Archiwa: PowerShell - Security Bez Tabu

BlueNoroff skaluje ataki na firmy kryptowalutowe poprzez fałszywe spotkania Zoom

Wprowadzenie do problemu / definicja

BlueNoroff, grupa powiązana z północnokoreańskim ekosystemem zagrożeń, rozwija kampanie ukierunkowane na kradzież środków i przejęcie dostępu do organizacji związanych z kryptowalutami. Najnowsza obserwowana operacja pokazuje, jak klasyczny spear phishing ewoluuje w stronę ataków wykorzystujących fałszywe wideokonferencje, spreparowane tożsamości uczestników oraz materiały wideo pozyskane od wcześniejszych ofiar.

To istotna zmiana jakościowa. Narzędzia do komunikacji wideo, które dotąd były traktowane głównie jako element codziennej pracy, stają się pełnoprawnym wektorem początkowego dostępu do środowiska ofiary.

W skrócie

Kampania BlueNoroff jest wymierzona głównie w kadrę kierowniczą firm działających w obszarze Web3, blockchain i finansów powiązanych z aktywami cyfrowymi. Atak rozpoczyna się od wiarygodnego zaproszenia biznesowego, często osadzonego w legalnie wyglądającym procesie kalendarzowym lub komunikacji z rzekomym partnerem.

Ofiara otrzymuje zaproszenie na spotkanie wyglądające jak rutynowa rozmowa biznesowa.
Link prowadzi do fałszywego lobby Zoom lub innej platformy konferencyjnej.
Strona symuluje aktywne spotkanie z widocznymi uczestnikami i materiałami wideo.
Po udzieleniu dostępu do kamery i mikrofonu użytkownik jest nakłaniany do wykonania działań prowadzących do infekcji.
Cały proces kompromitacji może zakończyć się w mniej niż pięć minut.

Kontekst / historia

BlueNoroff od lat jest kojarzony z operacjami nastawionymi na zysk finansowy, szczególnie w sektorze kryptowalut. Grupa konsekwentnie łączy techniki spear phishingu, podszywania się pod partnerów biznesowych oraz malware przeznaczony do kradzieży poświadczeń i aktywów cyfrowych.

W najnowszej kampanii napastnicy szczególnie intensywnie celują w osoby mające wpływ na decyzje inwestycyjne, infrastrukturę portfeli, giełdy lub transfery środków. Zidentyfikowane przynęty często dotyczą prezesów, współzałożycieli i innych osób o podwyższonych uprawnieniach. Dodatkowym zagrożeniem jest samowzmacniający charakter operacji: materiały wideo pozyskane od jednej ofiary mogą później zwiększać wiarygodność kolejnych prób oszustwa.

Analiza techniczna

Atak zwykle zaczyna się od kontaktu, który wygląda na standardową interakcję biznesową. Może to być wiadomość wysłana z przejętego konta komunikatora, zaproszenie kalendarzowe albo korespondencja podszywająca się pod znanego partnera, inwestora, prawnika lub przedstawiciela branży.

Kluczowym elementem jest podmiana linku do spotkania. Użytkownik otrzymuje poprawnie wyglądające zaproszenie, ale odnośnik prowadzi do domeny typosquattingowej imitującej Zoom, Teams lub inną platformę. Po kliknięciu trafia na stronę HTML stylizowaną na aktywne spotkanie, z kafelkami uczestników, wskaźnikami aktywności oraz krótkimi klipami wideo.

Z technicznego punktu widzenia kampania wykorzystuje kilka klas materiałów wizualnych: nagrania przejęte od wcześniejszych ofiar, statyczne obrazy wygenerowane przez AI oraz kompozytowe treści deepfake łączące syntetyczne twarze z realistycznym ruchem. Taka kombinacja utrudnia ocenę autentyczności rozmowy, zwłaszcza gdy scenariusz spotkania odpowiada codziennym obowiązkom ofiary.

Po przyznaniu stronie dostępu do kamery i mikrofonu atakujący mogą przechwytywać obraz z urządzenia ofiary. Następnie uruchamiany jest kolejny etap socjotechniczny, najczęściej pod pretekstem problemów z dźwiękiem lub konieczności aktualizacji komponentu. Mechanizm ten wpisuje się w schemat ClickFix, w którym użytkownik wykonuje pozornie naprawczą akcję, faktycznie inicjując infekcję.

Na etapie post-exploitation obserwowano dostarczanie wielu ładunków malware odpowiedzialnych za utrwalenie dostępu, komunikację z infrastrukturą C2, kradzież poświadczeń, przejmowanie sesji Telegram oraz pozyskiwanie danych z portfeli kryptowalutowych. W jednym z analizowanych przypadków napastnicy utrzymywali obecność w środowisku przez 66 dni, a sama infrastruktura kampanii obejmowała dziesiątki domen podszywających się pod platformy konferencyjne.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem tej techniki jest połączenie skutecznej socjotechniki z bardzo krótkim czasem potrzebnym do pełnej kompromitacji. Atak nie musi wykorzystywać klasycznej luki po stronie ofiary, ponieważ opiera się przede wszystkim na zaufaniu do procesu biznesowego i narzędzia komunikacyjnego.

Dla organizacji z sektora kryptowalut ryzyko obejmuje zarówno utratę dostępu, jak i bezpośrednie straty finansowe.

kradzież poświadczeń uprzywilejowanych,
przejęcie sesji komunikacyjnych i kont współpracy,
dostęp do portfeli, giełd i systemów custody,
eskalację do oszustw finansowych i nieautoryzowanych transferów,
wtórne wykorzystanie wizerunku pracowników w kolejnych kampaniach.

Szczególnie niebezpieczne jest to, że ofiara może jednocześnie stać się źródłem nowych przynęt. Pojedyncze naruszenie może więc przełożyć się na lawinowy wzrost skuteczności kolejnych ataków przeciwko partnerom biznesowym, inwestorom i innym podmiotom z tego samego ekosystemu.

Rekomendacje

Organizacje powinny traktować spotkania online jako pełnoprawny wektor ataku i objąć je kontrolami bezpieczeństwa podobnymi do tych stosowanych wobec poczty elektronicznej i komunikatorów. Szczególne znaczenie ma ochrona kadry kierowniczej oraz pracowników mających wpływ na aktywa, portfele i transfery środków.

weryfikować każde nieoczekiwane zaproszenie na spotkanie drugim kanałem komunikacji,
sprawdzać docelową domenę linku do konferencji przed dołączeniem,
ograniczać dostęp kamery i mikrofonu wyłącznie do zaufanych aplikacji i domen,
wdrożyć polityki wykrywania typosquattingu i monitorowania nowych domen imitujących markę organizacji,
szkolić kadrę kierowniczą oraz zespoły finansowe z rozpoznawania deepfake i fałszywych wideokonferencji,
monitorować nietypowe użycie PowerShell, schowka systemowego, narzędzi skryptowych i magazynów poświadczeń przeglądarki,
stosować segmentację dostępu do systemów obsługujących portfele, giełdy i klucze kryptograficzne,
ograniczać uprawnienia lokalne użytkowników, aby utrudnić instalację dodatkowych payloadów,
wdrożyć EDR/XDR z regułami wykrywającymi zachowania charakterystyczne dla ClickFix i malware kradnącego poświadczenia,
rejestrować i analizować zdarzenia związane z dostępem do kamery, mikrofonu oraz uprawnień multimedialnych w przeglądarce.

W środowiskach wysokiego ryzyka warto także wprowadzić formalny proces zatwierdzania spotkań z nowymi kontrahentami, szczególnie jeśli rozmowa dotyczy inwestycji, transferu aktywów, zmian w infrastrukturze walletów lub przeglądu dokumentacji prawnej.

Podsumowanie

Kampania BlueNoroff pokazuje, że współczesne operacje cyberprzestępcze coraz częściej łączą socjotechnikę, manipulację procesem biznesowym oraz treści generowane przez AI. Fałszywe spotkania wideo nie są już wyłącznie prostym oszustwem wizerunkowym, ale wydajnym mechanizmem początkowego dostępu, kradzieży danych i skalowania dalszych działań.

Dla zespołów bezpieczeństwa oznacza to konieczność zmiany perspektywy. Platformy wideokonferencyjne powinny być traktowane jako element powierzchni ataku, a kontrola zaufania do zaproszeń, domen, uprawnień urządzeń i zachowań post-click może decydować o tym, czy incydent zakończy się na nieudanej próbie, czy pełnej kompromitacji środowiska.

Źródła

Dark Reading — BlueNoroff Uses Fake Zoom Calls to Turn Victims Into Attack Lures — https://www.darkreading.com/cyberattacks-data-breaches/bluenoroff-turns-victims-into-new-attack-lures
Arctic Wolf — Arctic Wolf Labs — https://arcticwolf.com/labs/
Arctic Wolf — 2026 Threat Report — https://cybersecurity.arcticwolf.com/2026-Threat-Report-ANZ.html

BlueNoroff skaluje ataki na kryptowaluty przez fałszywe spotkania Zoom

Wprowadzenie do problemu / definicja

BlueNoroff, grupa powiązana z północnokoreańskim ekosystemem zagrożeń, rozwija kampanie wymierzone w organizacje działające w sektorze kryptowalut. Najnowszy schemat ataku łączy socjotechnikę, podszywanie się pod legalne procesy biznesowe, fałszywe spotkania online oraz techniki typu ClickFix, których celem jest nakłonienie ofiary do samodzielnego uruchomienia łańcucha infekcji.

To podejście pokazuje, że współczesne operacje przeciwko firmom z obszaru Web3 i aktywów cyfrowych coraz częściej przypominają starannie wyreżyserowane incydenty biznesowe, a nie klasyczny phishing oparty wyłącznie na wiadomości e-mail.

W skrócie

Atak zaczyna się od wiarygodnego kontaktu biznesowego lub zaproszenia na spotkanie.
Ofiara trafia na stronę imitującą lobby lub interfejs spotkania Zoom.
Fałszywe środowisko może zawierać awatary AI, skradzione materiały wideo i elementy symulujące aktywne połączenie.
Następnie użytkownik jest nakłaniany do wykonania rzekomej naprawy technicznej lub aktualizacji.
Skutkiem może być instalacja malware, kradzież poświadczeń, przejęcie sesji i dostęp do portfeli kryptowalutowych.

Kontekst / historia

BlueNoroff od lat jest kojarzony z operacjami nastawionymi na zysk finansowy, szczególnie wobec podmiotów związanych z finansami i aktywami cyfrowymi. Cechą wyróżniającą tę grupę jest umiejętne wykorzystywanie wiarygodnych pretekstów biznesowych, które mają obniżyć czujność ofiar i skłonić je do udziału w pozornie rutynowych rozmowach.

W opisywanej kampanii szczególnym celem są osoby decyzyjne: kadra zarządzająca, współzałożyciele, inwestorzy i pracownicy mający dostęp do krytycznych systemów, portfeli lub procesów autoryzacji. Istotnym elementem ewolucji tych działań jest wykorzystywanie materiałów uzyskanych od wcześniejszych ofiar do zwiększania wiarygodności kolejnych przynęt. W praktyce oznacza to model samowzmacniający się, w którym jedna kompromitacja podnosi skuteczność następnych ataków.

Analiza techniczna

Łańcuch ataku zwykle rozpoczyna się od kontaktu wyglądającego jak standardowe działanie biznesowe. Może to być propozycja spotkania, konsultacji, omówienia inwestycji lub rozmowy z partnerem branżowym. Przestępcy wykorzystują przy tym legalnie wyglądające procesy planowania spotkań, zaproszenia kalendarzowe oraz domeny imitujące znane platformy komunikacyjne.

Po kliknięciu ofiara trafia na stronę podszywającą się pod środowisko spotkania wideo. Kluczową rolę odgrywa realizm interfejsu: widoczne są kafelki uczestników, wskaźniki aktywności, pozory trwającej rozmowy, a czasem także twarze lub nagrania zwiększające wiarygodność scenariusza. Materiały te mogą pochodzić z wcześniejszych kompromitacji, być syntetycznie generowane lub stanowić kompozycję elementów rzeczywistych i sztucznie wygenerowanych.

Na etapie dołączania użytkownik może zostać poproszony o nadanie dostępu do kamery i mikrofonu. Taki krok nie tylko zwiększa pozór autentyczności spotkania, ale może również umożliwić pozyskanie materiału wideo i audio, który następnie da się wykorzystać w kolejnych kampaniach socjotechnicznych.

Następnie uruchamiany jest scenariusz ClickFix. Ofiara widzi komunikat o rzekomym problemie technicznym, błędzie audio, konieczności aktualizacji komponentu lub potrzebie wykonania prostego polecenia naprawczego. W rzeczywistości jest to etap aktywacji złośliwego kodu i początek właściwej kompromitacji systemu.

Dalsza faza ataku obejmuje dostarczenie wielu ładunków malware, które mogą odpowiadać za trwałość, komunikację z infrastrukturą dowodzenia, kradzież poświadczeń, przejmowanie danych z przeglądarek, sesji komunikatorów oraz dostępów do portfeli kryptowalutowych.

ustanowienie trwałości w systemie,
komunikacja z infrastrukturą command-and-control,
kradzież danych uwierzytelniających,
pozyskanie danych z przeglądarek,
przejęcie sesji komunikacyjnych,
dostęp do narzędzi i zasobów związanych z aktywami cyfrowymi.

Z technicznego punktu widzenia kampania jest groźna dlatego, że łączy kilka warstw oszustwa naraz: wiarygodny pretekst, realistyczny interfejs spotkania, manipulację w czasie rzeczywistym oraz szybkie przejście od interakcji użytkownika do pełnej kompromitacji stacji roboczej. Dodatkowo wykorzystanie wielu domen typo-squattingowych i rozproszonej infrastruktury dostarczającej ładunki sugeruje wysoki poziom przygotowania i zdolność do skalowania operacji.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem udanego ataku jest przejęcie zasobów o wysokiej wartości biznesowej. Chodzi nie tylko o hasła czy tokeny sesyjne, lecz także o konta uprzywilejowane, dostęp do komunikacji wewnętrznej, narzędzi administracyjnych i środowisk odpowiedzialnych za zarządzanie aktywami kryptowalutowymi.

W organizacjach z obszaru Web3 ryzyko obejmuje także kompromitację procesów zatwierdzania transakcji, systemów zarządzania portfelami oraz infrastruktury operacyjnej. Jeśli napastnik zdobędzie kontekst biznesowy, wizerunek ofiary lub materiał z kamery, może wykorzystać te zasoby do przygotowania jeszcze bardziej przekonujących oszustw wobec partnerów, klientów i współpracowników.

To tworzy efekt kaskadowy: incydent nie kończy się na jednej osobie ani jednym urządzeniu, ale może stać się punktem wyjścia do kolejnych kampanii. Dodatkowym problemem jest bardzo krótkie okno czasowe na wykrycie aktywności przeciwnika, zanim dojdzie do utraty poświadczeń, utrwalenia dostępu i dalszego ruchu w środowisku ofiary.

Rekomendacje

Organizacje powinny traktować zaproszenia na spotkania wideo jako potencjalny wektor ataku, zwłaszcza gdy dotyczą osób z dostępem do środków finansowych, systemów krytycznych lub wrażliwych procesów decyzyjnych. Ochrona przed takimi kampaniami wymaga połączenia kontroli technicznych, procedur organizacyjnych i szkoleń użytkowników.

weryfikować zaproszenia na spotkania drugim, niezależnym kanałem komunikacji,
szkolić pracowników z rozpoznawania typo-squattingu i oszustw kalendarzowych,
blokować uruchamianie nieautoryzowanych skryptów i poleceń inicjowanych z przeglądarki,
monitorować użycie PowerShell, schowka systemowego i nietypowych procesów potomnych przeglądarek,
ograniczać dostęp do kamery i mikrofonu do zaufanych aplikacji oraz zatwierdzonych domen,
wdrożyć ochronę przeglądarek przed kradzieżą poświadczeń i tokenów sesyjnych,
segmentować dostęp do systemów zarządzających aktywami kryptowalutowymi,
wymuszać silne MFA oraz dodatkowe kontrole przy operacjach wysokiego ryzyka,
analizować logi DNS i HTTP pod kątem domen podobnych do usług konferencyjnych,
opracować procedury reagowania na incydenty wykorzystujące deepfake, fałszywe spotkania i socjotechnikę w czasie rzeczywistym.

W środowiskach podwyższonego ryzyka warto rozważyć także osobne stacje robocze dla kierownictwa i zespołów operujących na aktywach cyfrowych, a także ścisłe rozdzielenie komunikacji, obsługi poczty oraz procesów autoryzacji transakcji.

Podsumowanie

Kampania BlueNoroff pokazuje, że nowoczesne ataki na sektor kryptowalut coraz rzadziej opierają się na prostym phishingu. Zamiast tego obserwujemy wieloetapowe operacje łączące socjotechnikę, przejęte materiały wideo, elementy generowane przez AI oraz techniki skłaniające użytkownika do samodzielnego uruchomienia infekcji.

Dla zespołów bezpieczeństwa to wyraźny sygnał, że ochrona musi obejmować nie tylko infrastrukturę i końcówki, lecz także procedury weryfikacji tożsamości, integralności spotkań online oraz autentyczności nietypowych próśb pojawiających się w trakcie rozmów biznesowych.

Źródła

Dark Reading — BlueNoroff Uses Fake Zoom Calls to Turn Victims Into Attack Lures — https://www.darkreading.com/cyberattacks-data-breaches/bluenoroff-turns-victims-into-new-attack-lures

UNC6692 atakuje przez Microsoft Teams. Malware Snow celuje w poświadczenia i Active Directory

Wprowadzenie do problemu / definicja

Grupa UNC6692 prowadzi kampanię, w której łączy socjotechnikę z wykorzystaniem legalnych narzędzi firmowych. Atak rozpoczyna się od wywołania presji i dezorientacji u ofiary, a następnie przenosi komunikację do Microsoft Teams, gdzie napastnicy podszywają się pod helpdesk i nakłaniają użytkownika do uruchomienia złośliwego łańcucha infekcji.

Celem operacji nie jest wyłącznie przejęcie pojedynczej stacji roboczej. Kampania została zaprojektowana tak, aby umożliwić kradzież poświadczeń, utrwalenie dostępu, ruch boczny w sieci oraz kompromitację środowiska domenowego z użyciem niestandardowego zestawu malware o nazwie Snow.

W skrócie

Atak zaczyna się od email bombingu, który ma wywołać presję i chaos informacyjny.
Następnie ofiara otrzymuje wiadomość w Microsoft Teams od rzekomego działu wsparcia IT.
Pod pretekstem instalacji poprawki użytkownik uruchamia elementy infekcji wykorzystujące AutoHotkey.
Na urządzeniu wdrażane są komponenty SnowBelt, SnowGlaze i SnowBasin.
Końcowym celem jest pozyskanie poświadczeń, ruch boczny oraz dostęp do danych Active Directory.

Kontekst / historia

Podszywanie się pod firmowy helpdesk jest dobrze znaną techniką, jednak wykorzystanie komunikatorów korporacyjnych wyraźnie zwiększa skuteczność takiego scenariusza. Użytkownicy są przyzwyczajeni do kontaktu z działem IT przez Teams i częściej ufają komunikatom dotyczącym rzekomych problemów technicznych.

W opisywanej kampanii atakujący dodatkowo poprzedzają kontakt masowym zalewem wiadomości e-mail. Taki zabieg wzmacnia wiarygodność późniejszej rozmowy w Teams, ponieważ ofiara może uznać, że faktycznie trwa incydent wymagający pilnej interwencji. To pokazuje, że współczesne operacje intruzyjne coraz częściej wykorzystują pełny kontekst pracy użytkownika, a nie tylko pojedynczy nośnik phishingu.

Analiza techniczna

Łańcuch ataku rozpoczyna się od wiadomości w Microsoft Teams zawierającej odnośnik do rzekomej poprawki lub narzędzia naprawiającego problem ze skrzynką pocztową. Po otwarciu linku użytkownik trafia na stronę podszywającą się pod legalne rozwiązanie administracyjne. Mechanizm został przygotowany tak, aby filtrować ofiary i utrudniać analizę, między innymi przez sprawdzanie parametrów żądania oraz wymuszanie użycia przeglądarki Microsoft Edge.

W części przypadków ofiara proszona jest także o podanie poświadczeń. Formularz został zaprojektowany tak, by wyglądać wiarygodnie i celowo odrzucać pierwsze próby logowania, co zwiększa szansę na wielokrotne wpisanie poprawnego hasła. Dane uwierzytelniające wraz z metadanymi trafiają następnie do infrastruktury kontrolowanej przez operatorów.

Kluczową rolę w dalszej fazie odgrywa AutoHotkey. Napastnicy wykorzystują jego binarium oraz odpowiednio nazwany skrypt, co pozwala automatycznie uruchomić logikę infekcji. W efekcie instalowany jest SnowBelt, czyli złośliwe rozszerzenie oparte na Chromium i ładowane lokalnie poza oficjalnym sklepem rozszerzeń.

Mechanizmy utrwalania obejmują skrót w folderze autostartu oraz zadania harmonogramu odpowiedzialne za uruchamianie bezgłowego procesu Microsoft Edge z załadowanym rozszerzeniem. Dzięki temu złośliwa aktywność może działać w tle bez widocznego okna, co zmniejsza prawdopodobieństwo wykrycia przez użytkownika. Dodatkowe zadania wspierają utrzymanie stabilności środowiska malware.

SnowBelt pełni funkcję elementu pośredniczącego i utrwalającego dostęp. Za jego pośrednictwem pobierane są kolejne komponenty, w tym SnowGlaze oraz SnowBasin, a także skrypty i archiwa zawierające przenośne środowisko Python. SnowGlaze odpowiada za tunelowanie komunikacji, obsługę połączeń WebSocket i działanie w roli proxy SOCKS, co umożliwia przekazywanie ruchu TCP przez zainfekowany host.

SnowBasin to backdoor napisany w Pythonie. Komponent uruchamia lokalny serwer HTTP i wykonuje polecenia CMD lub PowerShell przekazywane przez operatora. Jego funkcje obejmują zdalny shell, przesyłanie plików, wykonywanie zrzutów ekranu oraz operacje na systemie plików. Taki zestaw możliwości zapewnia atakującym elastyczne środowisko do dalszej eksploatacji stacji roboczej i sieci.

Po uzyskaniu przyczółka operatorzy przechodzą do rozpoznania wewnętrznego. Obserwowane są skany portów 135, 445 i 3389, co wskazuje na poszukiwanie usług RPC, SMB i RDP. Następnie napastnicy wykorzystują narzędzia administracyjne i tunele do przemieszczania się na kolejne systemy. W kolejnej fazie pozyskują materiał uwierzytelniający przez zrzut pamięci procesu LSASS, a po zdobyciu hashy mogą stosować technikę pass-the-hash w drodze do kontrolerów domeny.

Końcowy etap obejmuje dostęp do plików NTDS.dit oraz rejestru SYSTEM, SAM i SECURITY. Pozyskanie tych artefaktów oznacza bardzo wysoki poziom kompromitacji, ponieważ otwiera drogę do odzyskania lub dalszego nadużycia poświadczeń domenowych. W praktyce mówimy już o pełnoskalowym naruszeniu bezpieczeństwa tożsamości i integralności środowiska Active Directory.

Konsekwencje / ryzyko

Ryzyko związane z kampanią Snow jest szczególnie wysokie, ponieważ atak został zaprojektowany jako wieloetapowa operacja prowadząca do głębokiej kompromitacji organizacji. Już sam etap kradzieży poświadczeń może umożliwić przejęcie kont firmowych, dostępu do poczty, usług SaaS oraz zasobów wewnętrznych.

Jeszcze poważniejsze konsekwencje pojawiają się po wdrożeniu komponentów post-exploitation. Kradzież danych z LSASS, ruch boczny oraz przejęcie bazy Active Directory mogą doprowadzić do pełnego przejęcia domeny, utrzymania długotrwałej obecności intruza i realizacji kolejnych działań, takich jak sabotaż, wtórne kampanie phishingowe czy wdrożenie ransomware. Dodatkowym problemem jest to, że część aktywności może wyglądać jak zwykłe działania administracyjne.

Rekomendacje

Organizacje powinny ograniczyć możliwość kontaktu zewnętrznych kont z użytkownikami przez Microsoft Teams, jeśli nie jest to niezbędne biznesowo. Warto też wdrożyć wyraźne ostrzeżenia o wiadomościach spoza organizacji oraz jednoznaczne procedury kontaktu działu IT z pracownikami.

Kluczowe jest uświadamianie użytkowników, że helpdesk nie powinien przesyłać przez komunikator linków do ręcznej instalacji łatek, narzędzi naprawczych czy filtrów antyspamowych poza formalnym procesem wdrożeniowym. Każda taka prośba powinna być potwierdzana innym, zaufanym kanałem.

Monitorować uruchomienia AutoHotkey i nietypowe skrypty powiązane z tym narzędziem.
Wykrywać zadania harmonogramu uruchamiające Edge w trybie bezgłowym oraz z parametrami ładowania rozszerzeń.
Kontrolować lokalnie instalowane rozszerzenia Chromium spoza oficjalnych repozytoriów.
Analizować ruch WebSocket, tunele SOCKS oraz nietypowe połączenia wychodzące z endpointów użytkowników.
Wdrażać detekcje dla prób dostępu do LSASS, zrzutów pamięci, pass-the-hash i nietypowego użycia FTK Imager.
Monitorować dostęp do plików NTDS.dit, SYSTEM, SAM i SECURITY.
Stosować segmentację sieci, ograniczenie uprawnień lokalnych administratorów oraz MFA odporne na phishing.

W przypadku podejrzenia kompromitacji niezbędne jest szybkie odizolowanie hosta, reset poświadczeń uprzywilejowanych, przegląd aktywności na kontrolerach domeny oraz ocena, czy nie doszło do wycieku danych katalogowych.

Podsumowanie

Kampania UNC6692 pokazuje, że nowoczesne ataki coraz skuteczniej łączą socjotechnikę, legalne platformy komunikacyjne i modułowe malware. Snow nie jest prostym downloaderem, lecz rozbudowanym zestawem narzędzi wspierających utrwalenie dostępu, tunelowanie ruchu, zdalne wykonywanie poleceń i kompromitację domeny.

Dla obrońców najważniejszy wniosek jest jasny: takie incydenty trzeba analizować jako pełny łańcuch intruzji, obejmujący użytkownika, endpoint, tożsamość i infrastrukturę katalogową. Skuteczna obrona wymaga jednocześnie świadomości pracowników, twardych polityk bezpieczeństwa dla narzędzi współpracy oraz zaawansowanego monitoringu telemetrycznego.

Źródła

BleepingComputer — https://www.bleepingcomputer.com/news/security/threat-actor-uses-microsoft-teams-to-deploy-new-snow-malware/
Google Cloud Blog: Snow Flurries: How UNC6692 Employed Social Engineering to Deploy a Custom Malware Suite — https://cloud.google.com/blog/topics/threat-intelligence/unc6692-social-engineering-custom-malware
BleepingComputer: Microsoft: Teams increasingly abused in helpdesk impersonation attacks — https://www.bleepingcomputer.com/news/security/microsoft-teams-increasingly-abused-in-helpdesk-impersonation-attacks/

UNC6692 atakuje przez Microsoft Teams i wdraża malware SNOW pod przykrywką helpdesku IT

Wprowadzenie do problemu / definicja

Kampania przypisywana klastrowi aktywności UNC6692 pokazuje, że komunikatory firmowe stały się pełnoprawnym wektorem ataku. W tym scenariuszu napastnicy wykorzystują Microsoft Teams do podszywania się pod pracowników wsparcia IT, a następnie nakłaniają ofiarę do uruchomienia fałszywego narzędzia naprawczego, które instaluje zestaw malware określany jako SNOW.

To model ataku łączący socjotechnikę, nadużycie zaufanych usług chmurowych oraz wykorzystanie legalnych funkcji systemowych. Efektem może być trwały dostęp do środowiska ofiary, przejęcie poświadczeń i szybkie przejście do działań post-exploitation.

W skrócie

UNC6692 kontaktuje się z ofiarą przez Microsoft Teams, podszywając się pod helpdesk IT.
Atak bywa poprzedzony spamem lub presją komunikacyjną, aby zwiększyć szansę na reakcję użytkownika.
Ofiara jest kierowana do fałszywego narzędzia „naprawy skrzynki”, które pobiera skrypt AutoHotkey.
Następnie instalowane są moduły SNOWBELT, SNOWGLAZE i SNOWBASIN.
Kampania obejmuje kradzież poświadczeń, tunelowanie ruchu, zdalne wykonywanie poleceń, ruch lateralny i eksfiltrację danych.

Kontekst / historia

Podszywanie się pod dział wsparcia IT nie jest nową techniką, jednak w ostatnim czasie wyraźnie rośnie znaczenie komunikatorów korporacyjnych jako kanału inicjowania ataków. Dla użytkownika wiadomość w Teams często wydaje się bardziej wiarygodna niż klasyczny e-mail phishingowy, ponieważ funkcjonuje w środowisku kojarzonym z komunikacją wewnętrzną.

Wcześniejsze kampanie tego typu często opierały się na legalnych narzędziach zdalnego wsparcia, takich jak Quick Assist lub różne platformy RMM. W przypadku UNC6692 widać jednak ewolucję podejścia: napastnicy nie ograniczają się do przejęcia sesji zdalnej, ale wdrażają własny, modularny zestaw malware, co zwiększa ich elastyczność i utrudnia wykrycie.

Istotnym elementem tła jest także selekcja ofiar. Ataki tego rodzaju są szczególnie niebezpieczne dla kadry menedżerskiej, administratorów oraz użytkowników mających dostęp do wrażliwych danych i systemów o wysokim poziomie uprzywilejowania.

Analiza techniczna

Łańcuch infekcji rozpoczyna się od kontaktu przez Microsoft Teams z konta zewnętrznego, które imituje dział wsparcia IT. Celem jest przekonanie ofiary do kliknięcia odsyłacza prowadzącego do spreparowanej strony udającej narzędzie naprawcze związane z pocztą lub konfiguracją konta.

Po uruchomieniu strony pobierany jest skrypt AutoHotkey hostowany w chmurze. Skrypt wykonuje wstępny rekonesans środowiska i sprawdza, czy urządzenie oraz przeglądarka odpowiadają założeniom operatora. Jeśli warunki są spełnione, uruchamiany jest komponent SNOWBELT.

SNOWBELT to złośliwe rozszerzenie oparte na Chromium, ładowane do Microsoft Edge przy użyciu parametru --load-extension. Taki mechanizm pozwala osadzić funkcje backdoora bez potrzeby natychmiastowego wdrażania klasycznego binarnego ładunku na pierwszym etapie ataku.

Ekosystem SNOW składa się z kilku współpracujących modułów:

SNOWBELT – backdoor w JavaScript, odpowiedzialny za wykonywanie poleceń i pośredniczenie w komunikacji.
SNOWGLAZE – moduł tunelujący oparty na Pythonie, zestawiający uwierzytelniony tunel WebSocket między siecią ofiary a infrastrukturą C2.
SNOWBASIN – trwały backdoor pozwalający na wykonywanie poleceń przez cmd.exe lub powershell.exe, przechwytywanie zrzutów ekranu, transfer plików i kontrolowane zakończenie działania.

Według dostępnych analiz SNOWBASIN może działać lokalnie jako serwer HTTP na portach 8000, 8001 lub 8002. To upraszcza komunikację między modułami i wspiera modularny charakter całej operacji.

W kampanii istotną rolę odgrywa także kradzież poświadczeń. Fałszywa strona prezentuje elementy przypominające panel diagnostyczny, w tym przycisk „Health Check”, który w praktyce służy do wyłudzenia danych logowania do skrzynki pocztowej. Poświadczenia są następnie przekazywane do infrastruktury kontrolowanej przez napastnika.

Po uzyskaniu przyczółka operatorzy przechodzą do klasycznych działań post-exploitation. Obejmują one skanowanie sieci lokalnej, tunelowanie ruchu, uruchamianie sesji RDP, pozyskiwanie pamięci procesu LSASS, wykorzystanie technik takich jak Pass-the-Hash, ruch lateralny do kontrolerów domeny oraz eksfiltrację danych związanych z Active Directory i innymi zasobami biznesowymi.

Konsekwencje / ryzyko

Ryzyko związane z kampanią UNC6692 należy ocenić jako wysokie. Atak łączy skuteczną socjotechnikę z własnym zestawem malware i technikami kojarzonymi z zaawansowanymi operacjami intruzyjnymi, w tym z działaniami poprzedzającymi ransomware lub szantaż oparty na wycieku danych.

przejęcie poświadczeń do usług pocztowych i kont korporacyjnych,
ustanowienie trwałego dostępu do stacji roboczej użytkownika,
uzyskanie zdalnej kontroli nad systemem,
przemieszczenie się do serwerów administracyjnych i zapasowych,
kompromitacja kontrolerów domeny,
wyciek danych biznesowych oraz artefaktów katalogowych,
przygotowanie środowiska do dalszego wymuszenia finansowego.

Szczególnie narażone są organizacje dopuszczające szeroką komunikację z tenantów zewnętrznych w Teams oraz firmy, w których użytkownicy przywykli do nieformalnego modelu zdalnego wsparcia IT. Problem pogłębia fakt, że wiele etapów ataku może przypominać legalną aktywność administracyjną.

Rekomendacje

Organizacje powinny traktować platformy współpracy jako krytyczną powierzchnię ataku. Ochrona nie może ograniczać się wyłącznie do poczty elektronicznej, ponieważ nowoczesne kampanie coraz częściej wykorzystują Teams, czaty i narzędzia wsparcia zdalnego.

Ograniczyć kontakt z tenantów zewnętrznych w Microsoft Teams do przypadków biznesowo uzasadnionych.
Wdrożyć formalny proces potwierdzania działań helpdesku i zgłoszeń serwisowych niezależnym kanałem.
Blokować lub monitorować uruchamianie Edge z parametrem --load-extension.
Wykrywać niestandardowe użycie AutoHotkey, Pythona, PowerShella, RDP, PsExec i WinRM.
Monitorować próby dostępu do LSASS, lokalne serwery HTTP na nietypowych portach i pobieranie plików z niezatwierdzonych zasobów chmurowych.
Wzmocnić ochronę kont uprzywilejowanych przez segmentację, MFA i zasady PAM.
Korelować sygnały z poczty, Teams, EDR i logów tożsamości, aby szybciej wykrywać sekwencje charakterystyczne dla tego typu kampanii.
Szkolić użytkowników, zwłaszcza kadrę menedżerską i administratorów, w zakresie socjotechniki prowadzonej przez komunikatory.

Podsumowanie

Kampania UNC6692 potwierdza, że Microsoft Teams stał się atrakcyjnym kanałem wejścia dla zaawansowanych operacji cyberprzestępczych. Najgroźniejszy jest tu nie pojedynczy komponent malware, lecz cały model działania: wywołanie presji, podszycie się pod helpdesk, wykorzystanie zaufanego kanału komunikacji i szybkie przejście do eskalacji uprawnień oraz ruchu lateralnego.

Dla zespołów bezpieczeństwa oznacza to konieczność rozszerzenia strategii ochrony poza e-mail. Skuteczna obrona wymaga objęcia kontrolami, monitoringiem i szkoleniami również komunikatorów korporacyjnych, narzędzi zdalnego wsparcia oraz legalnych usług chmurowych, które coraz częściej są wykorzystywane jako nośnik złośliwych operacji.

Źródła

UNC6692 atakuje przez Microsoft Teams: fałszywy helpdesk IT wdraża malware SNOW

Wprowadzenie do problemu / definicja

Aktywność oznaczona jako UNC6692 pokazuje, że współczesne kampanie intruzów coraz częściej odchodzą od klasycznego phishingu e-mail i przenoszą się do narzędzi codziennej komunikacji firmowej. W tym przypadku napastnicy podszywają się pod pracowników wsparcia IT w Microsoft Teams i wykorzystują presję sytuacyjną, aby skłonić ofiarę do uruchomienia działań, które prowadzą do infekcji.

To szczególnie niebezpieczny model ataku, ponieważ nie wymaga wykorzystywania zaawansowanej luki w samej platformie. Jego skuteczność opiera się przede wszystkim na socjotechnice, zaufaniu do narzędzi korporacyjnych oraz przekonaniu użytkownika, że wykonuje legalne polecenia administracyjne.

W skrócie

UNC6692 to klaster zagrożeń, który kontaktuje się z ofiarami przez Microsoft Teams pod pretekstem pomocy technicznej. Kampania często rozpoczyna się od zalewu skrzynki wiadomościami spamowymi, co ma wywołać chaos i zwiększyć podatność użytkownika na kontakt ze strony rzekomego helpdesku.

Po zdobyciu zaufania ofiary atakujący uruchamiają łańcuch infekcji prowadzący do wdrożenia pakietu malware SNOW. Zestaw ten obejmuje moduły odpowiedzialne za zdalny dostęp, tunelowanie ruchu, wykonywanie poleceń, utrzymanie dostępu i przygotowanie danych do eksfiltracji.

wejście przez socjotechnikę w Microsoft Teams,
wykorzystanie fałszywej pomocy technicznej,
dostarczenie modułowego malware SNOW,
ruch boczny i kradzież poświadczeń,
wykorzystanie legalnych usług i narzędzi do ukrycia działań.

Kontekst / historia

Podszywanie się pod helpdesk nie jest nową techniką, ale w ostatnich latach wyraźnie ewoluowało. Zamiast ograniczać się do wiadomości e-mail lub rozmów telefonicznych, napastnicy coraz częściej wykorzystują komunikatory firmowe, narzędzia zdalnej pomocy i środowiska chmurowe, które użytkownicy uznają za wiarygodne.

Model operacyjny obserwowany w kampaniach tego typu zwykle łączy presję psychologiczną z legalnie wyglądającym procesem wsparcia. Ofiara nie tylko otrzymuje wiadomość, ale jest aktywnie prowadzona przez kolejne etapy rzekomej naprawy problemu. To znacząco zwiększa skuteczność ataku i utrudnia jego wykrycie przez tradycyjne szkolenia antyphishingowe oparte głównie na analizie poczty.

Przypadek UNC6692 wpisuje się w ten trend, ale wyróżnia się użyciem własnego, modułowego zestawu malware, który rozszerza możliwości intruza od dostępu początkowego aż po działania post-exploitation i eksfiltrację danych.

Analiza techniczna

Łańcuch ataku zaczyna się od przygotowania ofiary. Napastnicy generują zamieszanie, na przykład przez masowy spam, a następnie kontaktują się przez Teams jako rzekomy dział wsparcia IT. Celem jest stworzenie wrażenia pilnej potrzeby interwencji i skłonienie użytkownika do wykonania poleceń bez dodatkowej weryfikacji.

W opisanym scenariuszu ofiara była kierowana do strony phishingowej podszywającej się pod narzędzie naprawy skrzynki pocztowej. Po interakcji następowało pobranie skryptu AutoHotkey z infrastruktury kontrolowanej przez atakującego. Skrypt pełnił funkcję pierwszego etapu wdrożenia i przygotowywał środowisko do pobrania kolejnych komponentów.

Jednym z kluczowych elementów był SNOWBELT, czyli złośliwe rozszerzenie dla przeglądarki opartej na Chromium. Moduł był ładowany do Microsoft Edge przy użyciu parametrów uruchomieniowych umożliwiających dołączanie rozszerzeń. Taka technika pokazuje, że atakujący coraz częściej nadużywają samego środowiska przeglądarki jako platformy wykonawczej zamiast polegać wyłącznie na klasycznych binariach.

W dalszym etapie pobierane były kolejne moduły, w tym SNOWGLAZE i SNOWBASIN, a także dodatkowe skrypty AutoHotkey i archiwum ZIP zawierające przenośne środowisko Python. Architektura kampanii wskazuje na modularność i możliwość dynamicznego rozbudowywania funkcji w zależności od potrzeb operacji.

Funkcjonalnie poszczególne komponenty pełniły odrębne role:

SNOWBELT odpowiadał za sterowanie i pośredniczenie w wykonywaniu poleceń,
SNOWGLAZE zestawiał uwierzytelniony tunel WebSocket pomiędzy środowiskiem ofiary a serwerem dowodzenia,
SNOWBASIN zapewniał trwałość, zdalne wykonywanie poleceń, zrzuty ekranu, transfer plików i funkcje samo-usunięcia.

Według opisu jeden z modułów działał lokalnie jako serwer HTTP na portach 8000, 8001 lub 8002. Zaobserwowano też mechanizmy typu gatekeeper, których zadaniem było ograniczenie dostarczania ładunku tylko do wybranych ofiar oraz utrudnienie analizy w środowiskach testowych.

Po uzyskaniu dostępu początkowego atakujący przechodzili do działań post-exploitation. Obejmowały one skanowanie sieci pod kątem usług zdalnych i administracyjnych, zestawianie sesji PsExec, tunelowanie RDP, pozyskiwanie pamięci procesu LSASS oraz wykorzystanie techniki Pass-the-Hash do ruchu bocznego. Końcowym etapem było przygotowanie i wyprowadzenie danych z użyciem narzędzi oraz usług wyglądających na legalne.

Konsekwencje / ryzyko

Największe zagrożenie w kampanii UNC6692 wynika z połączenia zaawansowanej socjotechniki, wykorzystania zaufanych kanałów komunikacji i modułowego malware. Taki zestaw utrudnia wykrycie zarówno użytkownikowi, jak i systemom bezpieczeństwa bazującym wyłącznie na reputacji plików lub domen.

Dla organizacji ryzyko obejmuje przejęcie stacji roboczej, kradzież poświadczeń, eskalację uprawnień, ruch boczny do systemów o wysokiej wartości oraz eksfiltrację danych. W środowiskach silnie zintegrowanych z Active Directory lub systemami administracyjnymi nawet pojedyncza udana interakcja użytkownika może stać się punktem wyjścia do szerszej kompromitacji infrastruktury.

Szczególnie groźne jest też to, że atak odbywa się w kanałach postrzeganych jako wewnętrzne i bezpieczne. Użytkownicy znacznie rzadziej kwestionują wiadomość w Teams lub prośbę o użycie narzędzia zdalnej pomocy niż klasyczny e-mail phishingowy, co zwiększa prawdopodobieństwo powodzenia kampanii.

Rekomendacje

Organizacje powinny traktować Microsoft Teams i inne platformy współpracy jako pełnoprawną powierzchnię ataku. Konieczny jest przegląd ustawień dotyczących kontaktów zewnętrznych, komunikacji między tenantami, połączeń głosowych oraz funkcji zdalnej pomocy. Tam, gdzie to możliwe, warto ograniczyć kontakt z nieznanymi tenantami i wdrożyć dodatkowe mechanizmy akceptacji.

Równie ważne jest wdrożenie formalnego procesu weryfikacji działań helpdesku. Każda niezamówiona prośba o uruchomienie narzędzia, kliknięcie linku, instalację komponentu lub podanie danych logowania powinna być potwierdzana niezależnym kanałem, na przykład przez oficjalny numer wsparcia lub system zgłoszeń.

Po stronie technicznej warto zwiększyć poziom monitoringu oraz korelacji zdarzeń na styku tożsamości, endpointów i komunikatorów. Należy zwracać uwagę na nietypowe zachowania związane z sesjami pomocy zdalnej, uruchamianiem interpretera poleceń i komunikacją sieciową.

monitorowanie uruchamiania QuickAssist.exe, PowerShell i cmd.exe,
wykrywanie wykonywania kodu z katalogów zapisywalnych przez użytkownika,
analiza nietypowego ładowania rozszerzeń i komponentów przeglądarki,
kontrola lokalnych serwerów HTTP i ruchu na portach 8000–8002,
wdrożenie reguł ASR i polityk WDAC ograniczających nieautoryzowane uruchomienia,
monitorowanie prób dostępu do LSASS i zachowań charakterystycznych dla Pass-the-Hash,
szkolenie użytkowników z rozpoznawania fałszywego helpdesku i kontaktów zewnętrznych.

Podsumowanie

Kampania UNC6692 potwierdza, że nowoczesne ataki coraz częściej wykorzystują narzędzia współpracy jako wygodny kanał wejścia do organizacji. Podszywanie się pod helpdesk IT w Microsoft Teams, wsparte presją operacyjną i legalnie wyglądającymi działaniami, tworzy bardzo skuteczną ścieżkę do przejęcia systemów.

Z perspektywy obrony kluczowe jest połączenie kontroli technicznych z procedurami operacyjnymi i realnym treningiem użytkowników. Sama świadomość phishingu e-mail nie wystarcza, jeśli organizacja nie uwzględnia scenariuszy ataku realizowanych przez komunikatory, narzędzia pomocy zdalnej i zaufane usługi chmurowe.

Źródła

The Hacker News — UNC6692 Impersonates IT Helpdesk via Microsoft Teams to Deploy SNOW Malware — https://thehackernews.com/2026/04/unc6692-impersonates-it-helpdesk-via.html
Microsoft Security Blog — Cross-tenant helpdesk impersonation to data exfiltration: A human-operated intrusion playbook — https://www.microsoft.com/en-us/security/blog/2026/04/18/crosstenant-helpdesk-impersonation-data-exfiltration-human-operated-intrusion-playbook/
Google Cloud Blog / Mandiant — Threat Intelligence portal — https://cloud.google.com/blog/topics/threat-intelligence?hl=en
SC Media — Microsoft Teams, Quick Assist weaponized in helpdesk spoofing intrusions — https://www.scworld.com/brief/microsoft-teams-quick-assist-weaponized-intrusions
TechRepublic — Hackers Impersonate IT Help Desk on Microsoft Teams to Gain Access, Steal Data — https://www.techrepublic.com/article/news-hackers-microsoft-teams-social-engineering-it-help-desk-scam/

The Gentlemen: nowa grupa ransomware błyskawicznie rośnie w siłę

Wprowadzenie do problemu / definicja

The Gentlemen to nowa operacja ransomware-as-a-service, która w bardzo krótkim czasie zyskała znaczącą pozycję w krajobrazie cyberzagrożeń. Mimo nazwy sugerującej łagodność grupa prowadzi klasyczne kampanie podwójnego wymuszenia, łącząc szyfrowanie systemów z kradzieżą danych oraz groźbą ich publikacji. Szczególny niepokój budzi tempo rozwoju zaplecza technicznego i wysoki poziom dojrzałości operacyjnej widoczny już na wczesnym etapie działalności.

W skrócie

The Gentlemen pojawiło się w połowie 2025 roku i szybko awansowało do grona najbardziej aktywnych grup RaaS.
Atakujący wykorzystują m.in. SystemBC, tunele SOCKS5, Cobalt Strike i mechanizmy wyłączania zabezpieczeń Windows.
W kampaniach obserwowano masowe wdrażanie ransomware za pomocą Active Directory Group Policy.
Grupa rozwija także warianty przeznaczone dla środowisk VMware ESXi.
Najbardziej narażone są organizacje korporacyjne z rozbudowaną domeną Windows i scentralizowaną administracją.

Kontekst / historia

Model ransomware-as-a-service od lat obniża próg wejścia dla cyberprzestępców. Twórcy dostarczają oprogramowanie, infrastrukturę oraz kanały negocjacyjne, natomiast afilianci odpowiadają za uzyskanie dostępu do ofiary, ruch boczny i uruchomienie ładunku szyfrującego. Skuteczność takich operacji zależy od jakości narzędzi, atrakcyjności programu partnerskiego oraz zdolności do utrzymania ciągłości działania mimo presji ze strony organów ścigania i branży bezpieczeństwa.

Na tym tle The Gentlemen wyróżnia się wyjątkowo szybkim tempem wzrostu. W krótkim czasie grupa osiągnęła poziom aktywności porównywalny z bardziej ugruntowanymi markami ransomware. Jej rosnąca obecność w raportach branżowych sugeruje, że ma skuteczny model afiliacyjny oraz ofertę atrakcyjną dla operatorów szukających dojrzałego zaplecza technicznego.

Analiza techniczna

W analizowanych incydentach po uzyskaniu dostępu do środowiska atakujący uruchamiali malware SystemBC. To komponent pośredniczący, wykorzystywany do zestawiania tuneli SOCKS5, ukrywania komunikacji z infrastrukturą dowodzenia i kontroli oraz pobierania kolejnych narzędzi. W praktyce stanowi on wygodną warstwę transportową dla dalszych etapów ręcznie prowadzonych operacji.

Następnie operatorzy rozszerzali obecność w sieci, koncentrując się na zasobach o wysokiej wartości, zwłaszcza na kontrolerach domeny. Uzyskanie uprzywilejowanego dostępu do takiego systemu znacząco przyspiesza eskalację ataku, umożliwiając rekonesans, modyfikację polityk bezpieczeństwa, dystrybucję narzędzi oraz przygotowanie masowego wdrożenia ransomware.

Jednym z najbardziej niebezpiecznych elementów działania The Gentlemen jest wykorzystanie natywnej infrastruktury Active Directory. Operatorzy mogą używać Group Policy do jednoczesnego uruchamiania ładunku na wielu hostach domenowych. Dla obrońców oznacza to, że przejęcie jednego kluczowego systemu administracyjnego może bardzo szybko doprowadzić do szyfrowania dużej części środowiska Windows.

Sam ransomware rozwijany jest w języku Go, co wpisuje się w trend tworzenia przenośnych i łatwych do adaptacji binariów. Zaobserwowano funkcje pozwalające wyłączać Microsoft Defender, zaporę systemową oraz wybrane mechanizmy monitorowania i skanowania. Grupa korzysta również z narzędzi zdalnego dostępu oraz komponentów wspierających utrzymanie trwałości w środowisku ofiary.

Istotnym elementem operacji jest także wariant przeznaczony dla VMware ESXi. Wskazuje to na dążenie do skutecznego paraliżowania infrastruktury wirtualnej i zwiększania presji na ofiary. Dodatkowo operatorzy podejmują działania przygotowawcze, takie jak kontrolowane wyłączanie maszyn wirtualnych czy ograniczanie mechanizmów automatycznego odzyskiwania, co zwiększa skuteczność szyfrowania i utrudnia szybkie odtworzenie usług.

Na uwagę zasługuje również dojrzałość modelu afiliacyjnego. Pakiet oferowany przez grupę obejmuje eksfiltrację danych, szyfrowanie, ruch boczny, techniki unikania detekcji i obsługę wielu platform. Dzięki temu nawet mniej doświadczeni afilianci mogą realizować ataki o skali typowej dla bardziej zaawansowanych operatorów.

Konsekwencje / ryzyko

Największe ryzyko dla organizacji wynika z bardzo krótkiego czasu przejścia od początkowej kompromitacji do pełnoskalowego incydentu. Jeśli napastnicy przejmą system brzegowy, a następnie uzyskają dostęp do kontrolera domeny, rozpropagowanie ładunku może nastąpić błyskawicznie. Skutkiem może być jednoczesna niedostępność usług, utrata danych, przerwanie procesów biznesowych, szkody reputacyjne oraz presja negocjacyjna wynikająca z podwójnego wymuszenia.

Szczególnie zagrożone są organizacje z rozbudowanymi domenami Windows, wysokim stopniem centralizacji administracji, niewystarczającą segmentacją sieci i krytycznymi usługami utrzymywanymi na hostach ESXi. Dodatkowym problemem jest wykorzystywanie legalnych narzędzi administracyjnych i popularnych frameworków ofensywnych, co może utrudniać wykrycie anomalii na wczesnym etapie ataku.

Rekomendacje

W pierwszej kolejności organizacje powinny ograniczyć ryzyko kompromitacji systemów wystawionych do Internetu. Niezbędne są regularne przeglądy zasobów publicznych, szybkie usuwanie podatności, wyłączanie nieużywanych usług zdalnych oraz wdrażanie wieloskładnikowego uwierzytelniania tam, gdzie jest to możliwe.

Kluczowe znaczenie ma ochrona warstwy tożsamości i infrastruktury domenowej. Kontrolery domeny powinny być objęte wzmocnionym monitoringiem, segmentacją i ścisłą kontrolą dostępu uprzywilejowanego. Każda nietypowa modyfikacja Group Policy, nagłe wdrożenia skryptów PowerShell czy nieoczekiwana dystrybucja binariów powinny uruchamiać alerty bezpieczeństwa.

Warto również wdrożyć detekcję zachowań charakterystycznych dla etapów poprzedzających szyfrowanie. Dotyczy to w szczególności tuneli SOCKS5, komunikacji z serwerami C2, wyłączania Defendera i zapory, nietypowego użycia narzędzi zdalnego dostępu, aktywności Cobalt Strike oraz gwałtownego wzrostu operacji administracyjnych na wielu hostach. Istotna jest także telemetria z hostów ESXi i monitorowanie zdarzeń związanych z masowym wyłączaniem maszyn wirtualnych.

Z perspektywy odporności operacyjnej niezbędne są odseparowane kopie zapasowe, regularne testy odtwarzania, procedury izolacji segmentów sieci oraz gotowy plan reagowania na incydenty ransomware. Program szkoleniowy dla pracowników i administratorów powinien obejmować rozpoznawanie oznak kompromitacji, zasady pracy z uprzywilejowanymi kontami oraz właściwą reakcję na incydenty z użyciem narzędzi zdalnego dostępu.

Podsumowanie

The Gentlemen to przykład nowej generacji operacji RaaS, która bardzo szybko osiągnęła skalę zwykle zarezerwowaną dla bardziej dojrzałych grup ransomware. Połączenie SystemBC, tunelowania sieciowego, aktywnego ruchu bocznego, wyłączania zabezpieczeń, wykorzystania Group Policy oraz wariantów dla środowisk ESXi sprawia, że zagrożenie ma charakter wysoce operacyjny i stanowi realne ryzyko dla dużych organizacji. Dla zespołów bezpieczeństwa najważniejsze pozostają dziś trzy priorytety: ochrona systemów brzegowych, twarde zabezpieczenie Active Directory oraz szybkie wykrywanie działań przygotowawczych poprzedzających detonację ransomware.

Źródła

Dark Reading — „The Gentlemen’ Rapidly Rises to Ransomware Prominence” — https://www.darkreading.com/threat-intelligence/gentlemen-rapidly-rise-ransomware
Comparitech — „Ransomware roundup: Q1 2026” — https://www.comparitech.com/news/ransomware-roundup-q1-2026/
NCC Group — „Monthly Threat Pulse – Review of February 2026” — https://www.nccgroup.com/newsroom/ncc-group-monthly-threat-pulse-review-of-february-2026/
GuidePoint Security — „Q1 2026 Ransomware and Cyber Threat Insights” — https://www.guidepointsecurity.com/wp-content/uploads/2026/04/Q1-2026_Ransomware_and-Cyber_Threat_Insights.pdf
Silent Push — „No Place to Hide: Following a Serial Ransomware Affiliate from LockBit, Black Basta, and Qilin to The Gentlemen” — https://www.silentpush.com/blog/gentlemen-ransomware/

Google Antigravity pod ostrzałem: luka RCE i kampania malware wymierzone w środowisko agentowe AI

Wprowadzenie do problemu / definicja

Google Antigravity to nowoczesna platforma deweloperska klasy agent-first, zaprojektowana do współpracy z autonomicznymi agentami AI realizującymi złożone zadania inżynierskie. Rosnące znaczenie takich środowisk sprawia jednak, że stają się one atrakcyjnym celem zarówno dla badaczy bezpieczeństwa, jak i cyberprzestępców.

W ostatnim czasie wokół Antigravity ujawniono dwa równoległe zagrożenia. Pierwsze dotyczy podatności umożliwiającej ucieczkę z sandboxa i zdalne wykonanie kodu, drugie zaś kampanii malware wykorzystującej markę produktu do dystrybucji złośliwego instalatora.

W skrócie

W Google Antigravity wykryto lukę pozwalającą na zdalne wykonanie kodu i obejście mechanizmów izolacji.
Źródłem problemu miała być niewystarczająca sanitizacja danych wejściowych w parametrze używanym przy wyszukiwaniu plików.
Badacze wykazali także możliwość użycia pośredniego prompt injection bez przejęcia konta ofiary.
Równolegle pojawiła się kampania podszywająca się pod Antigravity i dystrybuująca trojanizowany instalator.
Złośliwe oprogramowanie miało kraść dane z przeglądarek, komunikatorów, portfeli kryptowalutowych i innych aplikacji użytkownika.

Kontekst / historia

Ekosystem narzędzi deweloperskich wspieranych przez AI rozwija się bardzo dynamicznie. Rozwiązania tego typu nie są już jedynie inteligentnymi edytorami kodu, lecz pełnią rolę warstwy orkiestracji dla agentów zdolnych do planowania, wykonywania i weryfikowania wieloetapowych działań.

To przesunięcie funkcjonalne zwiększa produktywność zespołów, ale jednocześnie rozszerza powierzchnię ataku. Narzędzie, które analizuje pliki, interpretuje polecenia i może inicjować działania w systemie lokalnym, staje się elementem krytycznym z punktu widzenia bezpieczeństwa stacji roboczej dewelopera oraz całego łańcucha dostaw oprogramowania.

W przypadku Google Antigravity zagrożenie ma charakter podwójny. Z jednej strony ujawniono błąd projektowy wpływający na izolację i wykonanie poleceń. Z drugiej strony cyberprzestępcy wykorzystali rozpoznawalność platformy jako przynętę do infekowania użytkowników malware. To typowy schemat obserwowany przy szybko zyskujących popularność produktach technologicznych.

Analiza techniczna

Według opisu incydentu wykryta podatność umożliwiała eskalację z poziomu ograniczonego środowiska do wykonania arbitralnych poleceń systemowych. Bezpośrednią przyczyną miała być niewystarczająca sanitizacja danych wejściowych w parametrze przetwarzanym przez funkcję wyszukiwania plików. Odpowiednio spreparowana wartość mogła prowadzić do wstrzyknięcia poleceń i ich wykonania po stronie lokalnego środowiska.

Szczególnie istotne jest to, że zaprezentowany scenariusz miał omijać tryb Secure Mode. Sugeruje to, że mechanizmy ochronne nie obejmowały wszystkich ścieżek wykonania albo nie uwzględniały specyfiki operacji inicjowanych przez agentów AI. W środowiskach agentowych ryzyko jest podwyższone, ponieważ agent może traktować zawartość plików, komentarzy i instrukcji jako dane sterujące dalszym działaniem.

Badacze wskazali również wariant wykorzystujący pośrednie prompt injection. W takim scenariuszu użytkownik pobiera z nieufnego źródła plik, który wygląda niegroźnie, ale zawiera treść wpływającą na zachowanie agenta. Gdy agent przetwarza taki plik, może zostać nakłoniony do przygotowania lub uruchomienia złośliwego łańcucha działań. Pokazuje to, że w narzędziach AI granica między danymi a instrukcjami bywa wyjątkowo cienka.

Drugi aspekt techniczny dotyczy kampanii malware. Fałszywa witryna imitująca legalny projekt dystrybuowała zmodyfikowany instalator, który poza pozornie prawidłową instalacją uruchamiał dodatkowe skrypty PowerShell. To skuteczna technika socjotechniczna, ponieważ użytkownik widzi działającą aplikację, podczas gdy złośliwe komponenty są wdrażane równolegle w tle.

Dostarczany payload miał charakter stealer malware nastawionego na pozyskiwanie danych o wysokiej wartości operacyjnej i finansowej. Z opisu funkcjonalności wynika, że celem były między innymi zapisane hasła, cookies, dane autouzupełniania, informacje z komunikatorów, portfeli kryptowalutowych oraz klientów FTP. Dodatkowo malware miał wspierać clipboard hijacking, keylogging, a nawet tworzenie ukrytego pulpitu w systemie Windows, co sprzyja skrytemu wykonywaniu działań.

Konsekwencje / ryzyko

Dla organizacji korzystających z narzędzi agentowych ryzyko ma kilka poziomów. Podatność typu remote code execution w środowisku programistycznym może prowadzić do pełnego przejęcia stacji roboczej dewelopera. Taka stacja często posiada dostęp do repozytoriów kodu, kluczy SSH, tokenów CI/CD, sekretów aplikacyjnych, środowisk chmurowych i systemów wewnętrznych.

Prompt injection w narzędziu zdolnym do wykonywania działań na systemie plików i uruchamiania poleceń może z kolei umożliwiać ataki łańcuchowe. Niebezpieczny plik źródłowy, komentarz w repozytorium lub spreparowana dokumentacja mogą stać się punktem wejścia do środowiska deweloperskiego nawet wtedy, gdy użytkownik nie uruchamia świadomie podejrzanego kodu.

Osobnym problemem są kampanie podszywające się pod popularne narzędzia AI. Są one szczególnie groźne dla freelancerów, małych zespołów i środowisk testowych, gdzie kontrola nad pochodzeniem instalatorów bywa słabsza. Kradzież cookies, haseł i sesji może prowadzić do przejęcia kont, dostępu do zasobów firmowych oraz dalszej lateralizacji w infrastrukturze.

W ujęciu strategicznym incydent pokazuje, że narzędzia AI dla deweloperów stają się krytycznym elementem łańcucha dostaw oprogramowania. Każda podatność lub kampania podszywania się pod taki produkt może wpływać nie tylko na pojedynczy host, ale także na repozytoria, pipeline wdrożeniowe i zasoby produkcyjne.

Rekomendacje

Organizacje powinny traktować środowiska IDE oraz agentowe narzędzia AI jako aktywa wysokiego ryzyka i obejmować je kontrolami podobnymi do tych stosowanych wobec stacji uprzywilejowanych. W praktyce oznacza to segmentację dostępu, ograniczenie lokalnych uprawnień, monitoring procesów potomnych oraz ścisłą kontrolę użycia PowerShell i interpreterów skryptowych.

Pobierać instalatory wyłącznie z oficjalnych i zweryfikowanych kanałów.
Weryfikować podpisy cyfrowe i sumy kontrolne przed wdrożeniem oprogramowania.
Stosować allowlisting aplikacji oraz blokować uruchamianie nieautoryzowanych binariów i skryptów z katalogów użytkownika.
Traktować pliki z repozytoriów publicznych, dokumentację i komentarze jako potencjalnie niebezpieczne dane wejściowe dla agentów AI.
Rozdzielać środowiska testowe od środowisk o podwyższonym poziomie zaufania.
Wdrażać polityki jawnej akceptacji dla operacji systemowych wykonywanych przez agentów.
Regularnie usuwać zbędne tokeny i sekrety z lokalnych stacji oraz korzystać z menedżerów sekretów.

Z perspektywy SOC i zespołów IR warto przygotować detekcje obejmujące nietypowe uruchomienia PowerShell po instalacji narzędzi deweloperskich, tworzenie procesów potomnych przez IDE, dostęp do magazynów przeglądarek, eksport cookies, aktywność wobec portfeli kryptowalutowych oraz anomalie związane z tworzeniem alternatywnych pulpitów w systemie Windows.

Podsumowanie

Przypadek Google Antigravity dobrze ilustruje dwa równoległe trendy w cyberbezpieczeństwie. Z jednej strony rośnie znaczenie podatności w narzędziach AI działających z szerokim dostępem do systemu i procesu wytwórczego. Z drugiej strony operatorzy malware bardzo szybko wykorzystują popularność nowych marek i produktów do prowadzenia kampanii socjotechnicznych.

Dla zespołów bezpieczeństwa oznacza to konieczność rozszerzenia modelu zagrożeń o nowe klasy ryzyk, takie jak prompt injection w środowiskach agentowych, kompromitacja stacji deweloperskich przez fałszywe instalatory oraz nadużycia wynikające z nadmiernych uprawnień narzędzi AI. Im większa automatyzacja pracy programistycznej, tym większa potrzeba wdrażania twardych kontroli bezpieczeństwa wokół całego ekosystemu.

Źródła

SecurityWeek — Google Antigravity in Crosshairs of Security Researchers, Cybercriminals — https://www.securityweek.com/google-antigravity-in-crosshairs-of-security-researchers-cybercriminals/
Pillar Security — Technical write-up on the Antigravity vulnerability — https://www.pillar.security/
Malwarebytes — Analysis of the trojanized Antigravity installer campaign — https://www.malwarebytes.com/