Wprowadzenie do problemu / definicja
Kampanie łączące email bombing z podszywaniem się pod dział wsparcia IT stają się coraz groźniejszym narzędziem uzyskiwania początkowego dostępu do środowisk firmowych. W opisywanym przypadku grupa śledzona jako UNC6692 wykorzystała zalew wiadomości e-mail oraz kontakt przez komunikator firmowy, aby skłonić ofiarę do uruchomienia złośliwego łańcucha infekcji prowadzącego do wdrożenia modułowego malware z rodziny Snow.
Atak nie kończył się na pojedynczym hoście. Celem operatorów było utrzymanie trwałego dostępu, ruch boczny, kradzież poświadczeń oraz kompromitacja zasobów domenowych, co znacząco podnosi poziom ryzyka dla organizacji.
W skrócie
Mechanizm działania UNC6692 był wieloetapowy i opierał się na połączeniu socjotechniki z malware uruchamianym w środowisku użytkownika. Napastnicy najpierw przeciążali ofiarę dużą liczbą wiadomości e-mail, a następnie kontaktowali się z nią jako rzekomy helpdesk IT, oferując fałszywe rozwiązanie problemu.
- email bombing służył wywołaniu presji i dezorientacji,
- kontakt przez Microsoft Teams zwiększał wiarygodność ataku,
- fałszywe narzędzie „naprawy skrzynki” wyłudzało poświadczenia,
- w tle pobierane były komponenty AutoHotKey i moduły malware Snow,
- atak prowadził do ruchu bocznego, dostępu do LSASS i eksfiltracji danych domenowych.
Kontekst / historia
Aktywność UNC6692 zaobserwowano co najmniej w grudniu 2025 roku. Schemat działania dobrze wpisuje się w rosnący trend ataków, w których tradycyjny phishing zostaje rozszerzony o interakcję w czasie rzeczywistym i wykorzystanie legalnych kanałów komunikacji korporacyjnej.
Takie podejście zwiększa skuteczność operacji, ponieważ ofiara jest wcześniej przygotowana psychologicznie na kontakt z pomocą techniczną. Po zalewie skrzynki pocztowej użytkownik może uznać wiadomość od rzekomego pracownika IT za naturalną reakcję organizacji, co znacząco obniża jego czujność.
Analiza techniczna
Łańcuch ataku rozpoczynał się od strony phishingowej przekazanej przez napastnika podszywającego się pod helpdesk. Witryna analizowała parametry związane z adresem e-mail ofiary oraz sprawdzała, czy użytkownik korzysta z przeglądarki Microsoft Edge. Następnie prezentowała interfejs udający narzędzie diagnostyczne lub naprawcze dla skrzynki pocztowej.
Po uruchomieniu rzekomego „health check” ofiara widziała fałszywe okno logowania, którego celem było przechwycenie i walidacja poświadczeń. W tym samym czasie w tle pobierane były binaria AutoHotKey oraz skrypt AutoHotKey uruchamiający właściwy ładunek. Na stacji roboczej instalowano Snowbelt, czyli oparty na JavaScript backdoor wdrażany jako rozszerzenie przeglądarki Chromium.
Mechanizm utrzymania trwałości obejmował dodanie skrótu do skryptu AutoHotKey w autostarcie systemu Windows oraz utworzenie dwóch zaplanowanych zadań. Jedno odpowiadało za uruchamianie bezokiennego procesu Edge z załadowanym Snowbelt, a drugie za zamykanie procesów Edge działających w trybie headless. Taki model persistence utrudnia analizę, ponieważ aktywność malware ukrywa się w procesach przeglądarki.
Po uzyskaniu przyczółka operatorzy pobierali kolejne komponenty z kontrolowanego zasobu w AWS S3. Wśród nich znajdowały się dodatkowe skrypty AutoHotKey, archiwum ZIP, tuneler Snowglaze oraz malware Snowbasin.
- Snowbelt odpowiadał za odbiór komend i ułatwienie dalszego dostępu do środowiska.
- Snowglaze, napisany w Pythonie, zestawiał uwierzytelniony tunel WebSocket do infrastruktury C2, obsługiwał funkcje proxy SOCKS i maskował ruch.
- Snowbasin działał jako trwały backdoor w formie lokalnego serwera HTTP, umożliwiając wykonywanie poleceń, przechwytywanie zrzutów ekranu i zbieranie danych.
W dalszej fazie kampanii UNC6692 używał Snowglaze do zestawiania sesji PsExec oraz enumeracji kont administracyjnych. Następnie, korzystając z jednego z takich kont, napastnicy uzyskiwali dostęp RDP do serwera kopii zapasowych. Z tego hosta wykonywano zrzut pamięci procesu LSASS, po czym dane były eksfiltrowane w celu wydobycia nazw użytkowników, haseł i hashy kont.
Kolejnym krokiem była eskalacja z wykorzystaniem techniki Pass-The-Hash, prowadząca do dostępu do kontrolera domeny. Na tym etapie pobierano FTK Imager, montowano lokalny dysk i kopiowano bazę Active Directory, pliki SAM oraz ule rejestru systemowego i bezpieczeństwa. Tak przygotowany materiał był następnie wyprowadzany poza organizację.
Konsekwencje / ryzyko
Ryzyko związane z tą kampanią jest wysokie, ponieważ atak łączy socjotechnikę z technikami post-exploitation i legalnymi narzędziami administracyjnymi. To sprawia, że tradycyjne mechanizmy filtracji i detekcji mogą nie rozpoznać incydentu na wczesnym etapie.
Najpoważniejsze skutki obejmują przejęcie poświadczeń, trwały dostęp do stacji roboczej, ruch boczny do serwerów krytycznych, kompromitację kontrolera domeny oraz kradzież materiału uwierzytelniającego. W praktyce taki incydent może stanowić etap przygotowawczy do sabotażu, szpiegostwa lub wdrożenia ransomware.
- utrata poufności danych użytkowników i administratorów,
- przejęcie kont uprzywilejowanych,
- kompromitacja infrastruktury domenowej,
- utrzymanie długotrwałego dostępu przez napastnika,
- zwiększone ryzyko dalszej eksfiltracji i destrukcyjnych działań.
Rekomendacje
Organizacje powinny traktować kombinację email bombingu i fałszywego wsparcia IT jako pełnoprawny scenariusz uzyskania dostępu przez przeciwnika. Kluczowe znaczenie ma zarówno przygotowanie użytkowników, jak i wdrożenie technicznych mechanizmów detekcji.
Po stronie pracowników warto prowadzić szkolenia uczulające na nietypowe zachowania helpdesku, zwłaszcza gdy kontakt następuje po nagłym zalewie wiadomości i zawiera prośbę o kliknięcie linku, podanie hasła lub uruchomienie narzędzia naprawczego. Dział IT powinien stosować jasno zdefiniowany i łatwy do zweryfikowania model komunikacji z użytkownikami.
- monitorować uruchamianie AutoHotKey tam, gdzie nie jest standardowo wykorzystywany,
- wykrywać tworzenie nowych rozszerzeń Chromium i Edge poza kontrolowanym procesem wdrożeniowym,
- analizować zadania harmonogramu uruchamiające przeglądarkę w trybie ukrytym lub headless,
- śledzić nietypowe użycie PsExec, RDP i narzędzi obrazowania śledczego,
- alarmować o próbach dostępu do LSASS, baz Active Directory, plików SAM oraz krytycznych gałęzi rejestru.
Dodatkowo warto ograniczać lokalne uprawnienia administracyjne, wdrażać ochronę poświadczeń, segmentację sieci i silne mechanizmy MFA. Pomocna będzie także inspekcja ruchu do usług chmurowych pod kątem nietypowych wzorców pobierania ładunków, nawet jeśli komunikacja odbywa się przez reputacyjnie zaufane platformy.
Podsumowanie
Kampania UNC6692 pokazuje, że nowoczesne operacje intruzów coraz częściej łączą presję psychologiczną, interaktywny phishing i modułowe malware w celu przejęcia całego środowiska przedsiębiorstwa. Snowbelt, Snowglaze i Snowbasin tworzą spójny łańcuch od początkowego dostępu po tunelowanie ruchu, ruch boczny i kradzież danych uwierzytelniających.
Dla zespołów bezpieczeństwa najważniejszy wniosek jest prosty: incydent, który z pozoru wygląda jak problem ze skrzynką pocztową, może być początkiem pełnoskalowej kompromitacji domeny. Właśnie dlatego obrona musi obejmować nie tylko technologię, ale również procedury, świadomość użytkowników i szybkie korelowanie sygnałów ostrzegawczych.