, systemach tożsamości i narzędziach do zarządzania punktami końcowymi.

Kluczową rolę odegrało użycie polecenia zdalnego wymazywania urządzeń w Microsoft Intune. Funkcja „wipe” została zaprojektowana jako legalny mechanizm administracyjny do przywracania urządzeń do ustawień fabrycznych oraz usuwania danych organizacyjnych i lokalnych konfiguracji. W scenariuszu ofensywnym może jednak działać jak narzędzie o skutkach porównywalnych z malware destrukcyjnym.

To ważna zmiana taktyczna. Zamiast tworzyć i dostarczać własny wiper, napastnik może nadużyć natywnych funkcji platformy MDM. Tego typu aktywność bywa trudniejsza do wykrycia na wczesnym etapie, ponieważ część działań wygląda jak standardowa administracja. W praktyce oznacza to, że skuteczna obrona zależy nie tylko od ochrony przed złośliwym oprogramowaniem, ale także od twardej kontroli dostępu, monitorowania zmian ról uprzywilejowanych oraz audytu działań wykonywanych w Intune i systemach tożsamości.

Po przejęciu domen witryny Handala zostały zastąpione komunikatem informującym o zajęciu przez FBI na podstawie nakazu sądowego. Tego rodzaju przejęcie może utrudnić grupie publikację danych i utrzymanie widoczności operacyjnej, choć nie musi oznaczać całkowitego zakończenia jej aktywności.

Konsekwencje / ryzyko

Dla organizacji największe zagrożenie wynika z połączenia kompromitacji tożsamości z centralnym zarządzaniem flotą urządzeń. Jeśli przeciwnik przejmie konto uprzywilejowane, może w krótkim czasie doprowadzić do szerokich zakłóceń operacyjnych bez wdrażania własnego malware na każdym endpointzie.

masowe zablokowanie lub wyczyszczenie urządzeń,
utrata dostępności stacji roboczych i urządzeń mobilnych,
zakłócenie pracy użytkowników i zespołów operacyjnych,
potencjalna utrata danych przechowywanych lokalnie,
długotrwałe skutki biznesowe, operacyjne i reputacyjne.

W sektorach wrażliwych, takich jak ochrona zdrowia czy technologie medyczne, skutki mogą być szczególnie dotkliwe. Nawet jeśli incydent formalnie nie ma charakteru ransomware, jego wpływ na ciągłość działania może być bardzo podobny. Dodatkowo przejęcie infrastruktury publikacyjnej grupy przez organy ścigania nie gwarantuje końca zagrożenia, ponieważ napastnicy często szybko przenoszą się do nowych domen i kanałów komunikacji.

Rekomendacje

Organizacje korzystające z Microsoft Intune oraz środowisk hybrydowych powinny potraktować ten incydent jako sygnał do pilnego przeglądu zabezpieczeń. Szczególnie ważne jest ograniczenie ryzyka związanego z kontami uprzywilejowanymi i operacjami zdalnymi wykonywanymi masowo.

Ograniczyć liczbę kont z uprawnieniami Global Administrator i administratora Intune do absolutnego minimum.
Wymusić silne MFA dla wszystkich kont uprzywilejowanych i objąć je dodatkowymi politykami dostępu warunkowego.
Regularnie przeglądać przypisania ról oraz wykrywać nowe i nietypowe konta administracyjne.
Monitorować użycie akcji zdalnych, zwłaszcza poleceń wipe, reset i retire.
Włączyć alertowanie dla operacji wysokiego ryzyka w MDM, Entra ID i środowisku lokalnym.
Rozdzielić role administracyjne zgodnie z zasadą najmniejszych uprawnień.
Przygotować procedury awaryjne dla scenariusza masowej utraty endpointów.
Zweryfikować zakres polityk stosowanych do urządzeń prywatnych objętych zarządzaniem firmowym.
Testować scenariusze reagowania na kompromitację kont uprzywilejowanych, w tym unieważnianie sesji i reset poświadczeń.
Opierać konfigurację na aktualnych wytycznych producenta i rekomendacjach agencji rządowych.

Podsumowanie

Przejęcie domen Handala przez FBI ma znaczenie operacyjne i wizerunkowe, ale najważniejsza lekcja z tego incydentu dotyczy samej techniki ataku. W nowoczesnym środowisku enterprise masowe niszczenie dostępności urządzeń może zostać przeprowadzone bez klasycznego malware, z wykorzystaniem legalnych funkcji administracyjnych przejętej platformy zarządzania.

Dla zespołów bezpieczeństwa oznacza to konieczność przesunięcia części uwagi z samego wykrywania złośliwych plików na ochronę tożsamości, kontrolę uprawnień i szczegółowy monitoring działań wykonywanych w narzędziach administracyjnych. Nadużycie legalnych funkcji staje się dziś jednym z najgroźniejszych wektorów destrukcji.

Źródła

BleepingComputer — FBI seizes Handala data leak site after Stryker cyberattack — https://www.bleepingcomputer.com/news/security/fbi-seizes-handala-data-leak-site-after-stryker-cyberattack/
Microsoft Learn — Remote device action: wipe — https://learn.microsoft.com/en-us/intune/intune-service/remote-actions/devices-wipe
Palo Alto Networks Unit 42 — Threat Brief: March 2026 Escalation of Cyber Risk Related to Iran — https://unit42.paloaltonetworks.com/iranian-cyberattacks-2026/

20 Wskaźników I KPI Cyberbezpieczeństwa Do Śledzenia W 2026 r.

Co naprawdę mierzyć w cyberbezpieczeństwie?

W świecie cyberbezpieczeństwa liczby nie kłamią. Kluczowe Wskaźniki (KPI) pozwalają zmierzyć, jak skutecznie bronimy się przed atakami, zamiast zgadywać na podstawie przeczucia. W 2026 roku, przy coraz sprytniejszych atakach (np. wykorzystujących AI) i rosnącej presji regulacyjnej, mierzenie wyników staje się obowiązkowe. Jeśli nie da się czegoś zmierzyć, nie da się tym efektywnie zarządzać – ta stara zasada menedżerska dotyczy także bezpieczeństwa IT.

Czytaj dalej