Archiwa: Malware - Strona 4 z 288

Chosen Brick: służby USA, Wielkiej Brytanii i Holandii ujawniają irańskie spyware wymierzone w dysydentów

Wprowadzenie do problemu / definicja

Chosen Brick to rodzina złośliwego oprogramowania dla systemów Windows, łączona z działaniami irańskich aktorów państwowych. Narzędzie zostało opisane przez służby cyberbezpieczeństwa ze Stanów Zjednoczonych, Wielkiej Brytanii i Holandii jako element kampanii nadzoru ukierunkowanej na dysydentów, aktywistów i dziennikarzy, czyli osoby postrzegane jako zagrożenie dla interesów reżimu.

To nie jest typowa kampania nastawiona na masową dystrybucję malware. Chosen Brick wpisuje się raczej w model precyzyjnych operacji szpiegowskich, w których kluczową rolę odgrywają socjotechnika, długotrwała obserwacja ofiary oraz cicha eksfiltracja danych przez zaufane usługi komunikacyjne i chmurowe.

W skrócie

Według ujawnionych informacji Chosen Brick był wykorzystywany co najmniej od 2025 roku przeciwko celom na całym świecie. Atak zwykle zaczyna się od kontaktu przez komunikatory, takie jak WhatsApp lub Telegram, gdzie napastnicy podszywają się pod znajomych ofiary albo pracowników wsparcia technicznego.

wektor wejścia opiera się na socjotechnice i spreparowanych plikach,
malware utrzymuje trwałość po restarcie systemu,
próbuje osłabić lokalne mechanizmy ochrony,
kradnie wiadomości, kontakty, e-maile i dane z przeglądarek,
potrafi wykonywać zrzuty ekranu, nagrywać dźwięk i pobierać kolejne ładunki,
do komunikacji C2 oraz eksfiltracji wykorzystuje m.in. Telegram i legalne usługi chmurowe.

Kontekst / historia

Upublicznienie kampanii Chosen Brick wpisuje się w rosnącą liczbę wspólnych ostrzeżeń publikowanych przez zachodnie agencje rządowe w odpowiedzi na działania sponsorowane przez państwa. W tym przypadku szczególny nacisk położono nie na ataki na infrastrukturę krytyczną czy przedsiębiorstwa, lecz na operacje represyjne wymierzone w konkretne osoby.

Z opisu kampanii wynika, że operatorzy starannie rozpoznają cele, przygotowują wiarygodny pretekst kontaktu i próbują dostarczać złośliwe pliki kanałami uznawanymi przez ofiary za zaufane. Charakterystyczne jest także przenoszenie rozmowy z urządzeń służbowych na prywatne, gdy zabezpieczenia środowiska firmowego utrudniają skuteczne przeprowadzenie infekcji.

Taki schemat działania pokazuje, że napastnicy dobrze rozumieją różnice między ochroną środowisk korporacyjnych a bezpieczeństwem użytkowników indywidualnych. W praktyce oznacza to atak na najsłabsze ogniwo, czyli prywatne urządzenie i codzienne nawyki komunikacyjne ofiary.

Analiza techniczna

Łańcuch infekcji opiera się na kamuflażu. Złośliwe pliki są przedstawiane jako legalne narzędzia użytkowe lub nieszkodliwe dokumenty, na przykład materiały medyczne czy wyniki badań. Po uruchomieniu użytkownik może zobaczyć ekran-wabik, podczas gdy właściwy komponent malware działa w tle.

Po zainfekowaniu systemu Chosen Brick ustanawia mechanizmy trwałości z wykorzystaniem kluczy rejestru typu Run. Dzięki temu malware uruchamia się ponownie po restarcie komputera i może kontynuować nadzór nad ofiarą bez konieczności ponownego dostarczenia ładunku.

Oprogramowanie podejmuje także próby osłabienia ochrony endpointu, między innymi przez dodawanie wyjątków do Microsoft Defender. Choć nie jest to najbardziej zaawansowana technika unikania detekcji, może okazać się skuteczna w środowiskach, gdzie użytkownik dysponuje podwyższonymi uprawnieniami albo polityki bezpieczeństwa nie blokują takich zmian.

Jednym z najciekawszych elementów kampanii jest użycie Telegrama jako kanału komunikacji C2. Każdy zainfekowany host otrzymuje unikalny identyfikator bota, co poprawia separację operacyjną między ofiarami i utrudnia obrońcom szybkie odróżnienie legalnego ruchu do popularnej usługi od aktywności powiązanej z malware.

Dodatkowo eksfiltracja danych przez legalne platformy chmurowe obniża skuteczność prostych mechanizmów bezpieczeństwa opartych wyłącznie na reputacji domen. W efekcie wykrycie kampanii wymaga analizy behawioralnej procesów, zmian w systemie oraz nietypowych wzorców dostępu do danych.

Zakres funkcji Chosen Brick wskazuje na narzędzie stworzone do długotrwałego monitorowania. Malware potrafi:

wykonywać zrzuty ekranu,
nagrywać dźwięk z mikrofonu,
pozyskiwać dane z przeglądarek i komunikatorów,
kraść wiadomości e-mail i kontakty,
pobierać dodatkowe komponenty,
realizować komendy prowadzące nawet do usuwania danych.

Choć nie opisano zautomatyzowanych mechanizmów ruchu lateralnego, możliwość pobierania kolejnych ładunków daje operatorom przestrzeń do ręcznego rozszerzania dostępu, jeśli uznają to za operacyjnie potrzebne.

Konsekwencje / ryzyko

Najpoważniejsze skutki dotyczą prywatności, bezpieczeństwa osobistego i długotrwałej inwigilacji. Kradzież wiadomości, kontaktów oraz metadanych pozwala napastnikom mapować sieć relacji ofiary, analizować jej aktywność i śledzić wzorce życia codziennego.

W przypadku dziennikarzy, aktywistów i dysydentów stawką jest często nie tylko utrata poufności, ale również dekonspiracja źródeł, współpracowników i kanałów komunikacji. To może prowadzić do dalszych represji, nękania, szantażu albo działań typu hack-and-leak.

Z perspektywy organizacji zagrożenie jest istotne wszędzie tam, gdzie zatrudniane są osoby należące do grup podwyższonego ryzyka. Nawet dobrze zabezpieczona infrastruktura firmowa może zostać pośrednio narażona, jeśli napastnik skutecznie przejmie prywatne urządzenie pracownika i wykorzysta zdobyte informacje do dalszych działań wywiadowczych lub phishingowych.

Rekomendacje

Organizacje powinny przyjąć, że kampanie sponsorowane przez państwa coraz częściej omijają klasyczne granice bezpieczeństwa i atakują użytkownika poza środowiskiem korporacyjnym. Dlatego ochrona musi łączyć zabezpieczenia techniczne z edukacją operacyjną.

Po stronie technicznej warto wdrożyć:

ścisłe ograniczenie lokalnych uprawnień administracyjnych na stacjach Windows,
ochronę przed modyfikacją ustawień antywirusa i Microsoft Defender,
monitorowanie zmian w kluczach autostartu rejestru,
detekcję nietypowego użycia komunikatorów oraz procesów potomnych uruchamianych z archiwów i instalatorów,
korelację zdarzeń związanych z pobieraniem plików dostarczanych przez komunikatory,
segmentację dostępu między urządzeniami prywatnymi a zasobami służbowymi,
stosowanie EDR z regułami wykrywającymi persistence, defense evasion i data staging.

Dla użytkowników szczególnie narażonych kluczowe pozostają procedury operacyjne:

weryfikacja tożsamości nadawcy poza bieżącym kanałem rozmowy,
traktowanie nieoczekiwanych plików jako potencjalnie złośliwych, nawet jeśli pochodzą od znanej osoby,
unikanie otwierania załączników na prywatnych urządzeniach bez kontroli bezpieczeństwa,
regularne aktualizowanie systemu Windows i narzędzi ochronnych,
oddzielenie komunikacji prywatnej od służbowej,
szybkie zgłaszanie prób podszywania się pod pomoc techniczną lub znajomych.

Dla zespołów SOC i CTI ważne jest także uwzględnienie podobnych kampanii w modelach zagrożeń związanych z działalnością państwową. Użycie Telegrama jako kanału C2 pokazuje, że skuteczna obrona nie może polegać wyłącznie na blokowaniu podejrzanych domen, ale musi obejmować analizę zachowania procesów i przepływu danych na endpointach.

Podsumowanie

Chosen Brick to przykład malware stworzonego nie do masowej cyberprzestępczości, lecz do precyzyjnych operacji nadzoru i represji. O skuteczności tej kampanii decydują nie tylko możliwości techniczne samego narzędzia, ale również dobrze przygotowana socjotechnika, wykorzystanie zaufanych kanałów komunikacji oraz atakowanie granicy między życiem prywatnym a zawodowym.

Dla zespołów bezpieczeństwa to wyraźny sygnał, że ochrona użytkowników wysokiego ryzyka wymaga połączenia telemetryki endpointów, świadomości zagrożeń i procedur operacyjnych dostosowanych do realiów nowoczesnych kampanii szpiegowskich.

Źródła

SecurityWeek — US, UK, Dutch Agencies Expose Iranian ‘Chosen Brick’ Surveillance Malware — https://www.securityweek.com/us-uk-dutch-agencies-expose-iranian-chosen-brick-surveillance-malware/
National Cyber Security Centre — UK and allies expose spyware used by Iranian state actors to target dissidents, activists and journalists — https://www.ncsc.gov.uk/news/uk-allies-expose-spyware-iranian-state-actors-target-dissidents-activists-journalists
National Cyber Security Centre — Iranian cyber targeting of dissidents, activists and journalists — https://www.ncsc.gov.uk/news/iranian-cyber-targeting-of-dissidents-activists-and-journalists
FBI — 2026 Cyber Alerts: Iranian Cyber Targeting of Dissidents, Activists, and Journalists — https://www.fbi.gov/investigate/cyber/alerts/2026
FBI FLASH — Government of Iran Cyber Actors Deploy Telegram C2 to Push Malware to Identified Targets — https://www.fbi.gov/file-repository/government-of-iran-cyberactors-deploy-telegram-c2-to-push-malware-to-identified-targets.pdf

KREMLIN: malware bankowy przejmuje Chrome i Edge, kradnąc poświadczenia oraz tokeny sesyjne

Wprowadzenie do problemu / definicja

KREMLIN to zaawansowane złośliwe oprogramowanie bankowe, którego głównym celem jest przejęcie danych uwierzytelniających i aktywnych sesji użytkowników bankowości elektronicznej. Kluczowym elementem kampanii jest złośliwe rozszerzenie instalowane w przeglądarkach Google Chrome i Microsoft Edge, pozwalające atakującym uzyskać dostęp nie tylko do loginów i haseł, ale również do cookies, pamięci sesyjnej oraz zawartości odwiedzanych stron.

To istotna zmiana względem klasycznych trojanów bankowych. Zamiast ograniczać się do prostego przechwytywania danych wpisywanych przez ofiarę, KREMLIN przejmuje warstwę przeglądarkową i może aktywnie manipulować tym, co użytkownik widzi oraz wysyła do serwisów finansowych.

W skrócie

Kampania jest powiązana z operatorem śledzonym jako REF9334 i była obserwowana co najmniej od maja 2025 roku.
Ataki wykorzystują wieloetapowy łańcuch infekcji oparty na skryptach JavaScript, instalatorze w C++ oraz złośliwym rozszerzeniu przeglądarki.
Malware potrafi kraść poświadczenia, cookies, tokeny sesyjne, historię przeglądania, pełny kod HTML stron oraz wykonywać zrzuty ekranu.
Infrastruktura sterująca częściowo korzysta z inteligentnych kontraktów Ethereum do dynamicznego wskazywania adresów C2 i kolejnych payloadów.
Zdecydowana większość zaobserwowanych infekcji dotyczyła użytkowników z Brazylii.

Kontekst / historia

Mimo nazwy sugerującej inne skojarzenia geopolityczne, analiza kampanii wskazuje na silne powiązanie z Brazylią. Przynęty wykorzystywane w atakach podszywają się pod lokalne banki, dokumenty finansowe i komunikaty systemowe, a część artefaktów technicznych została przygotowana w języku portugalskim.

Badacze wskazują, że operatorzy prowadzili co najmniej kilka kampanii na przestrzeni około 15 miesięcy. We wcześniejszych etapach wykorzystywano także znane narzędzia zdalnego dostępu, takie jak Pulsar RAT i Remcos RAT, jednak z czasem aktywność ewoluowała w kierunku bardziej wyspecjalizowanego modelu nastawionego na przejmowanie sesji przeglądarkowych oraz obchodzenie zabezpieczeń Chromium.

Przełomowym etapem była zmiana wdrożona w maju 2026 roku, kiedy przestępcy zaczęli wykorzystywać inteligentne kontrakty Ethereum jako mechanizm przekazywania informacji o infrastrukturze dowodzenia. Taki model utrudnia szybkie wyłączenie kampanii, ponieważ konfiguracja nie jest przechowywana wyłącznie w tradycyjnych domenach czy statycznych plikach konfiguracyjnych.

Analiza techniczna

Infekcja rozpoczyna się od pliku JavaScript podszywającego się pod dokument, potwierdzenie bankowe lub fakturę. Po uruchomieniu przez ofiarę loader wyświetla fałszywy komunikat błędu, aby zwiększyć wiarygodność przynęty, a następnie sprawdza, czy działa w środowisku analitycznym lub sandboxie.

Mechanizmy antyanalityczne obejmują ocenę liczby plików na pulpicie, analizę uruchomionych procesów, parametrów sprzętowych oraz testy sieciowe. Jeżeli środowisko wygląda podejrzanie, malware przerywa działanie, utrudniając analizę i detekcję.

Po przejściu weryfikacji zagrożenie ustanawia trwałość, między innymi poprzez zaplanowane zadania, i pobiera kolejne komponenty. W dalszym etapie wykorzystuje dane odczytane z inteligentnego kontraktu Ethereum do pobrania aktualnych lokalizacji payloadów oraz adresów serwerów kontrolnych. Wśród dostarczanych elementów znajdują się instalator rozszerzenia, komponent injector .NET oraz legalny plik wykonywalny używany do DLL sideloadingu.

Najbardziej niebezpiecznym elementem jest instalacja złośliwego rozszerzenia bez użycia oficjalnego sklepu i bez standardowej zgody użytkownika. Malware kopiuje pliki dodatku bezpośrednio do profili Chrome i Edge, a następnie modyfikuje plik Secure Preferences. Aby obejść zabezpieczenia integralności Chromium, regeneruje odpowiednie wartości HMAC oraz nowsze hashe związane z mechanizmami ochrony konfiguracji przeglądarki.

Rozszerzenie podszywające się pod legalny komponent żąda szerokich uprawnień, obejmujących dostęp do kart, cookies, storage i interfejsu webRequest. Po instalacji tworzy unikalny identyfikator ofiary i zestawia kanał WebSocket z serwerem C2, co pozwala operatorowi wydawać polecenia w czasie rzeczywistym.

kradzież cookies, sessionStorage i localStorage,
pobieranie historii przeglądania,
enumerację otwartych kart i domen,
wykonywanie zrzutów ekranu aktywnej karty,
wyciąganie pełnego kodu HTML strony,
wstrzykiwanie kontrolowanej treści HTML do odwiedzanych witryn.

Dodatkowo rozszerzenie odpytuje ukryte endpointy udające pliki CSS, z których pobiera reguły przechwytywania ruchu, przekierowania oraz inne parametry operacyjne. To daje atakującym dużą elastyczność i umożliwia dynamiczną modyfikację zachowania malware bez konieczności ponownej infekcji systemu.

Konsekwencje / ryzyko

KREMLIN stanowi poważne zagrożenie, ponieważ umożliwia przejmowanie już uwierzytelnionych sesji użytkowników. Oznacza to, że nawet mechanizmy MFA mogą nie zapewnić pełnej ochrony, jeżeli przestępca przejmuje aktywną sesję po zakończonym procesie logowania.

Dostęp do cookies, tokenów sesyjnych i pełnej zawartości stron otwiera drogę do ataków typu man-in-the-browser. Atakujący może nie tylko obserwować działania ofiary, ale również manipulować treścią stron, podmieniać formularze i potencjalnie wpływać na przebieg transakcji finansowych w czasie rzeczywistym.

Dla instytucji finansowych oznacza to większe ryzyko fraudów, trudniejszą analizę incydentów oraz konieczność korelowania telemetrii z wielu warstw: endpointu, przeglądarki i aplikacji webowej. Dodatkowym utrudnieniem jest wykorzystanie blockchainu jako elementu infrastruktury sterującej, co komplikuje standardowe działania blokujące i utrudnia szybkie zakłócenie kampanii.

Rekomendacje

Organizacje powinny traktować ochronę przeglądarek jako integralny element bezpieczeństwa stacji roboczych. Szczególnie ważne jest monitorowanie zmian w profilach Chrome i Edge, wykrywanie nieautoryzowanych modyfikacji plików konfiguracyjnych oraz alertowanie na nagłe włączenie trybu deweloperskiego rozszerzeń.

wdrożenie detekcji dla uruchamiania podejrzanych plików JavaScript,
monitorowanie tworzenia zaplanowanych zadań i nietypowych mechanizmów trwałości,
wykrywanie prób DLL sideloadingu z użyciem legalnych binariów,
blokowanie instalacji rozszerzeń spoza zaufanych źródeł,
stosowanie list dozwolonych dodatków w politykach przedsiębiorstwa,
analiza anomalii sesyjnych i zmian fingerprintu klienta w systemach bankowych.

Z perspektywy użytkownika końcowego kluczowe znaczenie ma ostrożność wobec plików udających dokumenty, ograniczanie lokalnych uprawnień administracyjnych oraz szybkie reagowanie na symptomy kompromitacji, takie jak pojawienie się nieznanych rozszerzeń lub samoczynnie aktywowany tryb deweloperski przeglądarki.

W przypadku podejrzenia infekcji należy odizolować stację roboczą, zabezpieczyć artefakty przeglądarki do analizy, unieważnić aktywne sesje, wymusić ponowne logowanie oraz przeprowadzić rotację poświadczeń. Samo usunięcie rozszerzenia nie powinno być traktowane jako pełne usunięcie zagrożenia.

Podsumowanie

KREMLIN pokazuje, że nowoczesny malware bankowy coraz częściej koncentruje się na pełnym przejęciu środowiska przeglądarkowego, a nie jedynie na kradzieży loginu i hasła. Połączenie technik antyanalitycznych, DLL sideloadingu, manipulacji plikami Secure Preferences oraz dynamicznej konfiguracji opartej na Ethereum tworzy dojrzały i trudny do neutralizacji model ataku.

Dla zespołów bezpieczeństwa oznacza to potrzebę dokładniejszego monitorowania integralności przeglądarek, rozszerzeń i zachowań użytkowników. W sektorze finansowym szczególnego znaczenia nabiera dziś wykrywanie przejęcia sesji i nadużyć realizowanych już po poprawnym uwierzytelnieniu klienta.

Źródła

Elastic Security Labs — The extension you never installed: KREMLIN forges Chrome’s own integrity checks to steal banking sessions — https://www.elastic.co/security-labs/threat-command/malicious-browser-extension-kremlin-banking-malware
The Hacker News — KREMLIN Banking Malware Hijacks Chrome and Edge to Steal Credentials and Session Tokens — https://thehackernews.com/2026/09/kremlin-banking-malware-hijacks-chrome.html
Synacktiv — Phantom Extension — https://www.synacktiv.com/en/publications/phantom-extension-backdooring-chrome-through-uncharted-pathways

Sandworm wykorzystuje luki Cisco FMC do wdrażania nowej wersji Cyclops Blink

Wprowadzenie do problemu / definicja

Nowa kampania przypisywana grupie Sandworm pokazuje, jak groźne może być przejęcie systemów odpowiedzialnych za zarządzanie bezpieczeństwem sieci. Atakujący wykorzystują łańcuch podatności w Cisco Firewall Management Center, aby uzyskać uprzywilejowany dostęp do urządzenia, a następnie wdrożyć nową wersję malware Cyclops Blink.

To szczególnie niebezpieczny scenariusz, ponieważ kompromitacji ulega platforma mająca wgląd w polityki bezpieczeństwa, segmentację i ruch sieciowy. W praktyce oznacza to możliwość prowadzenia dalszych działań operacyjnych z poziomu zaufanej infrastruktury administracyjnej.

W skrócie

Kampania opiera się na wykorzystaniu dwóch podatności: CVE-2026-20079 oraz CVE-2026-20316. Pierwsza luka umożliwia obejście uwierzytelniania i zdalne wykonanie kodu z uprawnieniami roota, natomiast druga pozwala na uzyskanie dostępu z ograniczonymi uprawnieniami i dalszą eskalację.

Po uzyskaniu przyczółka napastnicy wdrażają narzędzia typu reverse shell, a następnie instalują zaktualizowany wariant Cyclops Blink. Nowa odsłona malware została rozbudowana o funkcje skanowania sieci, zbierania poświadczeń oraz przechwytywania ruchu.

Kontekst / historia

Cyclops Blink to modularny botnet i backdoor, który szerzej opisywano już w 2022 roku. Wcześniej kojarzono go głównie z infekowaniem urządzeń brzegowych i zapór sieciowych, a jego aktywność wielokrotnie łączono z operacjami przypisywanymi Sandworm.

Dotychczasowe kampanie pokazały, że urządzenia sieciowe i appliance’y bezpieczeństwa są atrakcyjnym celem dla zaawansowanych przeciwników. Zapewniają one nie tylko uprzywilejowany dostęp, ale również możliwość obserwacji ruchu, analizy topologii środowiska i planowania dalszej ekspansji w sieci ofiary.

Obecna aktywność sugeruje ewolucję zarówno technik ataku, jak i samego implantu. Operatorzy odchodzą od ograniczeń związanych z pojedynczymi platformami sprzętowymi i rozwijają malware w kierunku większej zgodności z systemami Linux wykorzystywanymi w infrastrukturze sieciowej.

Analiza techniczna

Kluczowym elementem kampanii jest łańcuchowe wykorzystanie dwóch podatności w Cisco FMC. CVE-2026-20079 ma charakter krytyczny i pozwala nieuwierzytelnionemu atakującemu zdalnie wykonać kod oraz uzyskać dostęp root do systemu bazowego. CVE-2026-20316 ma niższą ocenę, ale istotnie rozszerza możliwości ataku, umożliwiając logowanie z ograniczonym poziomem dostępu i dalsze działania eskalacyjne.

Według dostępnych analiz napastnicy najpierw umieszczają w systemie narzędzie oparte na Netcat, wykorzystywane jako reverse shell i kanał pośredniczący. Taki etap ułatwia utrzymanie dostępu, dostarczenie kolejnych komponentów oraz przemieszczanie się po środowisku.

Następnie wdrażany jest nowy wariant Cyclops Blink. Jedną z najważniejszych zmian jest przejście z architektury 32-bit PowerPC na 64-bit x86-64 Linux, co zwiększa kompatybilność z szerszą gamą urządzeń i systemów.

Zmianie uległy również mechanizmy utrwalania obecności. Zamiast polegać wyłącznie na technikach specyficznych dla konkretnego firmware, malware wykorzystuje bardziej uniwersalne metody persystencji dla systemów Linux, w tym rozwiązania zgodne z klasycznym modelem SysV.

Funkcjonalność implantu została wyraźnie rozszerzona. Obejmuje ona nie tylko cechy botnetu i backdoora, ale także agresywniejsze możliwości rekonesansu i zbierania danych.

aktywne skanowanie sieci wewnętrznej,
selektywne przechwytywanie pakietów,
zbieranie hashy haseł,
pozyskiwanie informacji o procesach i konfiguracji systemu,
gromadzenie danych o parametrach sprzętowych, w tym CPU.

Taki zestaw funkcji wskazuje, że celem atakujących nie jest wyłącznie utrzymanie pojedynczego hosta, lecz stworzenie trwałego punktu obserwacyjnego służącego do dalszego rozpoznania, kradzieży poświadczeń i rozwijania operacji wewnątrz organizacji.

Warto też podkreślić, że ta sama para podatności była wykorzystywana również w innych kampaniach. Obserwowano przypadki instalowania web shelli, narzędzi do zdalnego wykonywania poleceń, a także aktywność powiązaną z dystrybucją ransomware.

Konsekwencje / ryzyko

Przejęcie platformy zarządzającej zaporami i politykami bezpieczeństwa to incydent o bardzo wysokiej wadze operacyjnej. Tego typu system zwykle ma dostęp do wiedzy o segmentacji sieci, regułach dostępu, zdarzeniach bezpieczeństwa i zasobach krytycznych.

W praktyce daje to napastnikowi możliwość obserwacji ruchu, identyfikacji cennych systemów i planowania kolejnych etapów ataku z pozycji uprzywilejowanej. Rozbudowane funkcje przechwytywania ruchu i gromadzenia danych zwiększają ryzyko kradzieży poświadczeń administracyjnych, danych konfiguracyjnych oraz informacji przydatnych do pivotingu.

Dodatkowym problemem jest stosowanie bardziej uniwersalnych technik persystencji. Utrudnia to wykrycie i pełne usunięcie zagrożenia, zwłaszcza w środowiskach, które monitorują appliance’y sieciowe mniej rygorystycznie niż serwery czy stacje robocze.

Szczególnie narażone pozostają organizacje posiadające interfejsy zarządzające dostępne z Internetu, rozproszone środowiska administracyjne oraz infrastrukturę krytyczną. W takich przypadkach kompromitacja może objąć nie tylko pojedyncze urządzenie, ale całą domenę administracyjną.

Rekomendacje

Organizacje korzystające z Cisco Secure FMC powinny priorytetowo wdrożyć dostępne poprawki i aktualizacje bezpieczeństwa. Zwłoka w patchowaniu znacząco zwiększa ryzyko, zwłaszcza że luki były aktywnie wykorzystywane w rzeczywistych atakach.

Równolegle warto przeprowadzić przegląd oznak kompromitacji zarówno na systemach FMC, jak i w powiązanej infrastrukturze. Należy zweryfikować obecność nietypowych procesów, mechanizmów persystencji, połączeń wychodzących, reverse shelli, niestandardowych plików wykonywalnych oraz śladów narzędzi opartych na Netcat.

Zespoły bezpieczeństwa powinny podjąć następujące działania:

ograniczyć ekspozycję interfejsów zarządzających do zaufanych adresów i segmentów,
wymusić separację sieciową dla systemów administracyjnych,
wdrożyć monitoring integralności i mechanizmy EDR tam, gdzie platforma na to pozwala,
rotować poświadczenia administracyjne po wykryciu lub podejrzeniu incydentu,
przeszukać środowisko pod kątem ruchu lateralnego i wtórnych implantów,
skorelować logi z urządzeń brzegowych, serwerów i systemów IAM.

Dobrą praktyką pozostaje traktowanie appliance’y bezpieczeństwa jak systemów krytycznych, które wymagają pełnego hardeningu, centralnego monitoringu i regularnego threat huntingu. W wielu organizacjach to właśnie te urządzenia nadal stanowią słabiej chronioną warstwę infrastruktury.

Podsumowanie

Kampania wykorzystująca CVE-2026-20079 i CVE-2026-20316 potwierdza, że infrastruktura bezpieczeństwa pozostaje atrakcyjnym celem zarówno dla aktorów państwowych, jak i grup nastawionych na zysk. Nowa wersja Cyclops Blink jest bardziej przenośna, lepiej dostosowana do środowisk Linux i wyposażona w funkcje zwiększające wartość wywiadowczą przejętego urządzenia.

Dla obrońców oznacza to konieczność szybkiego patchowania, dokładnego monitorowania appliance’y sieciowych oraz traktowania systemów zarządzających jako zasobów o najwyższym priorytecie ochrony.

Źródła

Dark Reading — https://www.darkreading.com/cyberattacks-data-breaches/sandworm-chains-cisco-vulnerabilities-cyclops-blink
Cisco Talos Blog — https://blog.talosintelligence.com/
Cisco Security Advisory: CVE-2026-20079 — https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/
Cisco Security Advisory: CVE-2026-20316 — https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/
Sophos X-Ops — https://news.sophos.com/en-us/category/x-ops/

VectraRAT: nowa platforma MaaS atakuje środowiska Windows w firmach

Wprowadzenie do problemu / definicja

VectraRAT to nowo opisana platforma typu malware-as-a-service, zaprojektowana do zdalnego przejmowania systemów Windows i wspierania pełnego łańcucha działań po uzyskaniu dostępu do stacji roboczej. Z perspektywy bezpieczeństwa przedsiębiorstw to kolejny dowód na profesjonalizację podziemia cyberprzestępczego, które coraz częściej oferuje nie pojedyncze próbki złośliwego oprogramowania, lecz kompletne usługi obejmujące implant, infrastrukturę dowodzenia i kontroli oraz panel operatorski.

W skrócie

Badacze opisali VectraRAT jako platformę MaaS zbudowaną od podstaw, a nie prostą wariację znanych rodzin zdalnych trojanów administracyjnych. Usługa ma obejmować implant dla Windows, serwer C2 oraz panel do zarządzania kampanią. Według ujawnionych informacji podstawowy dostęp do platformy kosztuje około 250 dolarów miesięcznie, a dodatkowe usługi mogą podnosić końcową cenę pakietu.

Malware oferuje szeroki zestaw funkcji post-exploitation, w tym zdalny dostęp do CMD i PowerShell, keylogging, transfer plików, manipulację schowkiem, ukryty pulpit oraz tunelowanie ruchu przez SOCKS5. Szczególną uwagę zwraca mechanizm obejścia UAC, który może umożliwić uruchomienie procesu z podwyższonymi uprawnieniami bez standardowego monitu użytkownika.

Kontekst / historia

Opis VectraRAT sugeruje, że operator mógł działać wcześniej pod inną tożsamością i dopiero później przeprowadzić rebranding. To istotny sygnał, ponieważ pokazuje dojrzewanie modelu biznesowego cyberprzestępców. Zamiast krótkich kampanii opartych na publicznie dostępnych narzędziach pojawiają się rozwiązania rozwijane i utrzymywane jak komercyjne produkty subskrypcyjne.

VectraRAT wpisuje się przy tym w szerszy trend obniżania bariery wejścia do cyberprzestępczości. Potencjalny operator nie musi samodzielnie tworzyć malware, utrzymywać infrastruktury ani budować zaplecza administracyjnego. Wystarczy opłacić dostęp do gotowej platformy i wykorzystać ją do kampanii wymierzonych w organizacje korzystające z systemów Windows, w tym wersji korporacyjnych i serwerowych.

Analiza techniczna

Najważniejszą cechą VectraRAT jest architektura full-stack. Atakujący otrzymuje nie tylko sam implant uruchamiany na stacji ofiary, ale także gotową warstwę komunikacji C2 oraz panel operatorski. Taki model upraszcza przygotowanie kampanii, przyspiesza działania po kompromitacji i zwiększa spójność całego łańcucha ataku.

Według dostępnych opisów VectraRAT bywa dostarczany przy użyciu loadera Amadey oraz stron wykorzystujących schemat ClickFix. Ten drugi wektor jest szczególnie groźny, ponieważ opiera się na socjotechnice. Użytkownik otrzymuje instrukcję wykonania pozornie nieszkodliwego polecenia, często pod pretekstem naprawy błędu, weryfikacji lub potwierdzenia dostępu, a w praktyce sam inicjuje uruchomienie złośliwego łańcucha infekcji.

Po uruchomieniu implant zapewnia funkcje typowe dla dojrzałych RAT-ów, ale skumulowane w jednej usłudze abonamentowej. Obejmują one między innymi:

zdalne wykonywanie poleceń w CMD,
zdalny dostęp do PowerShell,
keylogging,
transfer plików,
enumerację procesów,
manipulację schowkiem,
ukryty pulpit dla operatora,
tunelowanie ruchu przez SOCKS5.

Na wczesnym etapie komunikacji z infrastrukturą atakującego malware ma automatycznie zbierać dane uwierzytelniające zapisane w przeglądarkach oraz wyszukiwać pliki konfiguracyjne, takie jak .env, .conf i .config. W środowiskach firmowych to szczególnie niebezpieczne, ponieważ takie pliki często zawierają hasła, tokeny API, dane dostępowe do baz danych, klucze do usług chmurowych i inne sekrety operacyjne.

Najbardziej wyróżniającym elementem platformy jest obejście mechanizmu User Account Control. Taka technika może umożliwić uzyskanie procesu o wysokim poziomie integralności bez wyświetlania standardowego okna podniesienia uprawnień. W praktyce daje to operatorowi większą swobodę po początkowej kompromitacji i ułatwia kolejne etapy ataku, takie jak eskalacja uprawnień, kradzież danych czy przygotowanie ruchu bocznego.

Dodatkowym aspektem są oferowane usługi wspomagające, w tym crypting, którego celem jest utrudnienie wykrycia przez narzędzia antywirusowe. To kolejny przykład profesjonalizacji przestępczego ekosystemu, w którym malware funkcjonuje nie jako pojedynczy plik, ale jako rozwijana usługa z rozszerzeniami i wsparciem operacyjnym.

Konsekwencje / ryzyko

Dla organizacji VectraRAT oznacza zagrożenie wykraczające daleko poza prostą infekcję pojedynczego endpointa. Narzędzie zapewnia interaktywny dostęp do hosta, umożliwiając rozpoznanie środowiska, zbieranie kolejnych poświadczeń, kradzież dokumentów i przemieszczanie się w głąb sieci. Szczególnie zagrożone są firmy, w których stacje użytkowników przechowują sekrety aplikacyjne, mają dostęp do systemów administracyjnych lub funkcjonują w sieciach o ograniczonej segmentacji.

Niepokojące jest również to, że część obserwowanych ofiar miała korzystać z korporacyjnych edycji Windows, w tym wersji Enterprise oraz systemów serwerowych. Taki profil wskazuje na ukierunkowanie na cele o wyższej wartości biznesowej. Zgłaszana eksfiltracja plików pokazuje ponadto, że chodzi nie tylko o testowanie dostępu, ale o realne operacje kradzieży danych.

Z punktu widzenia obrońców rośnie także ryzyko skali. Jeśli za relatywnie niski miesięczny koszt można uzyskać gotową platformę z funkcjami obejścia UAC i rozbudowanym zestawem możliwości post-exploitation, to próg wejścia dla mniej zaawansowanych operatorów istotnie spada. W efekcie więcej kampanii może zostać skierowanych również przeciwko średnim organizacjom, które wcześniej były poza głównym zainteresowaniem bardziej zaawansowanych grup.

Rekomendacje

Organizacje powinny traktować VectraRAT jako zagrożenie łączące socjotechnikę, kradzież poświadczeń i aktywność hands-on-keyboard. W praktyce warto wdrożyć następujące działania:

blokować lub ściśle monitorować nietypowe uruchomienia poleceń przez okno Uruchom oraz przez PowerShell i CMD inicjowane przez użytkowników,
wzmacniać ochronę przed schematami ClickFix poprzez szkolenia i jasne procedury dla pracowników,
monitorować ruch wychodzący TCP pod kątem anomalii i korelować go z nietypowymi procesami potomnymi,
wdrożyć EDR lub XDR z naciskiem na detekcję obejścia UAC, ukrytych instancji PowerShell oraz zachowań wskazujących na zdalną interakcję z hostem,
ograniczyć przechowywanie sekretów w plikach .env, .conf i .config na stacjach roboczych,
stosować zasadę najmniejszych uprawnień i segmentację sieci, aby utrudnić ruch boczny po kompromitacji jednego hosta,
egzekwować MFA dla dostępu do krytycznych usług, zwłaszcza jeśli dane uwierzytelniające z przeglądarki mogą zostać przejęte,
regularnie przeglądać hosty pod kątem artefaktów C2, nieautoryzowanych mechanizmów persistence i podejrzanych transferów plików,
aktualizować reguły detekcyjne o dostępne wskaźniki kompromitacji i zachowania powiązane z tą rodziną.

Podsumowanie

VectraRAT pokazuje, że współczesne malware-as-a-service coraz bardziej przypomina legalne produkty abonamentowe: jest kompletne, rozwijane, rozszerzalne i relatywnie tanie. Dla obrońców oznacza to podwójne wyzwanie. Z jednej strony pojawia się nowe narzędzie oferujące zdalną kontrolę nad systemami Windows i mechanizmy obejścia zabezpieczeń. Z drugiej strony model subskrypcyjny może zwiększyć liczbę podmiotów zdolnych do prowadzenia skutecznych ataków na firmy.

Najważniejszą odpowiedzią pozostaje połączenie telemetrii endpointów, monitoringu zachowań post-exploitation, ochrony przed socjotechniką oraz rygorystycznego zarządzania poświadczeniami i sekretami. To właśnie te obszary będą decydowały o odporności organizacji na kolejną generację komercjalizowanych zagrożeń.

Źródła

Dark Reading – VectraRAT Can Hack Windows Enterprises for $250 per Month — https://www.darkreading.com/endpoint-security/vectrarat-hack-windows-enterprises

Atak na 3BB z użyciem MeshCentral: trwały backdoor, root access i zagrożenie dla danych abonentów

Wprowadzenie do problemu / definicja

Nadużywanie legalnych narzędzi administracyjnych stało się jednym z najważniejszych trendów we współczesnych incydentach cyberbezpieczeństwa. Zamiast wdrażać klasyczne malware, które łatwiej wykryć na podstawie sygnatur lub anomalii, napastnicy coraz częściej sięgają po zaufane rozwiązania używane na co dzień przez działy IT. Taka taktyka utrudnia identyfikację incydentu, ponieważ aktywność atakującego może przypominać rutynowe działania administracyjne.

Przykładem jest ujawniony incydent dotyczący operatora szerokopasmowego 3BB. Z analizy wynika, że atakujący wykorzystywał MeshCentral jako ukryty mechanizm utrzymania dostępu do wewnętrznych systemów, a jego działania były nakierowane na przejęcie poświadczeń i rozszerzenie kontroli nad infrastrukturą.

W skrócie

Badacze ustalili, że napastnik działał wewnątrz środowiska 3BB i utrzymywał zdalny dostęp do hostów przy użyciu MeshCentral skonfigurowanego jako trwały backdoor. Część przejętych maszyn miała pozostawać pod aktywną kontrolą z uprawnieniami root, co dawało pełną możliwość zarządzania systemami linuksowymi.

wykorzystanie MeshCentral do persistence i zdalnej kontroli hostów,
obecność skryptów do czyszczenia śladów i rozprzestrzeniania dostępu przez SSH,
próby wyszukiwania poświadczeń oraz przygotowania alternatywnych kanałów powrotu,
ukierunkowanie działań na bazy RADIUS przechowujące dane uwierzytelniające abonentów,
odnalezienie exploita dla FortiGate SSL-VPN związanego z CVE-2024-21762, bez jednoznacznego potwierdzenia użycia go jako wektora wejścia.

Kontekst / historia

Incydent został ujawniony po analizie serwera wystawionego publicznie do internetu, na którym znajdowały się narzędzia operatora ataku oraz lista przejętych urządzeń. Badacze przejęli dostęp do tego serwera 3 czerwca 2026 roku, gdy operacja nadal była aktywna. Zgromadzone materiały wskazywały, że część poleceń była wykonywana z hosta już osadzonego w infrastrukturze 3BB.

Charakter operacji sugeruje, że nie chodziło o jednorazowe naruszenie. Atakujący przygotował zestaw skryptów automatyzujących działania po uzyskaniu dostępu, procedury czyszczenia logów oraz mechanizmy persistence, przy jednoczesnym pozostawieniu działającego agenta MeshCentral. To wskazuje na długofalowe utrzymywanie obecności w środowisku i planowane rozszerzanie kontroli nad kolejnymi systemami.

Dodatkowym wątkiem była możliwa eksploracja infrastruktury powiązanej z Jasmine, z którą 3BB miała współdzielić część zasobów. Choć nie potwierdzono jednoznacznie naruszenia drugiej organizacji, artefakty sugerowały zainteresowanie tym obszarem.

Analiza techniczna

Najbardziej charakterystycznym elementem incydentu było użycie MeshCentral, czyli legalnego narzędzia do zdalnego zarządzania systemami. W tym przypadku zostało ono skonfigurowane w sposób typowy dla operacyjnego backdoora: agent komunikował się z serwerem kontrolowanym przez napastnika, a urządzenia były porządkowane w dedykowanej strukturze zarządzania. To klasyczny przykład podejścia living-off-the-land, w którym legalne komponenty zastępują tradycyjne złośliwe oprogramowanie.

Odzyskane listy urządzeń wskazywały, że część hostów pozostawała online i działała z uprawnieniami root. Taki poziom dostępu umożliwia pełną kontrolę nad systemem, w tym modyfikację usług, instalowanie dodatkowych implantów, zmianę konfiguracji uwierzytelniania, manipulowanie logami oraz obchodzenie lokalnych mechanizmów bezpieczeństwa.

Istotną rolę odgrywały również skrypty post-eksploatacyjne, które wspierały ruch boczny i utrzymanie dostępu. Ich funkcje obejmowały:

rozpraszanie haseł przeciwko wielu hostom wewnętrznym przez SSH,
przeszukiwanie systemów pod kątem haseł, kluczy SSH i danych logowania do baz danych,
wdrażanie web shelli oraz ukrytych stron do zdalnego wykonywania poleceń,
dodawanie kluczy SSH jako zapasowego kanału dostępu,
usuwanie artefaktów aktywności przy zachowaniu głównych mechanizmów persistence.

Szczególnie istotny był komponent skierowany przeciwko bazom RADIUS. W środowiskach telekomunikacyjnych systemy te przechowują kluczowe dane uwierzytelniające wykorzystywane do dostępu do usług sieciowych. Dla atakującego są one celem o wysokiej wartości, ponieważ mogą umożliwiać przejęcie kont, nadużycia dostępu, wtórne ataki na klientów oraz dalszą eskalację w ekosystemie operatora.

W zestawie narzędzi znaleziono także exploit dla FortiGate SSL-VPN powiązany z CVE-2024-21762. Obecność tego komponentu oraz zgodność wersji firmware z podatnym zakresem wzmacniają hipotezę, że mógł to być jeden z możliwych wektorów wejścia, jednak dostępny materiał dowodowy nie potwierdził tego jednoznacznie.

Konsekwencje / ryzyko

Ryzyko wynikające z tego incydentu jest wysokie. Uzyskanie uprawnień root na hostach wewnętrznych daje napastnikowi niemal nieograniczone możliwości manipulowania systemami i ukrywania swojej obecności przez długi czas. Dodatkowo wykorzystanie legalnego narzędzia administracyjnego ogranicza skuteczność wielu tradycyjnych metod wykrywania opartych głównie na znanych wskaźnikach kompromitacji.

Celowanie w bazy RADIUS wskazuje na operację skoncentrowaną na poświadczeniach i tożsamości. Nawet bez potwierdzonej eksfiltracji danych samo przygotowanie skryptów do kopiowania takich baz należy traktować jako poważne zagrożenie dla abonentów i integralności usług operatora. Potencjalne skutki obejmują przejęcie kont, podszywanie się pod użytkowników, nadużycia w dostępie do usług oraz dalsze ataki na klientów lub partnerów.

Dodatkowym problemem są skrypty czyszczące logi i inne ślady aktywności. Tego typu działania utrudniają response, ograniczają możliwości analizy śledczej i zwiększają ryzyko, że część mechanizmów persistence pozostanie aktywna nawet po rozpoczęciu remediacji.

Rekomendacje

Incydent 3BB powinien być traktowany jako praktyczny przykład zagrożeń wynikających z nadużywania narzędzi zdalnej administracji. Organizacje powinny zweryfikować zarówno ekspozycję techniczną, jak i procesy nadzoru nad legalnym oprogramowaniem administracyjnym.

przeprowadzić pełny przegląd wszystkich instalacji agentów zdalnego zarządzania, w tym MeshCentral i podobnych narzędzi RMM,
zidentyfikować nieautoryzowane połączenia wychodzące do zewnętrznych serwerów zarządzających,
sprawdzić hosty pod kątem nietypowych usług, nowych kluczy SSH, web shelli, plików SUID i ścieżek persistence,
niezwłocznie załatać lub odłączyć podatne instancje FortiGate SSL-VPN narażone na CVE-2024-21762,
przeprowadzić rotację poświadczeń, w tym haseł SSH, sekretów aplikacyjnych, danych bazodanowych, certyfikatów VPN i danych RADIUS,
zabezpieczyć oraz zarchiwizować logi przed rozpoczęciem czyszczenia środowiska,
wdrożyć detekcję behawioralną dla narzędzi administracyjnych uruchamianych poza standardowym change management,
wzmocnić segmentację infrastruktury krytycznej i ograniczyć możliwości lateral movement.

Z perspektywy SOC warto rozszerzyć reguły detekcyjne o korelację między nietypowym użyciem SSH, pojawieniem się nowych agentów zarządzających, modyfikacją kluczy autoryzacyjnych oraz próbami usuwania logów. W środowiskach operatorskich najwyższy priorytet ochrony powinny mieć systemy AAA, RADIUS i repozytoria danych uwierzytelniających klientów.

Podsumowanie

Atak na 3BB pokazuje, że współczesne operacje intruzów coraz częściej opierają się nie na głośnym malware, lecz na cichym wykorzystaniu legalnych narzędzi administracyjnych. MeshCentral posłużył w tym przypadku jako trwały kanał zdalnej kontroli, a zestaw skryptów wskazuje na dojrzałą fazę post-eksploatacyjną obejmującą ruch boczny, kradzież poświadczeń i przygotowanie wielu mechanizmów powrotu do środowiska.

Choć nie potwierdzono ostatecznie eksfiltracji danych abonentów ani wykorzystania konkretnej luki jako punktu wejścia, skala przygotowań i poziom dostępu pokazują, że organizacje powinny traktować narzędzia zdalnego zarządzania, systemy VPN oraz bazy uwierzytelniające jako obszary najwyższego priorytetu obronnego.

Źródła

KREMLIN: trojan bankowy przejmuje Chrome i Edge, kradnąc loginy oraz tokeny sesyjne

Wprowadzenie do problemu / definicja

KREMLIN to nowo opisana rodzina złośliwego oprogramowania bankowego, ukierunkowana głównie na użytkowników w Brazylii. Kampania wykorzystuje wieloetapowy łańcuch infekcji, którego kluczowym elementem jest instalacja złośliwego rozszerzenia w przeglądarkach Google Chrome i Microsoft Edge w celu przejęcia poświadczeń, ciasteczek, tokenów sesyjnych oraz innych danych przetwarzanych przez przeglądarkę.

W skrócie

Aktywność KREMLIN obserwowana jest co najmniej od maja 2025 roku. Operatorzy podszywają się pod banki, dokumenty firmowe i faktury, aby nakłonić ofiarę do ręcznego uruchomienia pliku JavaScript. Następnie uruchamiany jest łańcuch loaderów, które pobierają kolejne komponenty, utrzymują trwałość w systemie i instalują złośliwe rozszerzenie przeglądarkowe.

Na szczególną uwagę zasługuje obejście mechanizmów integralności Chromium oraz wykorzystanie inteligentnych kontraktów Ethereum do ukrywania i dynamicznego aktualizowania infrastruktury dowodzenia i kontroli. Badacze wskazują również na dużą skalę kampanii oraz dominację ofiar z rynku brazylijskiego.

Kontekst / historia

Operacja została powiązana z aktywnością śledzoną jako REF9334. Z ustaleń badaczy wynika, że grupa od dłuższego czasu prowadzi kampanie wymierzone w klientów instytucji finansowych, korzystając także z narzędzi zdalnego dostępu. Zmiana infrastruktury na model wykorzystujący smart kontrakty Ethereum miała nastąpić 19 maja 2026 roku, co wskazuje na próbę utrudnienia blokowania zaplecza ataku.

Scenariusz ataku opiera się na znanym schemacie socjotechnicznym: fałszywe dokumenty, przynęty związane z bankowością i rozliczeniami oraz ręczne uruchomienie pozornie nieszkodliwego pliku. KREMLIN wyróżnia się jednak tym, że nie ogranicza się do kradzieży haseł, lecz koncentruje się na przejęciu pełnego kontekstu pracy użytkownika w przeglądarce.

Analiza techniczna

Początkowy wektor infekcji wykorzystuje plik JavaScript podszywający się pod dokument. Po uruchomieniu wykonywany jest loader sprawdzający, czy środowisko nie jest piaskownicą lub maszyną wirtualną. Jeśli system przejdzie weryfikację, malware pobiera i uruchamia kolejne moduły.

Drugi etap odpowiada za ustanowienie trwałości, m.in. przez zaplanowane zadania, odczyt lokalizacji pobierania z kontraktu Ethereum oraz dostarczenie dalszych komponentów. Wśród nich znajdują się instalator złośliwego rozszerzenia, injector .NET oraz legalny plik wykonywalny używany do DLL sideloadingu.

Kluczowy komponent napisany w C++ ładuje niepodpisaną bibliotekę podszywającą się pod legalny moduł. Przed rozpoczęciem działania malware ponownie przeprowadza kontrole antyanalityczne, sprawdzając uruchomione procesy i parametry sprzętowe, takie jak liczba rdzeni CPU czy ilość dostępnej pamięci RAM.

Najważniejszym elementem kampanii jest instalacja złośliwego rozszerzenia dla Chrome i Edge. KREMLIN wykorzystuje publicznie opisaną technikę obejścia integralności Chromium poprzez modyfikację pliku Secure Preferences, aktywację trybu deweloperskiego oraz aktualizację struktury protection.macs z podrobionymi metadanymi. Dzięki temu rozszerzenie może zostać zarejestrowane bez typowych alertów bezpieczeństwa.

Po instalacji rozszerzenie uzyskuje szerokie uprawnienia do kart, cookies, storage oraz interfejsów żądań sieciowych. Może między innymi wykonywać zrzuty ekranu aktywnej karty, wyliczać otwarte domeny i zakładki, kraść cookies, localStorage i sessionStorage, pobierać kod HTML stron, odświeżać konfigurację oraz przechwytywać wybrane żądania HTTP.

Dodatkowym utrudnieniem dla obrońców jest zastosowanie mechanizmu dead drop resolver opartego na blockchainie. Zamiast stałych adresów C2 malware odpytuje inteligentny kontrakt Ethereum w celu uzyskania aktualnych lokalizacji infrastruktury. Kampania wykorzystuje też tzw. network canary check, aby rozpoznawać środowiska analityczne i przerywać wykonanie.

Konsekwencje / ryzyko

KREMLIN stanowi istotne zagrożenie dla użytkowników bankowości internetowej oraz organizacji korzystających z przeglądarek Chromium jako podstawowego kanału dostępu do usług finansowych i aplikacji SaaS. Kradzież ciasteczek oraz tokenów sesyjnych może umożliwić obejście części zabezpieczeń MFA, jeśli sesja użytkownika pozostaje aktywna.

Ryzyko dotyczy nie tylko osób prywatnych, ale również środowisk firmowych. Przejęcie aktywnych sesji może prowadzić do oszustw finansowych, przejęcia kont korporacyjnych, nadużyć w systemach wewnętrznych, a nawet dalszego ruchu bocznego w organizacji. Dla zespołów bezpieczeństwa szczególnie problematyczne jest to, że malware działa wewnątrz zaufanego procesu przeglądarki i wykorzystuje legalne komponenty systemowe.

Rekomendacje

Organizacje powinny ograniczyć możliwość ręcznego uruchamiania niezweryfikowanych skryptów i plików pobieranych spoza kontrolowanych kanałów. W środowiskach Windows warto egzekwować polityki blokujące nieautoryzowane interpretery skryptowe oraz monitorować tworzenie zaplanowanych zadań przez nietypowe procesy potomne.

Niezbędne jest również ścisłe zarządzanie rozszerzeniami przeglądarek, w tym stosowanie list dozwolonych dodatków dla Chrome i Edge. Każda nieautoryzowana zmiana w plikach konfiguracyjnych profilu, zwłaszcza Secure Preferences, powinna być traktowana jako potencjalny wskaźnik kompromitacji.

Monitorować nietypowe modyfikacje profili Chrome i Edge.
Wykrywać aktywację trybu deweloperskiego poza procesami administracyjnymi.
Analizować komunikację WebSocket z podejrzanymi hostami.
Śledzić masowe odczyty cookies, localStorage i sessionStorage.
Wykrywać próby DLL sideloadingu i uruchamianie legalnych binariów z nietypowymi bibliotekami.
Kontrolować artefakty trwałości oparte na harmonogramie zadań.

W przypadku podejrzenia infekcji należy natychmiast wylogować aktywne sesje użytkownika, wymusić rotację haseł oraz unieważnienie tokenów sesyjnych. Sam reset hasła może nie wystarczyć, jeśli napastnik przejął ważne ciasteczka sesyjne. Konieczna jest także weryfikacja zainstalowanych rozszerzeń i analiza integralności plików profilu przeglądarki.

Podsumowanie

KREMLIN pokazuje, że współczesne trojany bankowe coraz częściej koncentrują się na głębokim przejęciu warstwy przeglądarkowej. Połączenie wieloetapowych loaderów, DLL sideloadingu, technik antyanalitycznych, obejścia zabezpieczeń Chromium i wykorzystania smart kontraktów Ethereum tworzy elastyczny oraz trudniejszy do zakłócenia ekosystem ataku.

Największym zagrożeniem nie jest już wyłącznie kradzież haseł, ale przejęcie pełnego kontekstu sesji użytkownika. To właśnie ten model działania sprawia, że nawet środowiska chronione MFA mogą pozostać podatne na skuteczne nadużycia, jeśli przeglądarka i jej profil nie są odpowiednio monitorowane.

Źródła

The Hacker News — KREMLIN Banking Malware Hijacks Chrome and Edge to Steal Credentials and Session Tokens — https://thehackernews.com/2026/09/kremlin-banking-malware-hijacks-chrome.html
Synacktiv — Phantom Extension — https://www.synacktiv.com/publications/phantom-extension-backdooring-chrome-through-uncharted-pathways
Etherscan — Ethereum Smart Contract Reference — https://etherscan.io/

Irańskie malware sterowane przez Telegram uderza w dziennikarzy i dysydentów

Wprowadzenie do problemu / definicja

Nowa kampania cyberszpiegowska przypisywana irańskim podmiotom państwowym pokazuje, jak skutecznie atakujący potrafią wykorzystywać legalne platformy komunikacyjne do sterowania złośliwym oprogramowaniem. Opisana rodzina malware, identyfikowana jako CHOSEN BRICK oraz HEAVYGRAM, została użyta do inwigilacji dysydentów, aktywistów i dziennikarzy.

Szczególnie niebezpieczny jest sposób działania tego zagrożenia. Mechanizm dowodzenia i eksfiltracji danych opiera się na infrastrukturze powiązanej z komunikatorem Telegram, co utrudnia wykrywanie i pozwala ukrywać złośliwy ruch wśród legalnej aktywności sieciowej.

W skrócie

15 września 2026 roku służby cyberbezpieczeństwa z Wielkiej Brytanii, Stanów Zjednoczonych i Holandii publicznie opisały kampanię wiązaną z irańskim resortem wywiadu i bezpieczeństwa. Według ujawnionych ustaleń malware działa na systemach Windows, utrzymuje persystencję po restarcie i komunikuje się z unikalnymi botami przypisanymi do poszczególnych ofiar.

Złośliwe oprogramowanie umożliwia kradzież wiadomości, poświadczeń, zrzutów ekranu oraz nagrań audio z mikrofonu. Atak najczęściej rozpoczyna się od wiadomości socjotechnicznej i pliku podszywającego się pod legalne narzędzie, aplikację lub dokument.

Kontekst / historia

Analizy wskazują, że korzenie kampanii sięgają co najmniej jesieni 2023 roku, a samo malware miało być używane przeciwko wybranym grupom ofiar przynajmniej od 2025 roku. Głównymi celami są osoby postrzegane jako wrogie wobec władz Iranu, w tym dziennikarze krytyczni wobec reżimu, działacze społeczni oraz środowiska opozycyjne.

Charakter operacji wpisuje się w model cyberrepresji prowadzonej poza granicami państwa. Celem nie jest wyłącznie pozyskanie danych, lecz także profilowanie kontaktów, śledzenie aktywności, ustalanie lokalizacji oraz budowanie presji operacyjnej wobec ofiar i ich otoczenia.

Dodatkowym zagrożeniem jest możliwość publikacji pozyskanych informacji w prorządowych serwisach wyciekowych. Taki scenariusz zwiększa ryzyko naruszenia prywatności, bezpieczeństwa fizycznego oraz ochrony źródeł i kontaktów zawodowych.

Analiza techniczna

Łańcuch infekcji rozpoczyna się zwykle od spear-phishingu prowadzonego przez komunikatory lub kanały bezpośrednie. Atakujący podszywają się pod zaufane osoby, wsparcie techniczne albo dostawców znanych aplikacji i dostarczają plik wykonywalny wyglądający jak legalny program lub dokument.

W opisywanych przypadkach przynęty naśladowały między innymi menedżery haseł, komunikatory, oprogramowanie ochronne oraz pliki związane z diagnostyką medyczną. Po uruchomieniu ofiara widzi wiarygodny ekran sugerujący poprawne działanie aplikacji, podczas gdy w tle instalowany jest właściwy ładunek malware.

Zagrożenie uzyskuje persystencję przez modyfikację kluczy autostartu w rejestrze Windows, dzięki czemu uruchamia się ponownie po zalogowaniu użytkownika. Dodatkowo może zmieniać ustawienia ochronne systemu, w tym dodawać wykluczenia dla Microsoft Defender, aby ograniczyć skuteczność detekcji.

Jednym z najważniejszych elementów operacji jest infrastruktura sterowania przypisana per ofiara. Każda zainfekowana stacja może otrzymać osobnego bota, co upraszcza segmentację kampanii, zmniejsza ryzyko operacyjnych pomyłek i ułatwia ukrywanie aktywności. W nowszych wariantach ruch może być dodatkowo maskowany przez serwery proxy.

Zakres funkcji malware obejmuje:

wykonywanie zrzutów ekranu,
enumerację uruchomionych procesów,
aktywację mikrofonu i nagrywanie dźwięku,
kradzież zapisanych haseł i adresów e-mail,
pozyskiwanie danych z komunikatorów i przeglądarek,
pobieranie kolejnych komponentów,
usuwanie plików,
w co najmniej jednej wersji także destrukcyjne wymazanie systemu.

Analitycy zwracają uwagę na artefakty takie jak nietypowe wpisy w kluczach Run, charakterystyczne nazwy mutexów oraz podejrzane ścieżki katalogów imitujące lokalizacje systemowe. Sygnałem ostrzegawczym mogą być również połączenia do legalnych usług komunikacyjnych i chmurowych pojawiające się w nietypowym kontekście procesowym lub czasowym.

Konsekwencje / ryzyko

Z perspektywy bezpieczeństwa operacyjnego jest to zagrożenie wysokiego priorytetu, mimo że kampania nie ma charakteru masowego. To malware silnie ukierunkowane, zaprojektowane do długotrwałej obserwacji i pozyskiwania danych wrażliwych.

Największe ryzyko dotyczy osób objętych nadzorem politycznym, organizacji praw człowieka, redakcji, think tanków oraz podmiotów współpracujących z diasporą irańską. Przejęcie korespondencji, historii kontaktów, dźwięku z otoczenia i materiału ekranowego może ujawnić sieci relacji, harmonogramy działań oraz miejsca pobytu.

W praktyce takie informacje mogą wspierać dalsze operacje wpływu, zastraszania, doxingu oraz transnarodowej represji. Dla organizacji oznacza to również ryzyko naruszenia bezpieczeństwa komunikacji z informatorami, partnerami i źródłami terenowymi.

Rekomendacje

Organizacje i użytkownicy należący do grup podwyższonego ryzyka powinni wdrożyć środki ochronne adekwatne do zagrożeń APT oraz ukierunkowanego spear-phishingu. W tym przypadku kluczowe znaczenie ma połączenie kontroli technicznych, monitoringu i świadomości użytkowników.

Ograniczyć uruchamianie plików dostarczanych przez komunikatory i pocztę bez wcześniejszej weryfikacji pochodzenia.
Wymusić pobieranie oprogramowania wyłącznie z oficjalnych repozytoriów i witryn producentów.
Stosować MFA odporne na phishing, najlepiej oparte na kluczach sprzętowych.
Wdrożyć allowlisting aplikacji na stacjach roboczych wysokiego ryzyka.
Monitorować klucze autostartu rejestru, wykluczenia Microsoft Defender i nietypowe ścieżki w katalogach systemowych.
Analizować ruch wychodzący do usług komunikacyjnych i chmurowych pod kątem anomalii procesowych.
Segmentować środowiska pracy i ograniczać użycie prywatnych urządzeń do obsługi wrażliwej komunikacji.
Prowadzić szkolenia z rozpoznawania socjotechniki opartej na podszywaniu się pod znane kontakty i wsparcie techniczne.
Przygotować procedury reagowania obejmujące analizę artefaktów hostowych, pamięci i logów EDR.

W przypadku podejrzenia infekcji nie należy poprzestawać na usunięciu pojedynczego pliku. Niezbędna jest pełna analiza kompromitacji, rotacja poświadczeń, przegląd kont komunikacyjnych oraz ocena, czy napastnicy nie uzyskali dodatkowego lub trwałego dostępu innymi metodami.

Podsumowanie

Przypadek CHOSEN BRICK i HEAVYGRAM potwierdza, że nowoczesne kampanie cyberszpiegowskie coraz częściej wykorzystują legalne usługi internetowe jako warstwę dowodzenia i ukrywania aktywności. To narzędzia stworzone do precyzyjnej inwigilacji, a nie do szerokiej, przypadkowej dystrybucji.

Dla zespołów bezpieczeństwa najważniejsze pozostają wczesne wykrywanie anomalii na stacjach Windows, ścisła kontrola uruchamianych plików oraz ochrona osób z grup wysokiego ryzyka przed zaawansowaną socjotechniką. Skuteczna obrona wymaga jednoczesnego wykorzystania telemetryki endpointów, kontroli dostępu, edukacji użytkowników i procedur reagowania dostosowanych do zagrożeń sponsorowanych przez państwo.