Pomagamy Zrozumieć i Wdrażać Bezpieczeństwo
Jeszcze do niedawna wiele firm spało spokojnie, wierząc, że regularne kopie zapasowe uchronią je przed każdym atakiem. W końcu, jeśli dane zostaną zaszyfrowane, zawsze można je odzyskać z backupu, prawda? Niestety, nowa generacja ransomware – tzw. Ransomware 2.0 – brutalnie weryfikuje to założenie.
Czytaj dalej „Dlaczego Tradycyjny Backup Kapituluje Przed Ransomware 2.0”
Druga fala kampanii Shai-Hulud (v2) to szeroko zakrojony atak na łańcuch dostaw oprogramowania, który rozpoczął się w ekosystemie npm i – poprzez mechanizmy mirroringu – przelał się do Maven Central (artefakt org.mvnpm:posthog-node:4.18.1). Celem jest kradzież sekretów (tokenów GitHub, kluczy chmurowych AWS/GCP/Azure, webhooków itp.) oraz dalsza replikacja przez zainfekowane konta maintainerów i joby CI/CD. Wektor obejmuje trojanizowane wydania popularnych bibliotek oraz nadużycie przepływów GitHub Actions.
setup_bun.js + 10-MB bun_environment.js), tryb bezszelestny podczas instalacji, podniesienie limitu replikacji i agresywniejsze zbieranie sekretów (TruffleHog + API chmurowe). pull_request_target i workflow_run) oraz przejęte konta wydawnicze npm; potwierdzone studium przypadku opublikował PostHog. Pierwszy wariant Shai-Hulud z września 2025 r. uderzył w npm i wyciekał sekrety, ale obecna „druga nadchodzi” (The Second Coming) znacząco rozszerza zarówno zasięg, jak i arsenał technik (Bun, stealth, worm-like spread). The Hacker News opisuje również efekt domina – przejście z npm do Maven Central przez automatyczny most mvnpm, który przebudowuje paczki npm na artefakty Mavena; skompromitowany mirror usunięto, a dostawca wdraża dodatkowe zabezpieczenia przed rebundlowaniem znanych złych wersji.
package.json dodawany jest skrypt preinstall, który uruchamia setup_bun.js.bun_environment.js, tłumiąc wyjście i zwracając kontrolę, aby instalacja wyglądała „normalnie”. $HOME), enumeracja AWS Secrets Manager, GCP Secret Manager i Azure Key Vault; zbieranie tokenów GITHUB_TOKEN, NPM_TOKEN itd. sudoers, reset zasad iptables/DNS), co umożliwia m.in. blokadę skanerów i MITM w CI. pull_request_target w workflow, by wykonać kod z PR i wykraść PAT bota, a następnie tokeny wydawnicze npm, co pozwoliło opublikować zainfekowane wersje SDK. org.mvnpm:posthog-node:4.18.1 z tym samym ładunkiem Bun; zespół Maven Central potwierdził usunięcie mirrorów i prace nad dodatkowymi barierami. Natychmiast (D+0):
npm ci --ignore-scripts, pnpm 10 ma domyślnie wyłączone lifecycle scripts). GITHUB_TOKEN, PAT-y, klucze npm, chmury (AWS/GCP/Azure), webhooki, itp. Użyj secret scanningu. rm -rf node_modules && npm cache clean --force && pnpm cache delete, następnie reinstalacja.setup_bun.js, bun_environment.js, truffleSecrets.json, environment.json, cloud.json, contents.json). W horyzoncie 72h:
pull_request_target chyba że naprawdę konieczne;.github/workflows/*;permissions: read-all, per-job GITHUB_TOKEN);minimumReleaseAge (np. 72h) w yarn/pnpm, aby nie pobierać „świeżych” kompromitowanych wersji. Shai-Hulud v2 pokazuje, że nawet bez 0-dayów atakujący potrafią wykorzystać luki operacyjne: błędne konfiguracje GitHub Actions, słabe praktyki zarządzania sekretami i zaufanie do lifecycle scripts w instalatorach. Krytyczne jest wprowadzenie kontroli publikacji, ograniczenia uprawnień tokenów, domyślne wyłączenie skryptów w CI oraz opóźnienie aktualizacji zależności. Dane z monitoringu wycieków i analizy incydentu (PostHog) potwierdzają, że to atak na procesy, nie tylko na kod.
pull_request_target, timeline, zalecenia). (PostHog)Pod koniec listopada 2025 r. ujawniono skoordynowaną kampanię wymierzoną w sektor finansowy Korei Południowej, w której operatorzy ransomware Qilin (znani też jako Agenda) wykorzystali kompromitację jednego dostawcy usług IT (MSP), aby uzyskać skalowalny dostęp do dziesiątek klientów. Efektem była operacja „Korean Leaks” – trzy fale publikacji danych, co najmniej 28 ofiar i ponad 1 mln plików / 2 TB wykradzionych danych opublikowanych na DLS (data leak site). Rdzeniem ataku było naruszenie łańcucha dostaw – pojedynczy punkt awarii w postaci MSP obsługującego wielu asset managerów.
Qilin/Agenda działa w modelu RaaS co najmniej od 2022 r., obsługując Windows, Linux i środowiska wirtualne, z taktyką podwójnego wymuszenia (szyfrowanie + wyciek). Grupa promuje się jako „patriotyczna” i utrzymuje centralny nadzór nad komunikatami publikowanymi na DLS (m.in. „zespół dziennikarzy”). W 2025 r. Qilin zanotował skok aktywności, częściowo dzięki współpracy i afiliacjom (w tym sygnalizowanej przez Microsoft współpracy Moonstone Sleet), co zbiegło się z gwałtownym wzrostem liczby ofiar w Korei Południowej we wrześniu.
Łańcuch dostaw i pivot przez MSP. Bitdefender wskazuje trzy hipotezy źródła „skupionego” ataku (MSP/upstream vendor, exploit zero-day na powszechnym komponencie, szerokie przejęcia poświadczeń), z czego najbardziej prawdopodobna — i potwierdzona przez lokalne media — jest kompromitacja MSP. Korea JoongAng Daily podał 23.09.2025 r., że ponad 20 asset managerów ucierpiało po ataku na GJTec, dostawcę serwerów i systemów dla branży. Ten wspólny dostawca umożliwił szybkie, równoległe rozprzestrzenienie się infekcji.
TTP Qilin. Qilin oferuje wieloplatformowe binaria (Windows/Linux/ESXi), z elastycznymi trybami szyfrowania i naciskiem na exfiltrację. Lokalne analizy (AhnLab) podkreślają, że projekt szyfrowania utrudnia skuteczną deszyfrację bez kluczy. W ostatnich miesiącach raportowano również taktyki „cross-runtime” (np. uruchamianie ELF przez WSL w Windows) i nacisk na eskalację uprawnień oraz EDR-evasion — co tłumaczy skuteczność ataków na środowiska hybrydowe.
Narracja i presja. „Korean Leaks” odstawało od typowego „pay-or-publish”: fala 1 groziła ujawnieniem „manipulacji giełdowych” i nazw polityków, fala 2 eskalowała do „systemowego ryzyka dla rynku”, w fali 3 narracja wróciła do klasycznej presji finansowej na pojedyncze ofiary. To sugeruje redakcyjny nadzór operatorów Qilin nad treściami DLS.
Krytyczna luka RCE w Oracle WebLogic (CVE‑2019‑2725) umożliwia zdalne, nieautoryzowane wykonanie kodu przez podatne endpointy SOAP/WS‑AT (/_async/AsyncResponseService, /wls-wsat/CoordinatorPortType). Atak bazuje na niebezpiecznej deserializacji (java.beans.XMLDecoder). Najczęstsze skutki: instalacja webshelli (JSP), kryptokoparki (XMRig) lub ransomware (REvil/Sodinokibi). Główne detekcje: nietypowe żądania POST do ww. ścieżek + procesy powłokowe z rodzicem java/java.exe na serwerze aplikacyjnym. Natychmiastowe działania: izolacja hosta, wyszukanie webshelli w katalogach WebLogic, aktualizacja do wersji naprawczej i segmentacja sieci.
CVE‑2019‑2725 to błąd deserializacji w komponencie Web Services Oracle WebLogic Server, który pozwala zdalnemu napastnikowi (bez uwierzytelnienia) wysłać spreparowany SOAP/XML i uruchomić dowolny kod po stronie serwera. Podatne są instalacje z włączonymi archiwami wls9_async_response.war i/lub wls-wsat.war, a typowe wektory to żądania POST do endpointów asynchronicznych i WS‑AtomicTransaction.
XMLDecoder, co prowadzi do wykonania łańcucha gadżetów Javy i uruchomienia poleceń systemowych w kontekście procesu JVM WebLogic. Najczęściej wykorzystywane endpointy: /_async/AsyncResponseService (wls9‑async) oraz /wls-wsat/* (WS‑AT). | Źródło | Artefakt/Log | EID / Pole | Co obserwować | Uwagi |
|---|---|---|---|---|
| Web/proxy/WAF | Access logs (Nginx/IIS/WebLogic HTTP Server) | cs-uri-stem, cs-method, status, request_body | POST na /_async/AsyncResponseService, `/wls-wsat/(CoordinatorPortType | RegistrationService |
| Windows Security | Process Creation | 4688 | Rodzic java.exe uruchamia cmd.exe/powershell.exe | Korelować z logami aplikacji. |
| Sysmon | Process Create, Network, File Create | 1, 3, 11, (13) | ParentImage=*\java.exe i dziecko cmd.exe/powershell.exe/wget/curl ; nowe JSP w katalogach aplikacji | |
| Linux (auditd) | SYSCALL=execve | — | exe = /usr/bin/bash, /bin/sh z PPID java | |
| WebLogic | Serwerowe logi (access.log, AdminServer.log) | — | SOAP Faults/500 na ww. endpointach, wyjątki deserializacji | |
| AWS (ALB/WAF) | CloudWatch/ALB access logs | request_uri | Te same ścieżki i metoda POST, wysoka liczba 400/500 | CloudTrail nie rejestruje ruchu HTTP do aplikacji — używaj ALB/WAF/Flow Logs. |
| K8s audit | API Server audit log | verb=create, resource=pods | Gdy WebLogic w K8s: nieoczekiwane pody/zmiany ConfigMap po RCE | [Zależne od architektury] |
| M365 | — | — | [brak danych / nie dotyczy bezpośrednio] |
title: Oracle WebLogic CVE-2019-2725 Probe
id: 9c5c0f93-1b76-4a8f-9b7c-fb4a2db1c2725
status: experimental
description: Detects HTTP POST to WebLogic async/WS-AT endpoints and XMLDecoder markers
logsource:
category: webserver
product: apache
detection:
sel_uri:
cs-method: POST
cs-uri-stem|contains:
- "/_async/AsyncResponseService"
- "/wls-wsat/CoordinatorPortType"
- "/wls-wsat/RegistrationService"
- "/wls-wsat/ParticipantPortType"
sel_body:
request_body|contains:
- "java.beans.XMLDecoder"
- "<object class="
condition: sel_uri or (sel_uri and sel_body)
fields:
- src_ip
- cs-host
- cs-uri-stem
- user_agent
falsepositives:
- Legitymne WS-AT (rzadkie)
level: high
tags:
- attack.T1190(Ścieżki i kontekst ataku potwierdzone w opisach Tenable/Oracle).
title: Java Spawns Shell (WebLogic RCE aftermath)
id: 0a0a7f5a-0e7a-4d1a-bb1e-2cfa7c2725ab
status: stable
logsource:
product: windows
category: process_creation
detection:
parent:
ParentImage|endswith: '\java.exe'
child:
Image|endswith:
- '\cmd.exe'
- '\powershell.exe'
condition: parent and child
fields:
- CommandLine
- ParentCommandLine
falsepositives:
- Rzadkie skrypty administracyjne
level: high
tags:
- attack.T1059
- attack.T1190Web/proxy:
index=web (sourcetype=access_combined OR sourcetype=iis)
method=POST uri_path IN ("/_async/AsyncResponseService",
"/wls-wsat/CoordinatorPortType","/wls-wsat/RegistrationService","/wls-wsat/ParticipantPortType")
| stats count by src, uri_path, status, useragentProcesy Windows/Sysmon:
(index=wineventlog EventCode=4688 OR (index=sysmon EventCode=1))
ParentImage="*\\java.exe"
(Image="*\\cmd.exe" OR Image="*\\powershell.exe" OR Image="*\\bash.exe")
| table _time host ParentImage Image CommandLine ParentCommandLine// Potomna powłoka po WebLogic (Windows)
DeviceProcessEvents
| where Timestamp > ago(7d)
| where InitiatingProcessFileName =~ "java.exe"
| where FileName in~ ("cmd.exe","powershell.exe")
| project Timestamp, DeviceName, FileName, ProcessCommandLine, InitiatingProcessFileName, InitiatingProcessCommandLine-- ALB access logs: podejrzane ścieżki WebLogic
fields @timestamp, elb, client_ip, request_uri, target_status_code, user_agent
| filter request_uri like /_async\\/AsyncResponseService|wls-wsat\\/(CoordinatorPortType|RegistrationService|ParticipantPortType)/
| sort @timestamp desc// Java -> shell
process where event.type == "start"
and process.parent.name : "java*"
and process.name in ("cmd.exe","powershell.exe","bash","sh","wget","curl")/_async/... lub /wls-wsat/... i (2) w ≤2 min pojawia się java → cmd/powershell/bash i/lub (3) nowy plik .jsp w webroot._WL_internal lub bea_wls_internal).XMLDecoder).4688._WL_internal, bea_wls_internal). cmd/powershell/bash), usuń webshell, wyczyść harmonogramy/usługi utworzone przez napastnika.Uwaga: poniższe testy nie zawierają payloadów eksploatujących i służą wyłącznie do weryfikacji detekcji.
# symulacja sondowania endpointów (status 404/405/SOAP Fault)
curl -s -o /dev/null -w "%{http_code}\n" -X POST http://<weblogic>/wls-wsat/CoordinatorPortType
curl -s -o /dev/null -w "%{http_code}\n" -X POST http://<weblogic>/_async/AsyncResponseService
# Linux: uruchom prosty program Java, który odpala /bin/sh -c 'echo test' (benign)
# Windows: analogicznie uruchom "java" jako rodzic prostego procesu cmd /c echo
# (wygeneruje zdarzenia: Sysmon 1, Windows 4688)
curl jak wyżej przez publiczny endpoint testowy; uruchom zapytanie §7.5 i sprawdź, czy wykrywa ścieżki.Wektor początkowy (Initial Access) — żądania POST do endpointów SOAP/WS‑AT WebLogic.
Uruchomienie cmd.exe przez java.exe po udanym RCE.
/bin/sh/bash inicjowane przez JVM na Linux/Unix.
Umieszczenie JSP w webroot dla utrwalenia.
Pobranie XMRig/ransomware po RCE. (odniesienia ogólne do techniki)
_WL_internal/bea_wls_internal (kontekst utrwalenia) (Zero Day Initiative)SOC (operacyjne)
/_async/* i /wls-wsat/* + korelacja z java → shell.4688 na hostach WebLogic.CISO (strategiczne)
Chińsko-powiązana grupa APT31 (znana także jako Violet Typhoon/Zirconium/Judgement Panda) została powiązana z długofalową kampanią cyberszpiegowską przeciw rosyjskiemu sektorowi IT. Ataki miały trwać co najmniej w latach 2024–2025, a w jednym przypadku utrzymanie dostępu sięgało końcówki 2022 r. Kluczową cechą operacji jest wykorzystanie popularnych usług chmurowych (w tym Yandex Cloud oraz Microsoft OneDrive) jako kanałów C2 i exfiltracji, co utrudniało detekcję w ruchu „legitnym” dla ofiar.
APT31 działa co najmniej od 2010 r., a na jej koncie są operacje przeciw instytucjom rządowym, finansom, obronności i high-tech na wielu kontynentach. W 2025 r. grupa była łączona m.in. z incydentami wobec czeskiego MSZ oraz z wcześniejszymi operacjami w Europie. Zestaw aliasów obejmuje m.in. Violet Typhoon (Microsoft), Zirconium, Judgement Panda.
Wejście (Initial Access).
Udokumentowano spear-phishing z archiwami zawierającymi skróty .LNK. Po uruchomieniu następował łańcuch DLL side-loading bazujący na legalnym pliku BsSndRpt64.exe, który ładował bibliotekę BugSplatRc64.dll z wbudowanym CloudyLoaderem (loader Cobalt Strike). Warianty socjotechniki obejmowały „zapytania zakupowe” oraz przynęty stylizowane na dokumenty ministerstw (np. Peru).
Dowodzenie i kontrola (C2).
Komendy i payloady były „stage’owane” w profilach mediów społecznościowych (lokalnych i zagranicznych), a w komunikacji wykorzystywano powszechne usługi chmurowe (Yandex, Microsoft OneDrive), co maskowało ruch. Wybrane narzędzia:
Ruch boczny i utrzymanie.
Zaobserwowano LocalPlugX (odmiana PlugX do poruszania się wewnątrz sieci), COFFProxy (Golang: tunelowanie/komendy/zarządzanie plikami), AufTime (Linux backdoor z wolfSSL), Tailscale VPN i Microsoft Dev Tunnels do szyfrowanego P2P, a także liczne zadania w Harmonogramie Zadań Windows, których nazwy imitują legalne procesy (np. YandexDisk_Servers, GoogleUpdater). Wykryto też technikę tworzenia ukrytych zadań przez manipulację TaskCache\Tree\ i plikami XML.
Techniki ukrywania (Defense Evasion) i „timing”.
Operacje „pod święta/weekendy” oraz generowanie ruchu do legalnych serwisów utrudniało korelację i triage. Dodatkowo opisywano nietypowe wykorzystanie oobe\Setup.exe /ui do odpalenia łańcucha z własnym ErrorHandler.cmd.
Powiązane obserwacje branżowe.
Niezależne badania Kaspersky z lipca 2025 roku dokumentowały kampanie z Cobalt Strike i hostingiem komend/payloadów na platformach społecznościowych/GitHub, co spójnie wpisuje się w TTPs widoczne u APT31.
HKLM\...TaskCache\Tree\ vs. fizyczne pliki XML.APT31 kontynuuje ewolucję: łączy „stare” techniki (phishing + Cobalt Strike) z nowymi backdoorami i C2 ukrytym w chmurze/publicznych serwisach. Dla obrońców oznacza to przejście z detekcji opartej na domenach/IP na kontrolę kontekstową i behawioralną (tenant enforcement, model ryzyka dla egressu, hunting na zadania i side-loading). Kampania pokazuje również, że „okna operacyjne” (weekendy/święta) pozostają skutecznym narzędziem aktorów APT – i wymagają dedykowanych playbooków IR.
Qilin (znany również jako Agenda) to operacja Ransomware-as-a-Service (RaaS) aktywna od 2022 r., zasilana afiliantami i ukierunkowana na organizacje z wielu sektorów – od ochrony zdrowia po przemysł. Grupa stosuje podwójny wymus (szyfrowanie + wyciek danych) oraz elastyczne techniki dostępu początkowego (phishing, nadużycia RMM, wykorzystywanie narzędzi „living off the land”).
Qilin wyłonił się jako RaaS w połowie 2022 r., z czasem rozbudowując ekosystem afiliantów i technikę operacyjną. Profil zagrożenia publikowany przez FortiGuard oraz noty sektorowe (HHS) opisują warianty w Go i Rust, podkreślają nadużycia narzędzi zdalnego zarządzania (RMM) i typowy schemat double-extortion. W 2024–2025 r. raporty i doniesienia prasowe przypisywały Qilin incydenty o znacznym wpływie – szczególnie w ochronie zdrowia.
Wejście do środowiska (Initial Access):
Wykorzystanie WSL / obniżanie widoczności:
Eskalacja i przygotowanie środowiska:
Szyfrowanie i exfiltracja:
Artefakty i telemetria z jednego hosta (case study):
Prewencja i hardening
wsl.exe, mounty, tworzenie plików ELF w profilach użytkowników. Detekcja i telemetria
Security/System, rejestr usług oraz ślady tworzenia zadań. Buduj reguły na: uruchomienia wsl.exe poza oknami serwisowymi, instalację dystrybucji WSL, nietypowe sesje ScreenConnect, użycie narzędzi do wyłączania EDR, masowe WriteFile/Rename. IR i odporność
W porównaniu z wieloma rodzinami RaaS (np. LockBit, ALPHV), Qilin wyróżnia rosnąca adopcja taktyk ukrywania się w legalnych narzędziach (RMM) oraz przenikanie między platformami (ELF przez WSL na Windows). To zmniejsza skuteczność klasycznych, sygnaturowych detekcji i wymaga telemetrii obejmującej zarówno warstwę zarządczą, jak i subsystemy zgodności (WSL).
Canonical regularnie publikuje Ubuntu Security Notices (USN), które informują o załatanych podatnościach w oficjalnych pakietach Ubuntu. W dniach 20–21 listopada 2025 r. ukazało się kilka istotnych biuletynów dotyczących m.in. jądra Linuksa (w różnych wariantach), ImageMagick oraz ekosystemu CUPS (cups-filters i libcupsfilters). Poniżej techniczny przegląd najważniejszych zmian, ryzyk i zaleceń.
USN-y dla jądra pojawiają się cyklicznie i często agregują dziesiątki (a nawet setki) CVE obejmujących różne architektury, sterowniki i systemy plików. Listopadowe biuletyny (m.in. USN-7879-1 i USN-7880-1) dotykają jąder 6.14 w odmianach ogólnych, chmurowych (AWS/GCP/Oracle), HWE, real-time oraz OEM. Takie wydania zwykle wymagają restartu oraz mogą wymuszać przebudowę modułów ze względu na zmianę ABI.
linux, linux-aws, linux-gcp, linux-oracle, linux-hwe-6.14, linux-realtime, linux-oem-6.14. Implikacje techniczne: zmiany w ABI jądra → konieczność przebudowy modułów zewnętrznych (np. sterowniki DKMS), co Canonical podkreśla w sekcji instrukcji aktualizacji.
2.0.0-0ubuntu7.2 dla libcupsfilters). linux-image-* wskazane w USN. cups-filters i libcupsfilters do wersji podanych w USN (np. libcupsfilters2t64 2.0.0-0ubuntu7.2 dla 24.04). Do czasu aktualizacji ogranicz akceptowane typy plików i segmentuj ruch. dmesg, journalctl -k) po rebootach.