Archiwa: Malware - Strona 69 z 128

GlassWorm atakuje łańcuch dostaw oprogramowania: ponad 400 złośliwych komponentów na GitHub, npm, VS Code i OpenVSX

Wprowadzenie do problemu / definicja

GlassWorm to kampania malware typu supply chain, wymierzona w środowiska programistyczne, repozytoria kodu oraz rejestry pakietów i rozszerzeń. W najnowszej odsłonie zagrożenie zostało powiązane z setkami skompromitowanych komponentów opublikowanych lub zmodyfikowanych w ekosystemach GitHub, npm, Visual Studio Code Marketplace oraz OpenVSX.

To szczególnie niebezpieczny scenariusz, ponieważ atak wykorzystuje zaufane kanały dystrybucji używane codziennie przez deweloperów, administratorów i zespoły DevOps. W praktyce oznacza to, że złośliwy kod może zostać pobrany wraz z pozornie legalnym rozszerzeniem, pakietem lub repozytorium.

W skrócie

Badacze bezpieczeństwa powiązali najnowszą falę GlassWorm z co najmniej 433 skompromitowanymi komponentami. Wśród nich znalazło się około 200 repozytoriów Pythona na GitHub, 151 repozytoriów JavaScript i TypeScript, 72 rozszerzenia VS Code i OpenVSX oraz 10 pakietów npm.

atak obejmuje wiele kanałów dystrybucji jednocześnie,
operatorzy mieli przejmować konta deweloperów i publikować trojanizowane komponenty,
złośliwy kod był maskowany przy użyciu niewidocznych znaków Unicode,
malware wykorzystywał blockchain Solana do pobierania instrukcji i dalszych ładunków,
celem kampanii była kradzież poświadczeń, tokenów, kluczy SSH i danych środowisk deweloperskich.

Kontekst / historia

GlassWorm był obserwowany już wcześniej jako zagrożenie skierowane przeciwko ekosystemowi open source oraz narzędziom używanym przez programistów. W poprzednich kampaniach złośliwe działania wiązano między innymi z infekowaniem rozszerzeń dla VS Code oraz próbami kradzieży danych z portfeli kryptowalutowych, poświadczeń i tokenów dostępowych.

Z czasem aktywność grupy rozszerzyła się poza pojedyncze rozszerzenia i zaczęła obejmować różne warstwy łańcucha dostaw oprogramowania. Obecna fala ataków pokazuje wyraźną eskalację skali oraz dojrzałości operacyjnej. Zamiast pojedynczych incydentów mamy do czynienia z kampanią wielokanałową, w której podobne techniki, wspólna infrastruktura i zbliżone ładunki wskazują na jednego aktora lub silnie skoordynowaną grupę.

Analiza techniczna

Łańcuch ataku rozpoczyna się od kompromitacji kont deweloperskich lub przejęcia dostępu do projektów. W przypadku GitHub skutkiem są złośliwe commity wprowadzane metodą force-push, co pozwala nadpisywać historię i utrudnia szybkie wykrycie manipulacji. Następnie zainfekowany kod trafia do kolejnych kanałów dystrybucji, w tym do pakietów npm oraz rozszerzeń publikowanych dla VS Code i OpenVSX.

Jedną z najbardziej charakterystycznych technik stosowanych przez GlassWorm jest użycie niewidocznych znaków Unicode do ukrywania złośliwej logiki. Tego typu obfuskacja utrudnia analizę zmian podczas code review, ponieważ elementy odpowiedzialne za infekcję mogą wyglądać jak niegroźne różnice formatowania lub pozostać praktycznie niewidoczne dla recenzenta.

Kampania korzysta również z nietypowego kanału sterowania i aktualizacji. Zamiast polegać wyłącznie na klasycznej infrastrukturze C2 opartej na domenach i serwerach HTTP, malware odpytuje adres w blockchainie Solana, aby odczytać instrukcje zapisane w memo transakcji. Na tej podstawie pobierany jest właściwy payload, w tym środowisko uruchomieniowe Node.js oraz skryptowy infostealer.

Taka architektura zwiększa odporność operatorów na działania obronne, ponieważ utrudnia tradycyjne blokowanie serwerów dowodzenia. Po uruchomieniu GlassWorm koncentruje się na kradzieży danych wysokiej wartości operacyjnej, takich jak poświadczenia, tokeny dostępu, klucze SSH, dane środowisk deweloperskich oraz informacje związane z portfelami kryptowalutowymi.

W analizach wskazano także artefakty mogące pomóc w detekcji incydentu. W kodzie projektów warto szukać markera „lzcdrtfxyqiplpd”, a na systemach końcowych sprawdzać obecność pliku ~/init.json, podejrzanych instalacji Node.js w katalogu użytkownika oraz nietypowych plików JavaScript, takich jak i.js, w świeżo sklonowanych repozytoriach. Sygnałem ostrzegawczym mogą być też anomalie w historii commitów, zwłaszcza rozbieżności między datą autora a datą committera.

Konsekwencje / ryzyko

Ryzyko związane z GlassWorm wykracza daleko poza pojedynczą infekcję stacji roboczej. To zagrożenie dla całego łańcucha dostaw oprogramowania, ponieważ skompromitowany deweloper może nieświadomie stać się punktem wejścia do kolejnych organizacji, klientów i środowisk CI/CD.

W praktyce jeden przejęty token, klucz SSH lub dostęp do konta publikującego pakiety może umożliwić modyfikację kodu źródłowego, publikację złośliwych zależności oraz dalsze rozprzestrzenianie malware między projektami. Dla zespołów inżynierskich oznacza to ryzyko utraty integralności kodu, wycieku sekretów, kompromitacji pipeline’ów budowania oraz potencjalnego wdrożenia backdoora do środowisk produkcyjnych.

Dodatkowym problemem jest wysoka trudność wykrycia. Połączenie przejętych kont, zaufanych kanałów publikacji, obfuskacji Unicode oraz nietypowego modelu C2 powoduje, że standardowe kontrole oparte wyłącznie na reputacji źródła lub prostym skanowaniu sygnaturowym mogą okazać się niewystarczające.

Rekomendacje

Organizacje powinny potraktować ten incydent jako wyraźny sygnał do wzmocnienia ochrony łańcucha dostaw oprogramowania. W pierwszej kolejności warto przeprowadzić przegląd wszystkich niedawno pobranych pakietów, rozszerzeń i sklonowanych repozytoriów, szczególnie tych pochodzących z GitHub, npm, VS Code Marketplace i OpenVSX.

zweryfikować historię commitów pod kątem force-pushy, nietypowych autorów i anomalii czasowych,
skanować repozytoria pod kątem wskaźników kompromitacji, markerów i podejrzanych plików JavaScript,
sprawdzić obecność nieautoryzowanych instalacji Node.js w katalogach użytkowników,
przeprowadzić rotację tokenów GitHub, npm, kluczy SSH i innych sekretów używanych przez deweloperów,
wymusić MFA na kontach deweloperskich i kontach publikujących pakiety,
ograniczyć uprawnienia tokenów oraz stosować poświadczenia o krótkim czasie życia,
wdrożyć monitoring publikacji pakietów i zmian w rozszerzeniach,
uruchamiać analizę SCA, skanowanie sekretów i weryfikację integralności zależności w CI/CD.

Dobrą praktyką jest również ograniczenie instalacji rozszerzeń i pakietów do zaufanych, zatwierdzonych źródeł oraz budowanie wewnętrznych list dopuszczonych komponentów. W środowiskach wysokiego ryzyka warto rozważyć izolację maszyn deweloperskich, sandboxing narzędzi oraz dodatkowy monitoring dostępu do portfeli kryptowalutowych i magazynów sekretów.

Podsumowanie

GlassWorm to przykład nowoczesnego ataku na software supply chain, który łączy kompromitację kont, złośliwe aktualizacje, ukrywanie kodu i odporną na zakłócenia komunikację C2. Skala najnowszej kampanii pokazuje, że zagrożenia wymierzone w deweloperów i ekosystem open source stają się coraz bardziej skoordynowane, wielowarstwowe i trudniejsze do zatrzymania.

Dla organizacji oznacza to konieczność traktowania repozytoriów, pakietów i rozszerzeń jako krytycznej powierzchni ataku. Skuteczna obrona wymaga dziś nie tylko zabezpieczenia endpointów, ale również pełnej kontroli nad procesem tworzenia, publikacji i dostarczania oprogramowania.

Źródła

BleepingComputer — https://www.bleepingcomputer.com/news/security/glassworm-malware-hits-400-plus-code-repos-on-github-npm-vscode-openvsx/
Socket — GlassWorm Loader Hits Open VSX via Suspected Developer Account Compromise — https://socket.dev/blog/glassworm-loader-hits-open-vsx-via-suspected-developer-account-compromise
Koi Security — First Self-Propagating Worm Using Invisible Code Hits OpenVSX Marketplace — https://www.koi.ai/blog/glassworm-first-self-propagating-worm-using-invisible-code-hits-openvsx-marketplace
SecurityWeek — GlassWorm Malware Returns to Open VSX, Emerges on GitHub — https://www.securityweek.com/glassworm-malware-returns-to-open-vsx-emerges-on-github/

DarkSword: zaawansowany zestaw exploitów iOS używany przez grupy państwowe i dostawców spyware

Wprowadzenie do problemu / definicja

DarkSword to zaawansowany, wieloetapowy zestaw exploitów dla systemu iOS, zaprojektowany z myślą o pełnym przejęciu urządzenia przy minimalnej interakcji ze strony ofiary. Jego ujawnienie potwierdza, że ekosystem mobilnych ataków na urządzenia Apple staje się coraz bardziej dojrzały, zautomatyzowany i dostępny dla różnych klas agresorów.

Znaczenie tego zagrożenia wykracza poza pojedynczą kampanię. DarkSword pokazuje, że ataki na iPhone’y nie są już wyłącznie domeną najwęższego grona wysoce wyspecjalizowanych podmiotów, lecz zaczynają funkcjonować jako element szerszego rynku ofensywnych narzędzi cyfrowych.

W skrócie

DarkSword wykorzystuje sześć podatności w iOS i prowadzi do pełnej kompromitacji iPhone’a. Łańcuch ataku rozpoczyna się od błędów w Safari oraz komponencie WebContent, następnie omija mechanizmy izolacji, eskaluje uprawnienia do poziomu jądra i uruchamia końcowy ładunek kradnący dane.

Badacze powiązali jego użycie zarówno z grupami sponsorowanymi przez państwa, jak i z komercyjnymi dostawcami spyware. Dodatkowo kampanie wykorzystywały przejęte legalne strony internetowe, co znacząco utrudnia wykrycie zagrożenia i ogranicza skuteczność klasycznych metod obrony opartych na ostrożności użytkownika.

Kontekst / historia

DarkSword pojawił się w szerszym kontekście rosnącej liczby informacji o masowych frameworkach eksploatacyjnych wymierzonych w urządzenia Apple. Jego analiza nastąpiła krótko po wcześniejszych doniesieniach o zestawie Coruna, z którym wykazuje pewne podobieństwa infrastrukturalne i operacyjne.

Tego typu zbieżności mogą wskazywać na wspólne zaplecze techniczne, współdzielone komponenty lub funkcjonowanie w ramach tego samego ekosystemu dostawców narzędzi ofensywnych. Z perspektywy branży cyberbezpieczeństwa to ważny sygnał, ponieważ sugeruje rozwój modelu usługowego, w którym zaawansowane łańcuchy exploitów mogą być adaptowane do różnych kampanii i klientów.

Według analiz ataki z użyciem DarkSword były realizowane między innymi jako kampanie typu watering hole. W takim scenariuszu ofiara nie musi otwierać podejrzanego załącznika ani klikać nietypowego odnośnika — wystarczy odwiedzenie zaufanej witryny, która została wcześniej przejęta i uzbrojona w złośliwy kod.

Analiza techniczna

Technicznie DarkSword wyróżnia się tym, że został napisany w całości w JavaScript. To interesujące z punktu widzenia utrzymania, rozwoju i elastyczności operacyjnej, ponieważ taki model może ułatwiać szybkie modyfikowanie poszczególnych etapów łańcucha ataku.

Początkowa faza wykorzystuje błędy w Safari i procesie WebContent, co pozwala uzyskać zdalne wykonanie kodu oraz prymitywy odczytu i zapisu pamięci. Następnie operatorzy przechodzą do obejścia zabezpieczeń takich jak PAC i TPRO, dzięki czemu mogą kontynuować operację w bardziej uprzywilejowanych kontekstach.

Kolejny etap obejmuje ucieczkę z piaskownicy Safari przez proces GPU z użyciem podatności typu out-of-bounds write w ANGLE. Po wyjściu poza ograniczenia aplikacyjne atak przechodzi do jądra XNU, gdzie wykorzystywane są dalsze błędy umożliwiające arbitralny odczyt i zapis pamięci oraz skuteczną eskalację uprawnień.

Finalnie uruchamiany jest ładunek malware. W analizowanych kampaniach wskazywano warianty takie jak GhostBlade, GhostKnife i GhostSaber, oferujące szeroki zakres funkcji szpiegowskich i kradzieży danych.

kradzież haseł i danych uwierzytelniających,
dostęp do zdjęć, wiadomości, SMS-ów i kontaktów,
pozyskiwanie historii połączeń i danych przeglądarki,
zbieranie informacji o aplikacjach, sieciach Wi‑Fi i kalendarzu,
wykradanie notatek, danych Apple Health i portfeli kryptowalutowych,
funkcje backdoora i zdalnego wykonywania kodu JavaScript w wybranych wariantach.

Istotne jest również to, że różni operatorzy korzystali z podobnej logiki dostarczania exploita, ale z lokalnymi modyfikacjami. Taki wzorzec wzmacnia hipotezę o centralnie rozwijanym rdzeniu frameworka, który jest później dostosowywany do potrzeb konkretnych operacji wywiadowczych lub komercyjnych.

Konsekwencje / ryzyko

DarkSword stanowi poważne zagrożenie dla użytkowników indywidualnych oraz organizacji korzystających z iPhone’ów w środowiskach biznesowych, administracyjnych i medialnych. Pełna kompromitacja urządzenia mobilnego oznacza dostęp nie tylko do danych lokalnych, ale też do tożsamości użytkownika, sesji aplikacyjnych, komunikacji i informacji o lokalizacji.

Szczególnie niebezpieczny jest model ataku watering hole, ponieważ osłabia skuteczność tradycyjnych działań uświadamiających. Użytkownik może zostać zainfekowany podczas zwykłego odwiedzania legalnej strony internetowej, bez wykonywania oczywiście ryzykownych działań.

W środowiskach korporacyjnych skutki mogą być jeszcze szersze. Smartfon często pełni rolę klucza dostępu do poczty, komunikatorów firmowych, VPN, aplikacji SaaS i systemów chmurowych. Przejęcie takiego urządzenia może ułatwić ruch boczny, wyciek danych, długotrwałą infiltrację oraz obejście części zabezpieczeń opartych na zaufaniu do urządzenia końcowego.

Nawet po opublikowaniu poprawek ryzyko nie znika natychmiast. W praktyce o skali ekspozycji decyduje tempo wdrażania aktualizacji, a starsze lub niezarządzane urządzenia mogą przez długi czas pozostawać podatne na podobne techniki.

Rekomendacje

Organizacje powinny traktować bezpieczeństwo iOS jako integralny element strategii ochrony endpointów. Założenie, że urządzenia Apple są domyślnie odporne na zaawansowane kampanie, nie jest już wystarczające w obliczu nowoczesnych łańcuchów exploitów.

wymuszanie szybkiego wdrażania aktualizacji iOS i bieżące monitorowanie zgodności wersji,
wdrożenie MDM z politykami aktualizacji, zgodności i kontroli dostępu,
segmentacja dostępu z urządzeń mobilnych do usług krytycznych,
ograniczanie dostępu do wrażliwych zasobów z prywatnych lub niespełniających wymagań urządzeń,
monitorowanie anomalii logowań i sesji z urządzeń mobilnych,
stosowanie silnych metod MFA odpornych na przejęcie sesji,
przygotowanie procedur reagowania na incydenty obejmujących izolację i analizę urządzeń iOS.

Użytkownicy końcowi powinni utrzymywać iPhone’y na najnowszej dostępnej wersji systemu, nie odkładać aktualizacji bezpieczeństwa i ograniczać korzystanie z urządzeń niewspieranych. Warto również zgłaszać nietypowe objawy, takie jak nagłe restarty, problemy z Safari, nieuzasadnione zużycie baterii lub wzmożony transfer danych.

W organizacjach wysokiego ryzyka zasadne może być także prowadzenie okresowych kontroli integralności urządzeń oraz wdrożenie wyspecjalizowanych rozwiązań do detekcji zagrożeń mobilnych.

Podsumowanie

DarkSword pokazuje, że zaawansowane łańcuchy exploitów dla iOS stają się narzędziem wielokrotnego użytku, wykorzystywanym zarówno przez grupy państwowe, jak i komercyjnych dostawców spyware. Połączenie wysokiej złożoności technicznej, niskiego progu interakcji ofiary i szerokiego zakresu wykradanych danych czyni z tego zestawu jeden z najpoważniejszych przykładów współczesnych zagrożeń mobilnych.

Dla obrońców najważniejszy wniosek jest jednoznaczny: bezpieczeństwo urządzeń Apple musi opierać się na dyscyplinie aktualizacyjnej, widoczności telemetrii, kontroli dostępu i gotowości do reagowania na incydenty, a nie na przekonaniu o naturalnej odporności platformy.

Źródła

SecurityWeek — https://www.securityweek.com/darksword-ios-exploit-kit-used-by-state-sponsored-hackers-spyware-vendors/
Google Threat Intelligence Group — https://cloud.google.com/blog/topics/threat-intelligence/
Lookout — https://www.lookout.com/threat-intelligence
iVerify Blog — https://iverify.io/blog
Apple Security Releases — https://support.apple.com/en-us/100100

Gospodarka oszustw refundowych: jak cyberprzestępcy wykorzystują zwroty i spory płatnicze

Wprowadzenie do problemu / definicja

Oszustwa refundowe to nadużycia procesów zwrotu towarów, reklamacji oraz sporów płatniczych w celu uzyskania nienależnego zwrotu środków, zatrzymania produktu lub wymiany towaru bez ponoszenia rzeczywistego kosztu. Z perspektywy cyberbezpieczeństwa nie jest to już wyłącznie problem operacyjny handlu detalicznego, lecz rosnące zagrożenie dla logiki biznesowej, procesów obsługi klienta i infrastruktury płatniczej.

W ostatnich latach refund fraud przekształcił się w uporządkowany ekosystem, w którym przestępcy sprzedają poradniki, scenariusze działań i usługi realizacji wyłudzeń. Oznacza to, że wiedza o obchodzeniu procedur zwrotów stała się produktem, a sama skala zagrożenia wykracza poza pojedyncze incydenty.

W skrócie

Oszustwa refundowe stały się zorganizowanym modelem przestępczym, a nie jedynie okazjonalnym nadużyciem polityk zwrotów.
Cyberprzestępcy wykorzystują automatyzację refundów, luki procesowe i presję na szybką obsługę klienta.
Najczęstsze techniki obejmują zwrot bez odesłania produktu, chargeback fraud, podmianę towaru i zwroty pustych paczek.
Ryzyko dotyczy nie tylko strat finansowych, ale także reputacji, analityki biznesowej i wydolności operacyjnej organizacji.
Skuteczna obrona wymaga połączenia analityki fraudowej, danych logistycznych, monitoringu zagrożeń i kontroli procesowych.

Kontekst / historia

Przez wiele lat nadużycia zwrotów były traktowane głównie jako koszt prowadzenia sprzedaży detalicznej. Sytuacja zmieniła się wraz z gwałtownym rozwojem e-commerce, automatyzacją rozpatrywania reklamacji i popularyzacją płatności cyfrowych. Współczesne oszustwo refundowe nie wymaga zaawansowanego włamania do systemów ani użycia złośliwego oprogramowania. W wielu przypadkach wystarcza znajomość procedur operatorów płatności, zasad zwrotów i sposobów eskalacji zgłoszeń w obsłudze klienta.

Według analiz branżowych wartość zwracanych towarów w handlu detalicznym liczona jest w setkach miliardów dolarów rocznie, a część tych operacji ma charakter nadużyć. Liberalne polityki zwrotów, utrzymywane przez sklepy i platformy w celu poprawy doświadczenia klienta, tworzą jednocześnie atrakcyjne środowisko dla sprawców. To właśnie połączenie wysokiego wolumenu transakcji, szybkości obsługi i rozproszonej odpowiedzialności sprawia, że refund fraud stał się opłacalnym i skalowalnym modelem działania.

Analiza techniczna

Techniczny wymiar oszustw refundowych polega przede wszystkim na wykorzystywaniu słabo zabezpieczonych procesów decyzyjnych. Atakujący analizują, kiedy system akceptuje automatyczny zwrot, jakie warunki uruchamiają natychmiastowy refund, jak przebiega weryfikacja zwróconej przesyłki oraz które kategorie zgłoszeń są rozpatrywane priorytetowo. Nie atakują więc klasycznych zabezpieczeń IT, lecz eksploatują zaufanie wpisane w proces biznesowy.

W cyberprzestępczych społecznościach oferowane są gotowe instrukcje, scenariusze przypisane do konkretnych marek, a nawet usługi realizowane w modelu prowizyjnym. Taki model przypomina „fraud-as-a-service”, obniżając próg wejścia dla nowych sprawców i umożliwiając szybkie kopiowanie skutecznych metod między platformami.

Najczęściej obserwowane techniki obejmują:

refund without return – uzyskanie zwrotu pieniędzy bez fizycznego odesłania produktu, zwykle przez zgłoszenie uszkodzenia, wady lub niedostarczenia,
chargeback fraud – zakwestionowanie legalnej transakcji u banku lub operatora płatności w celu wymuszenia zwrotu środków,
goods swapping – odesłanie innego przedmiotu niż zakupiony, często o niższej wartości,
empty-box return – wysłanie pustej paczki albo przesyłki z tanim wypełnieniem zamiast właściwego produktu,
policy manipulation – systematyczne wykorzystywanie wyjątków regulaminowych, procedur gwarancyjnych i luk logistycznych.

Skuteczność takich działań wynika z kilku nakładających się czynników: automatyzacji decyzji refundowych, ograniczonej kontroli fizycznych zwrotów, ogromnego wolumenu zgłoszeń oraz rozproszenia danych między sklepem, przewoźnikiem, bankiem i operatorem płatności. Każdy z tych elementów osobno może wydawać się niewielkim ryzykiem, ale razem tworzą środowisko podatne na nadużycia.

Konsekwencje / ryzyko

Bezpośrednia strata finansowa to tylko część problemu. Organizacje dotknięte refund fraud ponoszą również koszty obsługi sporów, pracy zespołów antyfraudowych, logistyki zwrotów, opłat chargebackowych i dodatkowej weryfikacji zgłoszeń. W skali dużych platform zagrożenie jest jeszcze większe, ponieważ pojedyncze incydenty mogą ginąć w masie legalnych operacji, utrudniając detekcję wzorców.

Ryzyko można rozpatrywać w kilku wymiarach:

finansowym – utrata przychodów, kosztów towarów i wydatków związanych ze sporami,
operacyjnym – przeciążenie działów obsługi klienta i zespołów dochodzeniowych,
analitycznym – zniekształcenie danych o jakości dostaw, produktach i zachowaniach użytkowników,
reputacyjnym – presja na zaostrzanie polityk zwrotów, co może uderzać również w uczciwych klientów,
strategicznym – profesjonalizacja podziemia przestępczego i szybkie skalowanie skutecznych metod.

Najbardziej problematyczne jest to, że refund fraud uderza w założenia projektowane z myślą o wygodzie klienta. Im bardziej bezproblemowy proces zwrotu, tym większa szansa, że zostanie wykorzystany przez zorganizowanych sprawców.

Rekomendacje

Sklepy internetowe, marketplace’y oraz operatorzy płatności powinni traktować oszustwa refundowe jako zagrożenie z pogranicza cyberbezpieczeństwa, przeciwdziałania nadużyciom i ochrony procesów biznesowych. Odpowiedź nie może ograniczać się do pojedynczych reguł blokujących, lecz powinna obejmować cały cykl życia transakcji, dostawy i zwrotu.

Najważniejsze działania obejmują:

wdrożenie silników antyfraudowych oceniających ryzyko refundu na podstawie historii konta, rodzaju produktu, wartości koszyka i wcześniejszych sporów,
korelację danych z systemów sprzedażowych, magazynowych, logistycznych, CRM oraz platform płatniczych,
segmentację polityk zwrotów zależnie od poziomu ryzyka klienta i kategorii towaru,
rozszerzoną walidację zwrotów wysokiej wartości poprzez zdjęcia, ważenie przesyłek i kontrolę numerów seryjnych,
monitorowanie anomalii w chargebackach, zgłoszeniach niedostarczenia i częstotliwości zwrotów,
szkolenie zespołów customer support z zakresu socjotechniki i wzorców nadużyć procesowych,
ograniczanie automatycznych refundów w przypadkach odbiegających od typowego profilu klienta,
monitorowanie środowisk przestępczych pod kątem ofert odnoszących się do marki i jej procedur.

Skuteczną praktyką jest również wdrożenie modelu „friction on demand”, czyli dynamicznego zwiększania poziomu weryfikacji wyłącznie wtedy, gdy rośnie prawdopodobieństwo nadużycia. Pozwala to utrzymać dobre doświadczenie większości uczciwych klientów, a jednocześnie podnieść koszt działania przestępców.

Podsumowanie

Refund fraud ewoluował z prostych nadużyć konsumenckich do zorganizowanego rynku usług, instrukcji i gotowych scenariuszy wyłudzeń. To zagrożenie nie opiera się głównie na malware czy exploitach, lecz na systematycznej eksploatacji procedur zwrotów, mechanizmów reklamacyjnych i sporów płatniczych.

Dla sektora e-commerce oznacza to konieczność przesunięcia uwagi z samej ochrony infrastruktury IT na zabezpieczanie całego łańcucha operacyjnego. Przewagę zyskają te organizacje, które połączą threat intelligence, analitykę fraudową i adaptacyjne kontrole procesowe w jeden spójny model obrony.

Źródła

Spadek opłacalności ransomware zmienia taktykę grup cyberprzestępczych

Wprowadzenie do problemu / definicja

Rynek ransomware wchodzi w fazę wyraźnej transformacji. Coraz mniejszy odsetek organizacji decyduje się na zapłatę okupu, a rosnąca odporność operacyjna firm, skuteczniejsze kopie zapasowe i większa presja organów ścigania ograniczają rentowność tradycyjnego modelu działania cyberprzestępców.

W efekcie grupy ransomware odchodzą od głośnych, łatwo rozpoznawalnych narzędzi ofensywnych i coraz częściej wykorzystują legalne komponenty systemów, narzędzia administracyjne oraz techniki typu living off the land. Celem jest utrudnienie wykrycia, wydłużenie czasu obecności w środowisku ofiary i zwiększenie skuteczności wymuszeń.

W skrócie

Spadek liczby ofiar płacących okup zmniejsza opłacalność klasycznych kampanii ransomware.
Napastnicy częściej stawiają na kradzież danych i szantaż publikacją zamiast samego szyfrowania.
Rośnie wykorzystanie PowerShell, RDP, SMB, SSH i natywnych narzędzi Windows.
Maleje znaczenie części klasycznych frameworków post-exploitation, które są dobrze wykrywane przez EDR i XDR.
Ważnym wektorem wejścia pozostają podatności w urządzeniach brzegowych, zaporach i rozwiązaniach VPN.

Kontekst / historia

Przez lata ransomware rozwijał się jako model o wysokiej skali i wysokiej monetyzacji. Ekosystem RaaS umożliwiał afiliantom szybkie prowadzenie ataków z użyciem gotowych narzędzi, a szyfrowanie danych stanowiło główny mechanizm nacisku na ofiary.

W ostatnich kwartałach sytuacja zaczęła się jednak zmieniać. Organizacje częściej odtwarzają środowiska z kopii zapasowych, lepiej zarządzają ciągłością działania i rzadziej godzą się na negocjacje z przestępcami. Jednocześnie operacje organów ścigania, przejęcia infrastruktury oraz wewnętrzne napięcia w grupach przestępczych dodatkowo osłabiają ten model biznesowy.

To doprowadziło do przesunięcia w stronę bardziej elastycznych metod wymuszenia. Zamiast polegać wyłącznie na szyfrowaniu, napastnicy częściej kradną dane, wykorzystują legalne narzędzia systemowe i starają się minimalizować ślady charakterystyczne dla tradycyjnego malware.

Analiza techniczna

Zmiana taktyki jest widoczna przede wszystkim na poziomie narzędzi i technik operacyjnych. Klasyczne frameworki post-exploitation, takie jak Cobalt Strike Beacon, są dziś znacznie lepiej profilowane przez systemy bezpieczeństwa, dlatego ich użycie w kampaniach ransomware stopniowo spada. Podobny trend dotyczy części innych wyspecjalizowanych narzędzi ofensywnych.

W ich miejsce napastnicy coraz częściej wykorzystują komponenty obecne już w systemie lub w typowym środowisku administracyjnym. Dzięki temu ograniczają konieczność wdrażania dodatkowych binariów i lepiej wtapiają się w zwykły ruch operacyjny.

PowerShell do wykonywania poleceń, rekonesansu i działań w pamięci,
natywne cmdlety do odpytywania Active Directory,
wbudowane polecenia, takie jak ipconfig, netstat, ping czy nltest,
legalne protokoły administracyjne, w tym RDP, SMB i SSH,
publicznie dostępne narzędzia i skrypty niewymagające tworzenia własnego malware.

Z perspektywy technicznej to strategia racjonalna i skuteczna. Uruchomienie nowego złośliwego pliku zwiększa ryzyko wykrycia przez silniki sygnaturowe i analizy behawioralne. Nadużycie legalnych funkcji systemu pozwala natomiast osiągnąć podobne efekty operacyjne przy znacznie mniejszej widoczności.

Coraz większą rolę odgrywa także eksfiltracja danych. W wielu incydentach nie jest ona już dodatkiem do szyfrowania, lecz głównym narzędziem nacisku. Jeżeli ofiara potrafi szybko odtworzyć systemy, przestępcy podnoszą presję poprzez groźbę ujawnienia danych, publikacji na stronach wyciekowych albo dalszego wykorzystania pozyskanych informacji.

Istotny pozostaje również etap uzyskania dostępu początkowego. Wciąż często wykorzystywane są podatności w systemach perymetrycznych, urządzeniach edge, VPN i zaporach sieciowych. Równolegle ważnym zasobem dla napastników pozostają skradzione poświadczenia, używane zarówno do wejścia do środowiska, jak i do utrwalenia obecności oraz ruchu bocznego.

Konsekwencje / ryzyko

Dla zespołów bezpieczeństwa największym wyzwaniem jest spadek skuteczności detekcji opartej wyłącznie na znanych wskaźnikach kompromitacji i sygnaturach malware. Jeżeli atakujący korzysta z legalnego PowerShella, standardowego RDP i prawidłowych danych uwierzytelniających, incydent może pozostać niewidoczny aż do momentu eksfiltracji danych lub uruchomienia procesu szyfrowania.

trudniejsza identyfikacja rekonesansu, ponieważ polecenia administracyjne nie zawsze wyglądają podejrzanie,
wyższa skuteczność ruchu bocznego dzięki użyciu powszechnych protokołów,
większe znaczenie przejętych kont i nadużyć uprawnień,
silniejsze skutki incydentów związanych z wyciekiem danych, nawet przy sprawnych kopiach zapasowych,
rosnące ryzyko dla środowisk wirtualizacyjnych, których kompromitacja może zwiększyć skalę zakłóceń.

Brak zapłaty nie oznacza dziś automatycznego zakończenia incydentu. Organizacje muszą zakładać możliwość publicznego ujawnienia danych, wtórnych oszustw, kampanii phishingowych wobec klientów oraz długotrwałych konsekwencji prawnych i reputacyjnych.

Rekomendacje

W odpowiedzi na zmianę taktyki ransomware firmy powinny przesunąć nacisk z wykrywania wyłącznie złośliwego oprogramowania na identyfikację nadużyć tożsamości, narzędzi administracyjnych i nietypowych sekwencji działań w środowisku.

wdrożenie wieloskładnikowego uwierzytelniania dla zdalnego dostępu, kont uprzywilejowanych i konsol administracyjnych,
ograniczenie ekspozycji usług perymetrycznych oraz szybkie łatanie podatności w VPN, firewallach i urządzeniach edge,
monitorowanie użycia PowerShell, WMI, RDP, SMB i SSH z korelacją kontekstową,
segmentacja sieci i separacja środowisk administracyjnych od stacji użytkowników,
stosowanie modelu least privilege i regularny przegląd uprawnień kont serwisowych,
ochrona Active Directory i wykrywanie nietypowych zapytań katalogowych,
utrzymywanie kopii zapasowych offline lub logicznie odseparowanych oraz testowanie odtwarzania,
rozbudowa mechanizmów wykrywania eksfiltracji danych i nietypowych transferów,
przygotowanie procedur reagowania obejmujących również szantaż oparty na wycieku danych,
weryfikacja dostawców zewnętrznych posiadających uprzywilejowany dostęp do infrastruktury.

Kluczowe staje się podejście behawioralne. Pojedyncze użycie legalnego narzędzia administracyjnego nie musi oznaczać incydentu, jednak połączenie nietypowego logowania, enumeracji Active Directory, ruchu bocznego i wzrostu transferu danych powinno być traktowane jako sygnał wysokiego ryzyka.

Podsumowanie

Spadek opłacalności ransomware nie oznacza osłabienia zagrożenia, lecz jego adaptację do nowych warunków. Cyberprzestępcy reagują na niższe wskaźniki płatności, większą odporność ofiar i skuteczniejsze działania obronne poprzez stosowanie metod bardziej dyskretnych, tańszych i trudniejszych do wykrycia.

Dzisiejsze kampanie ransomware coraz częściej opierają się na nadużyciu legalnych narzędzi administracyjnych, przejęciu tożsamości oraz kradzieży danych jako głównym mechanizmie nacisku. Dla organizacji oznacza to konieczność dojrzalszego monitoringu, silniejszej kontroli dostępu, lepszej widoczności działań administracyjnych i gotowości na scenariusze podwójnego wymuszenia.

Źródła

https://www.darkreading.com/threat-intelligence/less-lucrative-ransomware-market-makes-attackers-alter-methods
https://www.coveware.com/blog/2026/2/3/mass-data-exfiltration-campaigns-lose-their-edge-in-q4-2025
https://www.coveware.com/blog/2025/1/31/q4-report
https://cloud.google.com/blog/topics/threat-intelligence/oracle-ebusiness-suite-zero-day-exploitation
https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2025/

Android i płatności zbliżeniowe: nowa fala ataków NFC omija klasyczne zabezpieczenia

Wprowadzenie do problemu / definicja

Ekosystem Androida ponownie znalazł się w centrum zainteresowania badaczy bezpieczeństwa za sprawą kampanii wymierzonych w płatności mobilne i zbliżeniowe. W najnowszych scenariuszach cyberprzestępcy nie ograniczają się do kradzieży loginów i haseł do bankowości elektronicznej, lecz wykorzystują funkcje NFC oraz komunikację między urządzeniami do obchodzenia zabezpieczeń procesu płatniczego.

Największe zagrożenie stanowią złośliwe aplikacje na Androida, które po instalacji mogą przechwytywać lub zdalnie przekazywać dane związane z kartą płatniczą albo sesją płatniczą. W praktyce oszustwo może wyglądać jak legalna transakcja zbliżeniowa wykonana przy terminalu, mimo że ofiara i przestępca znajdują się w zupełnie innych miejscach.

W skrócie

Nowa fala ataków na Androida rozwija model nadużyć NFC relay, często określanych jako „ghost tap”. Celem takich operacji jest wykonanie nieautoryzowanych transakcji zbliżeniowych bez fizycznego przejęcia karty ofiary.

atak rozpoczyna się zwykle od socjotechniki, np. fałszywego alertu o incydencie bezpieczeństwa,
ofiara jest nakłaniana do instalacji aplikacji APK spoza oficjalnego sklepu,
następnie użytkownik proszony jest o przyłożenie karty płatniczej do telefonu,
złośliwe oprogramowanie odczytuje dane NFC i przekazuje je do infrastruktury atakującego,
przestępca wykorzystuje te dane do realizacji oszustw przy terminalach POS lub bankomatach obsługujących transakcje zbliżeniowe.

Z perspektywy bezpieczeństwa nie jest to już wyłącznie klasyczne malware bankowe. To połączenie złośliwej aplikacji, inżynierii społecznej, nadużycia funkcji Androida i słabości części istniejących mechanizmów antyfraudowych.

Kontekst / historia

Zagrożenia związane z NFC nie są nowością, jednak przez długi czas postrzegano je głównie jako scenariusze badawcze lub niszowe operacje wymagające zaawansowanego zaplecza technicznego. W ostatnim czasie wyraźnie widać jednak komercjalizację tego modelu ataku, w tym sprzedaż gotowych narzędzi i usług ułatwiających przeprowadzanie oszustw z użyciem relayingu NFC.

Wcześniejsze kampanie, takie jak NGate, udowodniły, że możliwe jest zdalne przenoszenie danych odczytanych z karty ofiary do urządzenia wykorzystywanego przez przestępcę. Nowsze warianty rozwijają ten model, oferując lepszą automatyzację, szybszy cash-out oraz szersze wykorzystanie aplikacji podszywających się pod narzędzia bankowe, bezpieczeństwa lub weryfikacji tożsamości.

Istotnym czynnikiem jest także zmiana zachowań użytkowników. Rosnąca popularność płatności mobilnych sprawia, że wiele osób chętniej ufa instrukcjom związanym z NFC, zwłaszcza gdy komunikat pozornie pochodzi od banku lub operatora płatności. To zwiększa skuteczność kampanii łączących malware z vishingiem, phishingiem i fałszywymi aplikacjami.

Analiza techniczna

Techniczny rdzeń ataku opiera się na przechwyceniu lub przekazaniu danych NFC odczytanych przez urządzenie z Androidem. Po stronie ofiary złośliwa aplikacja działa jak lokalny czytnik karty: instruuje użytkownika, aby zbliżył kartę płatniczą do telefonu, a następnie przesyła odczytane dane przez sieć do systemu kontrolowanego przez przestępców.

Po stronie atakującego drugie urządzenie emuluje lub odtwarza sesję zbliżeniową w taki sposób, aby terminal płatniczy zinterpretował operację jako zwykłą transakcję typu tap-to-pay. Dla części infrastruktury akceptanta i części systemów antyfraudowych taka operacja może wyglądać poprawnie, ponieważ zachowuje cechy typowej płatności bezstykowej, a opóźnienie transmisji bywa bardzo niewielkie.

W bardziej zaawansowanych wariantach malware zawiera moduły odpowiedzialne za komunikację z serwerem C2 lub brokerem sesji, obsługę APDU i relay danych NFC w czasie rzeczywistym, ukrywanie aplikacji przed użytkownikiem, wymuszanie ustawień niezbędnych do działania oraz wspieranie kampanii phishingowych i głosowych.

Kluczowe znaczenie ma jednak nie tylko sam kod złośliwego oprogramowania, ale cały łańcuch operacyjny. Ofiara najpierw otrzymuje wiadomość SMS, komunikat w komunikatorze albo telefon o rzekomej podejrzanej aktywności. Następnie jest przekonywana do instalacji aplikacji spoza oficjalnego sklepu i wykonania pozornie ochronnej czynności, czyli przyłożenia karty do smartfona, a czasem również podania PIN-u lub innych danych. To przesuwa atak z obszaru czysto technicznego w stronę fraudu wspieranego malware.

Na poziomie systemów płatniczych problem polega na tym, że relay NFC osłabia część tradycyjnych założeń detekcyjnych. Jeżeli transakcja wygląda jak fizyczne użycie karty lub urządzenia zbliżeniowego, mechanizmy monitorujące muszą opierać się na dodatkowych sygnałach, takich jak geolokalizacja, profil urządzenia, wzorce zachowania klienta czy korelacja zdarzeń między kanałem mobilnym i kartowym.

Konsekwencje / ryzyko

Dla użytkownika indywidualnego najważniejszym skutkiem jest ryzyko nieautoryzowanych transakcji kartowych, często wykonywanych bardzo szybko po kompromitacji. W części przypadków oszuści realizują kilka operacji o niższej wartości, aby zmniejszyć prawdopodobieństwo natychmiastowego wykrycia.

Dla banków, operatorów płatności i akceptantów zagrożenie ma szerszy wymiar. Oznacza wzrost liczby sporów transakcyjnych, większe koszty chargebacków oraz trudności w odróżnieniu legalnej płatności zbliżeniowej od sesji pochodzącej z relaya. Dodatkowo kampanie tego typu mogą podważać zaufanie do usług mobilnych, nawet jeśli źródłem incydentu była instalacja nieautoryzowanego APK i skuteczna socjotechnika.

Ryzyko dotyczy również organizacji korzystających z Androida jako platformy korporacyjnej. Jeżeli pracownik używa służbowego lub hybrydowego urządzenia do płatności, bankowości albo przechowywania danych uwierzytelniających, infekcja może stać się punktem wyjścia do dalszych nadużyć finansowych i przejęcia wrażliwych informacji.

Rekomendacje

Najważniejszą zasadą po stronie użytkownika jest bezwzględne unikanie instalacji plików APK spoza zaufanych źródeł. Bank, operator płatności ani dział bezpieczeństwa nie powinny wymagać instalowania aplikacji przesłanej przez SMS, e-mail lub komunikator w celu rzekomego zabezpieczenia konta.

wyłączaj NFC, gdy nie jest potrzebne,
regularnie aktualizuj Androida i poprawki bezpieczeństwa,
korzystaj wyłącznie z oficjalnych sklepów z aplikacjami,
nie przykładaj karty płatniczej do telefonu na polecenie osoby dzwoniącej lub piszącej,
włącz powiadomienia o transakcjach oraz limity dla płatności zbliżeniowych,
regularnie sprawdzaj historię operacji kartowych,
zgłaszaj bankowi każdą nietypową prośbę dotyczącą weryfikacji karty lub urządzenia.

Po stronie instytucji finansowych i zespołów bezpieczeństwa kluczowe znaczenie mają analiza anomalii charakterystycznych dla relay NFC, korelacja geograficzna i czasowa aktywności klienta z transakcją, wykrywanie nietypowych zmian na urządzeniach mobilnych oraz rozwój mechanizmów device intelligence i behavioral analytics. Równie ważne są intensywne kampanie edukacyjne dotyczące fałszywych aplikacji, phishingu i vishingu.

W środowiskach korporacyjnych warto dodatkowo wdrażać polityki MDM lub MAM blokujące instalację aplikacji z nieautoryzowanych źródeł, monitorować ryzykowne uprawnienia oraz rozdzielać funkcje płatnicze i biznesowe na urządzeniach mobilnych.

Podsumowanie

Nowa generacja ataków na Androida pokazuje, że bezpieczeństwo płatności mobilnych nie zależy wyłącznie od kryptografii i ochrony samej aplikacji bankowej. Coraz większe znaczenie ma bezpieczeństwo całego łańcucha, od zachowania użytkownika, przez architekturę Androida, po systemy antyfraudowe instytucji finansowych.

Scenariusze wykorzystujące relay NFC i złośliwe aplikacje podszywające się pod legalne narzędzia są szczególnie niebezpieczne, ponieważ łączą wiarygodną socjotechnikę z technikami utrudniającymi wykrycie oszustwa. Dla rynku oznacza to konieczność traktowania mobilnego fraudu jako złożonego problemu obejmującego malware, oszustwa płatnicze oraz luki operacyjne w procesie autoryzacji.

Źródła

CL-STA-1087: długotrwała kampania cyberwywiadowcza przeciwko zdolnościom wojskowym Azji Południowo-Wschodniej

Wprowadzenie do problemu / definicja

CL-STA-1087 to oznaczenie klastra aktywności powiązanego z długotrwałymi operacjami cyberwywiadowczymi wymierzonymi w organizacje wojskowe w Azji Południowo-Wschodniej. Kampania wyróżnia się cierpliwością operacyjną, selektywnym pozyskiwaniem danych oraz wykorzystaniem niestandardowych narzędzi malware zaprojektowanych z myślą o utrzymaniu dostępu i ograniczeniu wykrywalności.

W centrum zainteresowania napastników znalazły się informacje o znaczeniu strategicznym, w tym dokumenty dotyczące zdolności operacyjnych, struktur organizacyjnych, systemów dowodzenia oraz współpracy z zachodnimi siłami zbrojnymi. To wskazuje, że celem działań nie był sabotaż, lecz długofalowe rozpoznanie i pozyskiwanie danych o wysokiej wartości wywiadowczej.

W skrócie

Kampania CL-STA-1087 była obserwowana co najmniej od 2020 roku i została powiązana z ukierunkowanym cyberszpiegostwem przeciwko podmiotom wojskowym. Atakujący utrzymywali długoterminową obecność w środowisku ofiar, wykorzystywali ruch boczny, mechanizmy trwałości oraz ukrytą komunikację z infrastrukturą dowodzenia.

celem były organizacje wojskowe i zasoby o znaczeniu strategicznym,
napastnicy korzystali z backdoorów AppleChris i MemFun oraz modułu kradzieży poświadczeń Getpass,
do rozprzestrzeniania stosowano m.in. PowerShell, WMI i natywne mechanizmy .NET,
istotną rolę odegrały techniki stealth, w tym działanie w pamięci i maskowanie komunikacji C2,
kampania wskazuje na wysoką dojrzałość operacyjną i konsekwentne nastawienie na wywiad.

Kontekst / historia

Według ustaleń analityków aktywność klastra sięga przynajmniej 2020 roku. Dochodzenie rozpoczęto po wdrożeniu narzędzi EDR, które wykryły podejrzane działania PowerShell sugerujące, że naruszenie trwało już wcześniej i nie było incydentem jednorazowym.

Analiza wykazała, że napastnicy mieli wcześniej uzyskany punkt zaczepienia na niezarządzanym hoście, gdzie przez długi czas utrzymywali dostęp w stanie uśpienia. Taki model działania jest charakterystyczny dla operacji APT, które koncentrują się na dyskretnej obecności w środowisku i uruchamiają kolejne fazy ataku dopiero wtedy, gdy pojawia się możliwość dotarcia do najbardziej wartościowych zasobów.

Wśród celów znalazły się serwery, kontrolery domeny, stacje robocze zespołów IT oraz urządzenia używane przez kadrę kierowniczą. Taki dobór ofiar sugeruje, że operatorzy kampanii starali się uzyskać zarówno szeroki wgląd w architekturę środowiska, jak i dostęp do dokumentów wspierających analizę zdolności wojskowych oraz procesów decyzyjnych.

Analiza techniczna

Łańcuch ataku obejmował kilka etapów i był zaprojektowany tak, aby minimalizować ślady na dysku. W początkowej fazie napastnicy utrzymywali trwałość na niezarządzanym urządzeniu, a następnie uruchamiali zdalnie skrypty PowerShell tworzące reverse shell do wielu serwerów C2. Po okresie bezczynności wznowili aktywność i rozpoczęli rozprzestrzenianie złośliwego oprogramowania w sieci ofiary.

Do propagacji wykorzystano m.in. WMI oraz natywne polecenia .NET, co ograniczało potrzebę używania dodatkowych narzędzi i utrudniało detekcję. Mechanizmy persistence obejmowały tworzenie nowych usług oraz DLL hijacking, dzięki czemu złośliwe biblioteki mogły być ładowane przez legalne komponenty systemowe.

Jednym z głównych backdoorów użytych w kampanii był AppleChris. Malware występował w kilku wariantach, w tym w starszej wersji częściowo opartej o Dropbox oraz w nowszym wariancie określanym jako Tunneler. Narzędzie korzystało z techniki dead drop resolver, pobierając zaszyfrowane dane o infrastrukturze C2 z publicznie dostępnych zasobów, co umożliwiało zmianę serwerów sterujących bez ponownego wdrażania próbki.

Po uzyskaniu adresu serwera C2 AppleChris rejestrował sesję z identyfikatorem powiązanym z informacjami o hoście i obsługiwał szeroki zestaw poleceń administracyjnych. Obejmowały one enumerację dysków, listowanie katalogów, przesyłanie i usuwanie plików, uruchamianie zdalnej powłoki, tworzenie procesów oraz tunelowanie ruchu. Część wariantów stosowała także opóźnione wykonanie i techniki unikania środowisk sandbox.

Drugim istotnym komponentem był MemFun, wieloetapowy malware działający niemal całkowicie w pamięci. Łańcuch infekcji obejmował loader podszywający się pod legalny proces, downloader in-memory oraz końcowy ładunek DLL pobierany z serwera C2. W analizie wskazano użycie process hollowing, reflective DLL loading, timestompingu oraz czyszczenia nagłówków PE w pamięci, co znacząco utrudnia analizę śledczą i wykrywanie artefaktów.

Komunikacja MemFun odbiegała od standardowych wzorców sieciowych. Moduł wykorzystywał niestandardowe schematy HTTP oraz sesyjne szyfrowanie oparte na dynamicznie generowanym kluczu Blowfish. Takie podejście zwiększało elastyczność operatora i ograniczało skuteczność prostych mechanizmów detekcyjnych opartych wyłącznie na sygnaturach.

Trzecim elementem zestawu narzędzi był Getpass, zmodyfikowany wariant Mimikatz uruchamiany jako biblioteka DLL. Narzędzie podnosiło uprawnienia, uzyskiwało dostęp do pamięci procesu LSASS i automatycznie wyciągało poświadczenia z wielu pakietów uwierzytelniania Windows. Pozyskane dane były zapisywane w pliku podszywającym się pod legalną bazę systemową, co miało zmniejszyć ryzyko wzbudzenia podejrzeń administratorów.

Konsekwencje / ryzyko

Najważniejszym zagrożeniem w tej kampanii nie było głośne zakłócenie działania systemów, ale długotrwała i ukryta utrata poufności informacji o znaczeniu strategicznym. Atakujący koncentrowali się na danych dotyczących struktur dowodzenia, działań wojskowych, ocen zdolności operacyjnych oraz systemów C4I, co mogło przełożyć się na realne osłabienie bezpieczeństwa operacyjnego ofiar.

Z perspektywy obrońcy szczególnie niebezpieczne były trzy cechy operacji. Po pierwsze, długi czas przebywania w środowisku bez intensywnej aktywności utrudniał korelację zdarzeń i szybkie przypisanie incydentu do konkretnej kampanii. Po drugie, modularność malware i wykonywanie zadań w pamięci ograniczały liczbę artefaktów na dysku. Po trzecie, wykorzystanie legalnych mechanizmów systemowych oraz publicznie dostępnych zasobów do obsługi komunikacji C2 zacierało granicę między ruchem prawidłowym a złośliwym.

Rekomendacje

Organizacje o podwyższonym profilu ryzyka powinny wdrożyć wielowarstwowe monitorowanie telemetryczne obejmujące PowerShell, WMI, tworzenie usług, zmiany w katalogach systemowych oraz nietypowe operacje na procesie LSASS. Szczególną uwagę warto zwrócić na uruchamianie binariów podszywających się pod legalne procesy aktualizacyjne oraz na anomalie w ruchu HTTP wykorzystującym niestandardowe metody lub nagłówki.

Kluczowe jest także objęcie ochroną systemów niezarządzanych i zasobów peryferyjnych, ponieważ to właśnie one często stają się punktem wejścia lub trwałości. W środowiskach krytycznych należy ograniczać możliwość zdalnego wykonywania poleceń administracyjnych, segmentować sieć, monitorować ruch lateralny i konsekwentnie stosować zasadę najmniejszych uprawnień.

rozwijać detekcję behawioralną zamiast polegać wyłącznie na wskaźnikach kompromitacji,
traktować DLL hijacking, process hollowing, reflective loading, timestomping i dead drop resolver jako odrębne scenariusze detekcyjne,
wdrażać ochronę poświadczeń i blokować nieautoryzowany dostęp do LSASS,
regularnie przeglądać konta uprzywilejowane oraz ścieżki administracyjne,
w reagowaniu na incydenty prowadzić analizę pamięci, historii zadań administracyjnych i ruchu bocznego.

Samo usunięcie plików z dysku może być niewystarczające, jeśli część ładunków była ładowana wyłącznie do pamięci lub jeśli operator utrzymuje alternatywne kanały dostępu. Dlatego proces reagowania powinien obejmować pełne odtworzenie ścieżki ataku oraz weryfikację wszystkich punktów trwałości.

Podsumowanie

CL-STA-1087 to przykład dojrzałej operacji APT prowadzonej z dużą dyscypliną operacyjną i wyraźnym nastawieniem na cele wywiadowcze. Kampania pokazuje, że współczesne zagrożenia dla sektora obronnego coraz częściej opierają się na cichym utrzymywaniu dostępu, precyzyjnym doborze ofiar oraz własnym, rozwijanym zestawie narzędzi malware.

Dla zespołów bezpieczeństwa najważniejszy wniosek jest jasny: skuteczne wykrywanie takich działań wymaga głębokiej telemetrii, analizy behawioralnej oraz gotowości do śledztw obejmujących pamięć operacyjną, tożsamości i ruch wewnątrz sieci. W przypadku kampanii o charakterze cyberwywiadowczym przewagę daje nie tylko szybka reakcja, ale przede wszystkim umiejętność dostrzeżenia subtelnych oznak długotrwałej obecności przeciwnika.

Źródła

Security Affairs – CL-STA-1087 targets military capabilities since 2020 — https://securityaffairs.com/189553/apt/cl-sta-1087-targets-military-capabilities-since-2020.html
Unit 42 – Suspected China-Based Espionage Operation Against Military Targets in Southeast Asia — https://unit42.paloaltonetworks.com/espionage-campaign-against-military-targets/
MITRE ATT&CK – DLL Hijacking — https://attack.mitre.org/techniques/T1574/001/
MITRE ATT&CK – Process Hollowing — https://attack.mitre.org/techniques/T1055/012/
MITRE ATT&CK – Reflective Code Loading — https://attack.mitre.org/techniques/T1620/

DRILLAPP: nowy backdoor używany w cyberwywiadzie przeciwko ukraińskim organizacjom

Wprowadzenie do problemu / definicja

DRILLAPP to nowo zaobserwowany backdoor wykorzystywany w operacjach cyberwywiadowczych wymierzonych w ukraińskie organizacje. Kampania zwraca uwagę nietypową techniką działania, ponieważ zamiast klasycznego loadera lub rozbudowanego trojana atakujący wykorzystują przeglądarkę Microsoft Edge uruchamianą w trybie headless, z parametrami debugowania oraz osłabionymi mechanizmami ochrony.

Taki model pozwala ukryć aktywność w procesie, który w wielu środowiskach firmowych wygląda na legalny. W praktyce legalna aplikacja zostaje przekształcona w narzędzie szpiegowskie zdolne do zbierania danych z systemu i otoczenia ofiary.

W skrócie

Kampania została zaobserwowana w lutym 2026 roku i była wymierzona w ukraińskie organizacje.
Aktywność powiązano z rosyjskojęzycznym klastrem przypisywanym z niską pewnością do Laundry Bear, znanego także jako UAC-0190 lub Void Blizzard.
Łańcuch infekcji rozpoczynał się od plików przynętowych w formacie LNK, a później również CPL.
Backdoor umożliwia dostęp do systemu plików, rejestrowanie obrazu z kamery, dźwięku z mikrofonu oraz przechwytywanie ekranu.
Nowszy wariant rozszerzono o funkcje pobierania i wysyłania plików oraz rekursywnego przeszukiwania dysków.

Kontekst / historia

Operacja wpisuje się w szerszy krajobraz cyberataków ukierunkowanych na ukraińskie instytucje, szczególnie w kontekście długotrwałych działań wywiadowczych prowadzonych przez podmioty powiązane z interesami państwowymi. Badacze wskazali podobieństwa do wcześniejszych kampanii przypisywanych Laundry Bear, zwłaszcza w obszarze doboru przynęt oraz sposobu profilowania ofiar.

W analizowanej kampanii wykorzystywano tematy socjotechniczne odnoszące się do instalacji Starlinka, inicjatyw pomocowych, spraw wojskowych oraz dokumentów wyglądających na urzędowe. Taki dobór treści sugeruje precyzyjne rozpoznanie celów i koncentrację na podmiotach o wysokiej wartości wywiadowczej.

Dodatkowo wszystko wskazuje na to, że DRILLAPP jest narzędziem stosunkowo nowym i nadal rozwijanym. Wcześniejsze próbki wykazywały podobny schemat infekcji, ale nie zawierały jeszcze pełnego mechanizmu pobierania właściwego backdoora, co może oznaczać fazę intensywnego rozwoju narzędzia.

Analiza techniczna

Pierwszy znany wariant kampanii wykorzystywał pliki skrótów LNK. Po uruchomieniu tworzyły one pliki HTML w katalogu tymczasowym i ładowały zaciemnione skrypty z publicznych serwisów hostujących treści. Następnie uruchamiano Microsoft Edge w trybie headless z zestawem parametrów ograniczających część zabezpieczeń przeglądarki.

Kluczową rolę odgrywały przełączniki umożliwiające dostęp do lokalnych plików, osłabienie mechanizmów izolacji oraz automatyczne przyznawanie uprawnień do kamery, mikrofonu i funkcji przechwytywania ekranu. Dzięki temu przeglądarka działała jak pośrednik wykonujący zadania typowe dla oprogramowania szpiegującego, ale w ramach zaufanego procesu.

Backdoor generował uproszczony odcisk urządzenia, sprawdzał wybrane strefy czasowe i komunikował się z serwerem dowodzenia oraz kontroli przez WebSocket. Taki kanał umożliwiał zdalne wydawanie poleceń, odbieranie wyników działań oraz rozszerzanie zakresu operacji na zainfekowanym systemie.

Drugi wariant, wykryty pod koniec lutego 2026 roku, zastąpił pliki LNK modułami CPL, czyli bibliotekami DLL uruchamianymi przez mechanizmy Panelu sterowania. Zmiana nośnika utrudniała wykrywanie oparte na prostych sygnaturach, przy zachowaniu zbliżonej logiki działania. W tej wersji rozszerzono również możliwości dotyczące rekursywnego listowania plików, ich wysyłania partiami oraz pobierania zasobów na system ofiary.

Interesującym elementem kampanii było też wykorzystanie Chrome DevTools Protocol w przeglądarkach opartych na Chromium. Po aktywacji portu zdalnego debugowania atakujący mogli zmieniać ścieżkę pobierania i symulować interakcję użytkownika, obchodząc typowe ograniczenia JavaScript związane z pobieraniem plików.

Konsekwencje / ryzyko

DRILLAPP stanowi poważne zagrożenie, ponieważ nadużywa zaufanego procesu przeglądarki, przez co jego aktywność może nie zostać natychmiast zaklasyfikowana jako złośliwa. Uzyskanie dostępu do mikrofonu, kamery i ekranu oznacza możliwość prowadzenia zaawansowanej inwigilacji oraz pozyskiwania dokumentów, danych operacyjnych, informacji kontekstowych i potencjalnie także danych uwierzytelniających.

Najwyższe ryzyko dotyczy podmiotów rządowych, sektora obronnego i infrastruktury krytycznej. Nawet relatywnie lekki backdoor, jeśli pozostaje niewidoczny, może umożliwiać długotrwały rekonesans, kradzież dokumentów i przygotowanie kolejnych etapów kompromitacji.

Kampania pokazuje także rosnące znaczenie nadużyć legalnych komponentów systemu i aplikacji. Zamiast polegać wyłącznie na tradycyjnym malware, operatorzy coraz częściej wykorzystują wbudowane funkcje, mechanizmy debugowania oraz natywne interfejsy aplikacji do realizacji celów ofensywnych.

Rekomendacje

Organizacje powinny monitorować nietypowe uruchomienia Microsoft Edge i innych przeglądarek opartych na Chromium, zwłaszcza z parametrami wskazującymi na tryb headless, zdalne debugowanie, wyłączenie sandboxa lub osłabienie polityk bezpieczeństwa. Szczególne znaczenie ma analiza pełnej linii poleceń, a nie tylko samej nazwy procesu.

Warto również ograniczać wykonywanie plików LNK i CPL pochodzących z niezaufanych źródeł oraz wzmacniać kontrolę nad uruchamianiem bibliotek DLL w nietypowych kontekstach systemowych. W środowiskach wysokiego ryzyka istotne będzie wdrożenie zasad application control oraz monitoringu tworzenia plików HTML i skryptów w katalogach tymczasowych użytkowników.

Dodatkową warstwę ochrony powinno stanowić wykrywanie połączeń WebSocket inicjowanych przez przeglądarki w nietypowych scenariuszach oraz analiza anomalii związanych z nagłym dostępem do urządzeń audio-wideo i funkcji przechwytywania ekranu. Zespoły SOC powinny korelować uruchomienie przynęt socjotechnicznych z późniejszą aktywnością przeglądarki i zmianami w systemie plików.

Nie można też pomijać czynnika ludzkiego. Szkolenia świadomościowe powinny uwzględniać scenariusze oparte na tematach wojennych, humanitarnych, urzędowych i logistycznych, ponieważ właśnie takie przynęty okazują się szczególnie skuteczne w kampaniach ukierunkowanych.

Podsumowanie

DRILLAPP pokazuje, że współczesne operacje APT coraz częściej łączą prostotę implementacji z kreatywnym nadużyciem legalnych mechanizmów systemowych. W tym przypadku przeglądarka internetowa została zamieniona w narzędzie szpiegowskie zdolne do przejmowania plików oraz monitorowania otoczenia ofiary za pomocą kamery, mikrofonu i funkcji przechwytywania ekranu.

Choć narzędzie wydaje się nadal rozwijane, już teraz reprezentuje wysoki poziom ryzyka dla administracji publicznej, sektora obronnego i innych organizacji strategicznych. Dla obrońców to wyraźny sygnał, że skuteczna detekcja musi obejmować nie tylko klasyczne próbki malware, lecz także nadużycia legalnych aplikacji i ich funkcji diagnostycznych.

Źródła

Security Affairs — Russia-linked APT uses DRILLAPP backdoor to spy on Ukrainian targets — https://securityaffairs.com/189519/malware/russia-linked-apt-uses-drillapp-backdoor-to-spy-on-ukrainian-targets.html
CERT-UA — komunikaty i analizy dotyczące aktywności UAC-0190 — https://cert.gov.ua/
Microsoft Learn — Chrome DevTools Protocol overview — https://learn.microsoft.com/en-us/microsoft-edge/devtools/protocol/