Archiwa: PowerShell - Strona 24 z 32 - Security Bez Tabu

Tag: PowerShell

Ivanti i Zoom łatają luki o wysokiej ważności: EPM (Ivanti Endpoint Manager) i klienci Zoom zagrożone eskalacją uprawnień i zapisem plików

Wprowadzenie do problemu / definicja luki

Ivanti i Zoom opublikowały aktualizacje bezpieczeństwa usuwające szereg luk o wysokiej ważności. W Ivanti Endpoint Manager (EPM) załatano m.in. podatności umożliwiające zapis/wykreowanie dowolnych plików, eskalację uprawnień oraz — w niektórych scenariuszach — zdalne wykonanie kodu. Zoom opublikował dziewięć biuletynów, w tym trzy luki o wysokiej ważności w klientach mobilnych oraz VDI dla Windows (eskalacja uprawnień), a także kilka średniej ważności (ujawnienie informacji, XSS).

W skrócie

  • Ivanti EPM: trzy istotne CVE — CVE-2025-9713 (path traversal → RCE), CVE-2025-11622 (insecure deserialization → RCE) i CVE-2025-10918 (domyślne, zbyt szerokie uprawnienia → dowolny zapis plików / EoP). Dotyczy wersji przed 2024 SU4. Brak sygnałów o exploitach „in the wild”.
  • Zoom: dziewięć biuletynów; luki o wysokiej ważności to CVE-2025-62484 (klienci Zoom Workplace – złożoność wyrażeń regularnych → EoP), CVE-2025-64741 (Android – nieprawidłowe autoryzacje → EoP) i CVE-2025-64740 (VDI Client for Windows – weryfikacja podpisu kryptograficznego → EoP).
  • Kontekst: dwie z luk Ivanti (CVE-2025-9713 i CVE-2025-11622) nagłośniono już w październiku po tym, jak ZDI ujawniło 13 niezałatanych problemów w EPM; Ivanti obiecało poprawki na listopad i je dostarczyło.

Kontekst / historia / powiązania

W październiku 2025 Trend Micro Zero Day Initiative (ZDI) opublikowało serię 13 poradników dotyczących 0-dayów w Ivanti EPM (głównie RCE i EoP), eskalując sprawę z powodu opóźnień w łataniu. Ten kontekst tłumaczy, dlaczego listopadowy pakiet Ivanti ma tak „skondensowany” charakter i obejmuje wcześniej ujawnione podatności.

Równolegle Zoom w 2025 roku miał już kilka głośnych poprawek (m.in. krytyczna luka CVE-2025-49457 w kliencie Windows w sierpniu). Najnowszy zestaw z 11 listopada 2025 r. porządkuje bezpieczeństwo nowych aplikacji Zoom Workplace (w tym VDI i mobile).

Analiza techniczna / szczegóły luki

Ivanti Endpoint Manager (EPM)

  • CVE-2025-9713 – Path Traversal → możliwe RCE
    Słabość walidacji ścieżek umożliwia zapisywanie/odczyt plików poza katalogami docelowymi. W połączeniu z innymi wektorami może prowadzić do zdalnego wykonania kodu w kontekście usługi/agentów EPM. Dotyczy wydań przed 2024 SU4.
  • CVE-2025-11622 – Insecure Deserialization → RCE
    Niezaufane obiekty mogą zostać zdeserializowane po stronie serwera/agentów, co pozwala atakującemu wstrzyknąć ładunek prowadzący do wykonania kodu.
  • CVE-2025-10918 – Insecure Default Permissions → dowolny zapis plików / EoP
    Domyślne uprawnienia agenta EPM umożliwiają nadpisanie lub stworzenie plików systemowych przez lokalnego, uwierzytelnionego użytkownika i „podniesienie” się do konta o wyższych uprawnieniach. Ivanti wskazuje, że nie ma dowodów na aktywne wykorzystanie.

Uwaga operacyjna: Dwie pierwsze luki (9713, 11622) są kontynuacją październikowych ujawnień ZDI i zostały oficjalnie załatane w gałęzi 2024 SU4, zgodnie z zapowiedzią z października.

Zoom (Workplace / VDI / Mobile)

  • CVE-2025-62484 – „Inefficient Regular Expression Complexity” → EoP
    Wadliwy parser (reguły regex) może powodować nadmierne zużycie zasobów i prowadzić do scenariuszy eskalacji uprawnień (np. gdy komponent działa z wyższymi uprawnieniami). Poprawka dostępna w Zoom Workplace Clients 6.5.10 i nowszych.
  • CVE-2025-64741 – Improper Authorization Handling (Android) → EoP
    Błędne egzekwowanie autoryzacji w aplikacji mobilnej Zoom na Androida może umożliwić lokalnemu atakującemu uzyskanie wyższych uprawnień w aplikacji.
  • CVE-2025-64740 – Improper Verification of Cryptographic Signature (VDI for Windows) → EoP
    Niewystarczająca weryfikacja podpisów kryptograficznych w Zoom Workplace VDI Client for Windows umożliwia manipulację procesem instalacji/aktualizacji i wykonanie kodu z uprawnieniami systemowymi. Wymaga lokalnego dostępu, ale skutki są poważne (SYSTEM/Administrator).

Praktyczne konsekwencje / ryzyko

  • Ivanti EPM
    • Ryzyko trwałej persystencji przez droppery/serwisy, jeśli atakujący uzyska możliwość zapisu w ścieżkach systemowych (CVE-2025-10918).
    • RCE po złożeniu kilku primitywów (path traversal + niebezpieczna deserializacja) — szczególnie groźne w środowiskach, gdzie serwer EPM zarządza tysiącami agentów.
    • Potencjał lateral movement (dystrybucja payloadu jako „zadanie” EPM).
  • Zoom
    • Eskalacja uprawnień lokalnych na stacjach VDI/VDI-pluginach i endpointach użytkowników (Windows/macOS/Linux), co często wystarcza do kradzieży danych uwierzytelniających, dodania konta admina lub wdrożenia narzędzi LPE → C2.
    • Luki średniej ważności (m.in. ujawnienie informacji, XSS) mogą ułatwić post-exploitation, fingerprinting systemu i przygotowanie ataku ukierunkowanego.

Rekomendacje operacyjne / co zrobić teraz

1) Patchowanie priorytetowe

  • Ivanti EPM
    • Aktualizuj do EPM 2024 SU4 (lub nowszej) na serwerach i agentach. Zgodnie z komunikatem listopadowym Ivanti — brak dowodów na aktywne wykorzystanie, ale wektor jest poważny.
  • Zoom
    • Zaimplementuj wersje wskazane w biuletynach: Workplace Clients ≥ 6.5.10, VDI Client for Windows (zestaw wersji naprawczych wg ZSB-25042), Android/iOS zgodnie z ZSB. Zaplanuj wymuszoną aktualizację w MDM/Intune/Jamf.

2) Kontrole detekcyjne (przykłady)

  • Windows – polowanie na nietypowe zapisy w ścieżkach systemowych (EPM/LPE): # Wyszukaj ostatnie 48h modyfikacji krytycznych plików przez procesy EPM/niepodpisane Get-WinEvent -LogName Security -FilterHashtable @{Id=4663; StartTime=(Get-Date).AddHours(-48)} | Where-Object { $_.Properties[8].Value -match 'C:\\Windows\\(System32|SysWOW64)|C:\\ProgramData' } | Where-Object { $_.Properties[5].Value -match 'LDMS|EPM|Ivanti|unknown' } | Select TimeCreated, @{n="Obj";e={$_.Properties[6].Value}}, @{n="Proc";e={$_.Properties[1].Value}}
  • EDR/SIEM – podejrzane uruchomienia instalatorów Zoom z nietypowych lokalizacji (CVE-2025-64740):
    • Reguła (Sigma-like): process_name: (ZoomVDI*.msi OR Zoom*.exe) AND parent: (msiexec.exe) AND image_path NOT IN (%ProgramFiles%, %SystemRoot%) AND signature_status: "invalid" OR "missing".
  • Linux/macOS – fingerprint wersji Zoom: # Linux zoom --version 2>/dev/null || dpkg -l | grep -i zoom # macOS /Applications/zoom.us.app/Contents/MacOS/Zoom --version 2>/dev/null strings "/Library/Application Support/Zoom/ZoomDaemon" | grep -i "Version"
  • Inwentarz agentów EPM (PowerShell, WMI/Registry): Get-ItemProperty 'HKLM:\SOFTWARE\Ivanti\ManagementSuite\Agent' | Select-Object ComputerName, AgentVersion, Build, InstallDate

3) Twardnienie konfiguracji

  • Ivanti EPM
    • Wymuś Least Privilege dla kont serwisowych EPM; izoluj katalogi robocze agentów (ACL z wyraźnym „deny” dla zwykłych użytkowników).
    • Segmentacja sieci i TLS mTLS między serwerem EPM a agentami.
    • Włącz dodatkowe walidacje ładunków w zadaniach dystrybucji (hashy, podpisów).
  • Zoom
    • Zablokuj uruchamianie instalatorów z katalogów tymczasowych/Użytkownika (AppLocker/WDAC, SRP).
    • W VDI kontroluj golden image, podpisy i łańcuch aktualizacji; integruj z MDM/EMM dla mobile.

4) Reagowanie / weryfikacja ekspozycji

  • Sprawdź, czy w organizacji występują wersje EPM < 2024 SU4 oraz klienci Zoom < 6.5.10/stare VDI. Zdefiniuj SLA: krytyczne systemy – 72 h; reszta – 7 dni.
  • Przegląd logów z ostatnich 30 dni pod kątem: nietypowego zapisu plików w katalogach systemowych, anomalii instalatora Zoom, nagłych restartów usług EPM.

Różnice / porównania z innymi przypadkami (dla studentów i SOC)

  • EPM vs. EPMM/Neurons: opisywane tu luki dotyczą Endpoint Manager (on-prem), a nie (głośnych w przeszłości) podatności w Endpoint Manager Mobile (EPMM) wykorzystywanych „na żywo”. Mechanika ataku i powierzchnia są inne.
  • Zoom „krytyczne” z sierpnia vs. „wysokie” z listopada: w sierpniu mieliśmy CVE-2025-49457 (krytyczne, untrusted search path, Windows), obecny zestaw to głównie lokalne EoP i problemy integralności (wysoka waga, ale mniejsza zdalność).

Podsumowanie / kluczowe wnioski

  1. Patch teraz: EPM do 2024 SU4; Zoom do wersji z biuletynów z 11.11.2025 (Workplace ≥ 6.5.10, odpowiednie wydania VDI/Android).
  2. Włącz detekcję LPE: szukaj nietypowych zapisów plików, anomalii instalatora i braków podpisów.
  3. Twardnij łańcuch aktualizacji (podpisy, WDAC/AppLocker, kontrola źródeł instalacji).
  4. Kontekst ZDI: listopadowe łatki Ivanti nadrabiają część 13 ujawnionych w październiku problemów — nie odwlekaj wdrożenia.

Źródła / bibliografia

  • SecurityWeek: „High-Severity Vulnerabilities Patched by Ivanti and Zoom” (12 listopada 2025). (SecurityWeek)
  • Ivanti: „November 2025 Security Update” (11 listopada 2025). (Ivanti)
  • Zoom: strona Security Bulletins (ZSB-25048/43/42 i inne; 11 listopada 2025). (Zoom)
  • SecurityWeek: „ZDI drops 13 unpatched Ivanti Endpoint Manager vulnerabilities” (10 października 2025). (SecurityWeek)
  • eSecurity Planet: „Critical Zoom Vulnerability Exposes Windows Users to Attacks” – kontekst techniczny CVE-2025-64740 (11 listopada 2025). (eSecurity Planet)

Intel łata ponad 60 podatności (listopad 2025). Co to oznacza dla Twoich stacji roboczych i serwerów?

Wprowadzenie do problemu / definicja luki

W listopadowym „chipmaker Patch Tuesday” Intel opublikował 30 nowych biuletynów bezpieczeństwa opisujących ponad 60 podatności w szerokim wachlarzu produktów – od procesorów Xeon/Core i narzędzi deweloperskich po sterowniki grafiki, NPU oraz QuickAssist (QAT). Równolegle własne aktualizacje doręczyli AMD i NVIDIA, obejmując m.in. sterowniki XRT (AMD) oraz frameworki AI (NVIDIA NeMo, Megatron, AIStore, Triton). To wydanie łącznie adresuje błędy prowadzące do eskalacji uprawnień, ujawnienia informacji i DoS, a w przypadku części komponentów AI – także potencjalnego wykonania kodu.

W skrócie

  • Intel: 30 advisory, >60 CVE; wysokie ryzyka m.in. w Xeon/Slim Bootloader/PROSet/CIP/Graphics/QAT; liczne średnio-/niskopoważne błędy w narzędziach użytkowych i SDK.
  • AMD: 14 CVE w 6 advisory; wysoka powaga m.in. w XRT; StoreMi z EoL – producent nie dostarczy łatek (należy odinstalować).
  • NVIDIA: 6 CVE w 4 advisory dot. NeMo, Megatron, AIStore, Triton – część z nich umożliwia wykonanie kodu / EoP / ujawnienie danych.

Kontekst / historia / powiązania

Intel publikuje zbiory biuletynów cyklicznie (zwykle kwartalnie) w ramach Intel Product Security Center. Listopadowy zrzut (11 listopada 2025 r.) zawiera serię advisory INTEL-SA-0130x…0136x widocznych na stronie PSIRT, w tym np. INTEL-SA-01328 (CIP). Równolegle pojawiły się aktualizacje mikrokodu CPU dla Linuksa.

Analiza techniczna / szczegóły luki

Najczęściej dotknięte komponenty (Intel):

  • Procesory Xeon / Slim Bootloader / PROSet / CIP / Graphics / QAT – w części z nich błędy prowadzą do EoP i DoS (wysoka waga). Przykładowo INTEL-SA-01328 (CIP) klasyfikuje wpływ jako EoP/Info Disclosure (severity: HIGH).
  • Narzędzia i biblioteki (Server Configuration Utility, Display Virtualization, NPU drivers, SigTest, VTune, ITT API, oneAPI MKL, QAT userspace, Gaudi, MPI, PresentMon, Driver & Support Assistant, Rapid Storage Technology) – przeważnie średnie/niskie ryzyko (EoP/DoS/Info Disclosure).

AMD:

  • Advisory obejmują XRT (Xilinx Run Time), μProf, wybrane Epyc oraz status StoreMi – technologia jest poza wsparciem, brak łatek (zalecane usunięcie).

NVIDIA (AI stack):

  • NeMo i Megatron (frameworki LLM), AIStore (składowanie aplikacji AI) i Triton Inference Server – biuletyny z listopada 2025 r. naprawiają podatności pozwalające m.in. na wykonanie kodu, EoP i wyciek danych. Przykładowy biuletyn AIStore (listopad 2025): aktualizacja komponentu AuthN.

Praktyczne konsekwencje / ryzyko

  • Stacje robocze DaaS/VDI i deweloperskie (grafika Intel, narzędzia oneAPI/VTune/ITT, Driver & Support Assistant) – ryzyko lokalnej eskalacji uprawnień oraz ujawnienia informacji przez developer tools.
  • Serwery bare-metal i wirtualizacja (Xeon, QAT, Slim Bootloader) – potencjalna EoP/DoS może ułatwić pivot z VM do hosta lub zakłócić akceleratory kryptograficzne/kompresyjne (QAT).
  • Klastry AI/ML (NVIDIA NeMo/Megatron/Triton/AIStore) – błędy w pipeline’ach inferencyjnych/treningowych mogą skutkować RCE w węzłach GPU, sabotażem modeli czy kradzieżą artefaktów.
  • Dziedzictwo: instalacje z AMD StoreMi – niezabezpieczalne; pozostawienie oprogramowania zwiększa powierzchnię ataku.

Rekomendacje operacyjne / co zrobić teraz

1) Inwentaryzacja i priorytetyzacja

  • Zbuduj listę hostów z komponentami: Intel Graphics/PROSet/CIP/QAT/VTune/ITT/oneAPI/DSA/RST, Xeon/Core; u AMD – XRT, μProf, StoreMi; u NVIDII – NeMo/Megatron/AIStore/Triton. (Źródła producentów w sekcji na końcu).

Windows (PowerShell – szybkie sprawdzenie wybranych komponentów Intel):

# sterowniki Intel Graphics + wersja
Get-PnpDevice -Class Display | Get-PnpDeviceProperty DEVPKEY_Device_DriverVersion

# Intel Driver & Support Assistant
Get-ItemProperty "HKLM:\SOFTWARE\Intel\Intel(R) Driver & Support Assistant" | Select-Object Version

# Intel PROSet (NIC)
Get-ItemProperty "HKLM:\SOFTWARE\Intel\NetworkServices\PROSet" -ErrorAction SilentlyContinue

# RST (Rapid Storage Technology)
(Get-Item "HKLM:\SOFTWARE\Intel\IAStor*","HKLM:\SOFTWARE\WOW6432Node\Intel\IAStor*").Property

Linux (mikrokod CPU i QAT):

# wersja mikrokodu
dmesg | grep -i microcode
grep microcode /proc/cpuinfo | uniq

# pakiet mikrokodu (Debian/Ubuntu)
apt policy intel-microcode

# sterowniki QAT (przykład)
lsmod | grep -i qat
modinfo qat_4xxx | egrep 'version|vermagic'

2) Aktualizacje / łagodzenia

  • Intel: zastosuj pakiety z advisory z 11.11.2025 – szczególnie dla CIP (INTEL-SA-01328), Graphics, QAT, PROSet, VTune i komponentów firmware (Slim Bootloader). Sprawdź także dostępność mikrokodu CPU (Linux).
  • AMD: zaktualizuj XRT do wydania 2025.1+; odinstaluj StoreMi (EoL, brak łatek).
  • NVIDIA: zaktualizuj NeMo, Megatron, AIStore (AuthN), Triton do wersji wskazanych w biuletynach z listopada 2025 r.

3) Twardnienie i detekcja

  • W SIEM dodaj korelacje na nieoczekiwane ładowanie sterowników/narzędzi deweloperskich (np. vtune, ittapi, presentmon), eskalację integratorów sterowników (Intel DSA), a w klastrach AI – na nieautoryzowane aktualizacje modelu / pluginów Triton.
  • W EDR utwardź zasady driver loading i app control dla narzędzi z rodziny oneAPI, QAT i NPU.

4) Testy regresji

  • W środowiskach z QAT i akceleracją AI wprowadź krótkie testy wydajnościowe po aktualizacji; błędy DoS potrafią maskować się jako „spadki throughputu”.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

  • W przeciwieństwie do wielu poprzednich wydań, tym razem ciężar komunikatów NVIDII dotyczy frameworków AI, nie tylko sterowników GPU – to ważne dla zespołów MLOps/AI Platform.
  • W ekosystemie AMD rzadkim, lecz istotnym przypadkiem jest brak łatek dla StoreMi z racji EoL – konieczna decyzja remove/replace zamiast „patch & continue”.
  • Intel utrzymuje szeroki zakres – od firmware (Slim Bootloader) po narzędzia deweloperskie – co wymaga zarówno aktualizacji OS/drivers, jak i firmware/BIOS/mikrokodu.

Podsumowanie / kluczowe wnioski

  • To wydanie jest „szerokospektralne”: dotyka endpointów użytkowników, hostów serwerowych i klastrów AI.
  • Priorytetyzuj: Intel CIP/Graphics/QAT/PROSet, AMD XRT, usunięcie StoreMi, NVIDIA NeMo/Megatron/AIStore/Triton.
  • Zadbaj o mikrokod CPU (Linux) i pipeline’y CI/CD dla komponentów AI – błędy w narzędziach deweloperskich i frameworkach to dziś realna ścieżka ataku.

Źródła / bibliografia

  1. SecurityWeek – przekrojowe omówienie tegorocznego „Chipmaker Patch Tuesday” (Intel/AMD/NVIDIA), 12.11.2025. (SecurityWeek)
  2. Intel Product Security Center – lista advisory z 11.11.2025 (m.in. INTEL-SA-01356…01364). (Intel)
  3. Intel INTEL-SA-01328 (Computing Improvement Program – CIP), 11.11.2025. (Intel)
  4. AMD – biuletyn StoreMi (EoL, brak planu łatek). (AMD)
  5. NVIDIA – biuletyn AIStore (AuthN), listopad 2025. (NVIDIA Support)

Brytyjski „Cyber Security and Resilience Bill” – co zmieni w praktyce bezpieczeństwo IT (NIS 2.0 po brytyjsku)

Wprowadzenie do problemu / definicja luki

Rząd Zjednoczonego Królestwa przedstawił w Parlamencie ustawę Cyber Security and Resilience (Network and Information Systems) Bill. Jej celem jest gruntowna aktualizacja ram NIS 2018, tak aby objąć więcej podmiotów krytycznych, uszczelnić łańcuchy dostaw, ujednolicić raportowanie incydentów i dać państwu narzędzia reagowania na zagrożenia o charakterze narodowego bezpieczeństwa. Ustawa jest ukierunkowana na sektory energii, transportu, zdrowia, wody oraz infrastrukturę danych (data centers) i managed service providers (MSP).

W skrócie

  • Zakres: do NIS dołączą data centers (jako „data infrastructure”), MSP (średnie i duże) oraz „large load controllers” w energetyce.
  • Raportowanie: wstępne zgłoszenie w 24h od wykrycia istotnego/potencjalnie istotnego incydentu + pełny raport w 72h; jednoczesne informowanie NCSC oraz – dla DC/MSP/dostawców cyfrowych – klientów mogących być dotkniętymi.
  • Dostawcy krytyczni (critical suppliers): regulator będzie mógł ich wyznaczać i obejmować reżimem NIS, domykając luki w łańcuchach dostaw (np. diagnostyka w NHS, chemikalia dla spółek wodociągowych).
  • Egzekwowanie i koszty: nowoczesne, obrotowe kary za poważne naruszenia i szersze odzyskiwanie kosztów przez regulatorów; badania rządowe szacują koszt cyberataków na ~£14,7 mld/rok (0,5% PKB).
  • Uprawnienia państwa: sekretarz stanu zyska możliwość wydawania kierunkowych priorytetów dla regulatorów i wiążących dyrektyw wobec podmiotów, gdy zagrożone jest bezpieczeństwo narodowe.

Kontekst / historia / powiązania

NIS 2018 podniósł poprzeczkę, ale nie obejmował szeregu podmiotów kluczowych dla ciągłości działania państwa (MSP, część DC, krytyczni poddostawcy). Po serii incydentów (m.in. w zdrowiu publicznym i przemyśle) rząd zapowiedział reformę – opartą także o CAF (Cyber Assessment Framework) i przeglądy NIS z lat 2020 i 2022. Projekt z 12 listopada 2025 r. jest kulminacją prac i towarzyszą mu faktyczne materiały: ustawa, noty wyjaśniające, ocena skutków, factsheety i badania ekonomiczne.

Analiza techniczna / szczegóły ustawy

1) Nowe kategorie w NIS

  • Data centres: formalnie klasyfikowane jako „essential services” w podsektorze data infrastructure. Progi oparte o „rated IT load”:
    – DC nie-enterprise: ≥1 MW;
    – DC enterprise (na potrzeby własne): ≥10 MW.
    Definicja zawiera m.in. wspierającą infrastrukturę (zasilanie, HVAC, bezpieczeństwo fizyczne, odporność).
  • Managed Service Providers (MSP): nowe obowiązki i dedykowane przepisy (Part 4A) – zarządzanie ryzykiem, obowiązki raportowe, oraz jasna definicja, czym jest i nie jest „managed service” (np. samo dostarczenie sprzętu lub pewnych form chmury nie zawsze kwalifikuje się jako MSP).
  • „Large load controllers” (energetyka/Smart Grid): wejdą w zakres, by ograniczyć ryzyka destabilizacji sieci przez atak na systemy zarządzania obciążeniem.
  • „Critical suppliers”: możliwość wyznaczania niektórych dostawców jako krytycznych i objęcia ich reżimem adekwatnym do ryzyka.

2) Raportowanie incydentów

  • Definicja incydentu rozszerzona o zdarzenia „mogące mieć znaczący wpływ” (nie tylko już zakłócające usługę).
  • Model 24/72h: pierwsze zgłoszenie w 24 h, pełny raport w 72 h; dla data center wymóg jest jawnie zapisany (nowy § dot. „data centre incidents”).
  • Logika ekonomiczna (z oceny skutków): model dwustopniowy zmniejsza koszt i pozwala skupić zasoby na ograniczaniu skutków w pierwszej dobie.

3) Wzmocnienie egzekwowania i rola państwa

  • Sankcje i egzekucja: ustawa przewiduje nowoczesny reżim kar i notyfikacji naruszeń (sekcje 48–51), a rząd zapowiada „tougher turnover-based penalties” dla najpoważniejszych naruszeń.
  • Uprawnienia Sekretarza Stanu (Part 3 i 4): priorytety strategiczne dla regulatorów, kodeks praktyk, dyrektywy do podmiotów regulowanych i organów w sytuacjach zagrożenia bezpieczeństwa narodowego.

4) Koszty i skala problemu

  • Nowe badania rządowe: cyberataki kosztują ~£14,7 mld rocznie (~0,5% PKB); średni koszt „znaczącego” ataku >£190 tys.; projekt wskazuje też na wzrost poważnych incydentów w statystykach NCSC.

Praktyczne konsekwencje / ryzyko

  • SOC/IR: trzeba dostosować progi zgłoszeń (nie tylko „service disruption”), wdrożyć timer 24/72h, zsynchronizować kanały do regulatora i NCSC oraz – dla DC/MSP – kanał klientowski (notification to customers).
  • MSP: konieczność udokumentowania zarządzania ryzykiem (Part 4A), asset & access management multi-tenant, segmentacja klientów, powiadamianie klientów o incydentach wpływających potencjalnie/znacząco.
  • Data centers: compliance by design dla obiektów ≥1 MW (lub ≥10 MW enterprise), testy odporności (HVAC, zasilanie, systemy fizyczne), procedury „blackstart”, oraz gotowe szablony raportów i playbooki awaryjne.
  • Operatorzy infrastruktury krytycznej i dostawcy krytyczni: konieczność przeglądu łańcucha dostaw (kto może być wyznaczony jako critical supplier) i włączenia ich do programu audytów i ćwiczeń.

Rekomendacje operacyjne / co zrobić teraz

Poniżej zestaw działań gotowych do wdrożenia (przykłady „z życia” dla zespołów bezpieczeństwa i operacji):

1) Zmiana progów i procedur IR (24/72h + „potentially significant”)

Polityka (fragment):

Trigger-NIS: Każdy incydent, który mógłby znacząco wpłynąć na (C/I/A) systemów istotnych dla świadczenia usługi, uruchamia ścieżkę NIS.
T+0: natychmiastowe utrwalenie dowodów, izolacja, triage.
T+4h: decyzja o klasyfikacji NIS (potencjalnie/znacząco istotny).
T+24h: wstępne zgłoszenie do regulatora + NCSC, a dla DC/MSP także notyfikacja klientów dotkniętych/„likely impacted”.
T+72h: raport pełny (IOC, kill chain, skutki, działania naprawcze, lessons learned).
Kanał stały: dedykowana skrzynka/endpoint, 24/7 on-call.

Szablon „Initial Notification (24h)” (skrót):

- Organisation: <nazwa>
- Service in scope: <OES/R(D)SP/Data Centre/MSP>
- Incident time: <UTC ISO>
- Impact (potential/significant) on C/I/A: <krótko>
- Affected systems: <zakres>
- Customer impact likely? <Yes/No> (DC/MSP: jeśli "Yes", status powiadomień)
- Immediate actions taken: <izolacja, EDR, blokady>
- Point of contact (24/7): <telefon/e-mail>

2) Mapowanie do CAF / kontrolki techniczne

Checklist (minimum):

  • Identity & Access: PAM dla kont uprzywilejowanych, JIT/JEA, segmentacja tenants (MSP/DC).
  • EDR + telemetry na węzłach krytycznych; sysmon/auditd na serwerach w strefach istotnych.
  • Network: microsegmentation (np. z wykorzystaniem policy-based routing), east-west IDS (Suricata/Zeek), NetFlow/SVT.
  • Backups: 3-2-1, w tym immutable (WORM, S3 Object Lock), testy odtwarzania pod scenariusz „wrogie środowisko”.
  • Vulnerability & Patch: wskaźnik MTTP dla poprawek w strefach NIS, SBoM + monitorowanie known exploited vulns.
  • OT/ICS: monitoring PLC/RTU (integrity checks), mapa sieci L2/L3, jump-hosts, polityka „no internet from OT”.

Przykładowe komendy i automatyzacje:

Linux (zbieranie artefaktów w 24h):

# szybkie paczkowanie triage (logi + artefakty) z serwera krytycznego
sudo tar -czf /tmp/triage_$(hostname)_$(date -u +%FT%TZ).tgz \
  /var/log /etc /var/tmp /tmp \
  /root/.bash_history /home/*/.bash_history \
  --exclude='*.gz' --warning=no-file-changed

Windows (PowerShell – stan poprawek krytycznych):

Get-WindowsUpdate -KBArticleID KB* -IsInstalled |
  Select-Object KB, Title, InstalledOn |
  Sort-Object InstalledOn -Descending

SIEM (KQL – ślady exfiltracji do nietypowego ASN):

DeviceNetworkEvents
| where Timestamp > ago(24h)
| where ActionType == "ConnectionSuccess"
| summarize dcount(RemoteIP) by RemoteASN, DeviceName
| where RemoteASN in ("AS9009","AS208091") // przykładowe AS-y high-risk

MISP (curl – publikacja IoC do współdzielonego ekosystemu):

curl -X POST https://misp.example/api/events \
  -H "Authorization: $MISP_KEY" -H "Content-Type: application/json" \
  -d @ioc_event.json

3) Specyfika MSP

  • Contracting: odśwież umowy i runbooki komunikacji z klientami (wymogi powiadamiania, zakres telemetrii, SLO dla IR).
  • Tenancy isolation: ensure-by-design – osobne jump-hosty, MFA per-tenant, least privilege dla RMM/PSA, rejestry dostępu awaryjnego (break glass).
  • Attack surface: regularnie testuj RMM (np. podpisy binariów, allowlist na EDR), WAF dla paneli, MFA+FIDO2.

4) Data centers

  • Rated IT load – upewnij się, że obiekt wpada/nie wpada w próg 1 MW / 10 MW; przygotuj dowody kontroli dla regulatora (HVAC, zasilanie, fizyczne).
  • Playbook „facility+IT”: wspólne ćwiczenia DC/IT/SOC (scenariusze: utrata zasilania, HVAC, atak na BMS/EPMS).
  • Customer notification: gotowy pipeline do powiadomień (listy dystrybucyjne, integracja z CRM/RMM, szablony).

Różnice / porównania z innymi przypadkami

  • UK NIS 2018 → Cyber Security & Resilience Bill (2025): z „reakcji na zakłócenia” do proaktywnego raportowania także zdarzeń potencjalnie istotnych, objęcie MSP i data centers, narzędzia kierunkowego sterowania przez rząd.
  • UE NIS2 (2024/2025) vs UK Bill: cele podobne (łańcuch dostaw, MSP, raportowanie wczesne), ale brytyjski projekt wprost definiuje progi DC (MW) i daje silne dyrektywy Sekretarzowi Stanu w trybie bezpieczeństwa narodowego. (Wniosek autorski na bazie projektu i factsheetów.)
  • DORA/PSTI: komplementarne reżimy sektorowe (finanse/IoT konsumenckie). Nowy Bill skupia się na usługach krytycznych i cyfrowych w rozumieniu NIS.

Podsumowanie / kluczowe wnioski

  1. 24/72h + „potentially significant” to największa zmiana operacyjna – przygotuj proces, szablony i integracje już teraz.
  2. MSP i DC wchodzą do gry – ureguluj powiadamianie klientów, segmentację, dowody kontroli i CAF-mapping.
  3. Spodziewaj się bardziej stanowczych działań regulatorów (koszty odzyskiwane od podmiotów, kary obrotowe za rażące naruszenia).
  4. Ekonomicznie – skala szkód ~£14,7 mld/rok uzasadnia inwestycje w odporność i wcześniejsze zgłaszanie.

Źródła / bibliografia

  1. Tekst projektu ustawy: Cyber Security and Resilience (Network and Information Systems) Bill – Bill 329 (Part 2 – DC/MSP; Part 3–4 – uprawnienia, egzekucja). (Parliament Publications)
  2. Ocena skutków (Impact Assessment) – model 24/72h, koszty, uzasadnienie ekonomiczne. (GOV.UK)
  3. Factsheet – Summary of the Bill (DSIT) – filary reform, zakres, implementacja. (GOV.UK)
  4. Komunikat rządowy (DSIT) – główne tezy, cytaty, kierunek egzekwowania, rola NCSC. (GOV.UK)
  5. Analiza prasowa (The Record) – kontekst, harmonogram, uzasadnienie zmian, koszty wdrożenia w skali gospodarki. (The Record from Recorded Future)

SOC Alert Triage

Od hałasu do sygnału – logika triage w SOC

Wyobraź sobie, że jako analityk SOC L1 patrzysz na ekran zalewu alertów: dziesiątki sygnalizacji typu „Email oznaczony jako phishing”, kilka „Podejrzana lokalizacja logowania VPN” i jedno groźnie brzmiące „Wykryto Mimikatz na hoście”. Co teraz? Którym alertem zajmiesz się najpierw i dlaczego? Taka scena to codzienność w Security Operations Center. Tutaj do gry wchodzi triage alertów – proces decydujący o tym, czy potencjalny atak zostanie szybko zauważony, czy zginie w tłumie false positive.

Czytaj dalej „SOC Alert Triage”

CVE-2025-12480 — Triofox Improper Access Control (auth bypass → RCE przez funkcję antywirusową)

TL;DR

Krytyczna luka w Gladinet Triofox pozwala nieautoryzowanemu napastnikowi ominąć logowanie, wejść w strony konfiguracji początkowej i utworzyć konto administratora aplikacji. W zaobserwowanych atakach przeciwnik użył konta do wykonania kodu z uprawnieniami SYSTEM przez nadużycie wbudowanej funkcji „antywirus” (dowolna ścieżka skanera), a następnie wdrażał Zoho UEMS/Assist, AnyDesk, Plink/PuTTY i tunelował RDP. Załataj do ≥ 16.7.10368.56560 (zalecane 16.10.10408.56683) i monitoruj IIS pod kątem odwołań „localhost” do /management/*. W artykule: gotowa Sigma, SPL, KQL, EQL, playbook IR i artefakty.

Krótka definicja techniczna

CVE‑2025‑12480 to błąd kontroli dostępu w Triofox, który po sfałszowaniu nagłówka/odwołania HTTP z wartością localhost odblokowuje strony inicjalizacji (AdminDatabase.aspx → AdminAccount.aspx → InitAccount.aspx) mimo zakończonego wdrożenia. Skutkiem jest założenie natywnego konta „Cluster Admin”, a w łańcuchu realnych ataków — RCE jako SYSTEM przez wskazanie własnej ścieżki skanera w funkcji AV. Wersje podatne: < 16.7.10368.56560; poprawki dostępne (zalecana najnowsza gałąź).

Gdzie występuje / przykłady platform

  • Windows Server + IIS/ASP.NET (host aplikacji Triofox).
  • Active Directory (opcjonalnie – integracja z LDAP/AD do autoryzacji użytkowników aplikacji).
  • IaaS (AWS/Azure/GCP) — często za ALB/WAF/NGFW; problem dotyczy warstwy aplikacji webowej na VM/serwerze.
  • Bazy danych (PostgreSQL/MySQL) sterowane z panelu inicjalizacji Triofox.
  • K8s/ESXi/M365 – brak natywnego wektora; występują wyłącznie jako kontekst infrastrukturalny [nie wymagane].

Szczegółowy opis techniki (jak działa, cele, dlaczego skuteczna)

  • Wejście (T1190): błędna logika sprawdzania dostępu do krytycznych stron instalatora Triofox. Zmiana Host/Referer → localhost skutkuje dopuszczeniem do ścieżki instalacyjnej mimo ukończonej konfiguracji.
  • Utworzenie admina (T1136): atakujący przechodzi flow inicjalizacji i tworzy natywne konto administracyjne („Cluster Admin”) w samej aplikacji.
  • Wykonanie (T1059.001) + RCE: po zalogowaniu do panelu używa funkcji „Anti‑Virus Engine Path” – wskazuje własny plik/skrypt; Triofox uruchamia go w kontekście SYSTEM, co daje pełne RCE.
  • Post‑exploitation: pobranie legalnych narzędzi zdalnego dostępu (Zoho UEMS/Assist, AnyDesk), Plink/PuTTY do tunelowania RDP (T1219/T1572/T1105), enumeracja SMB i zmiany haseł/grup. Kampanie obserwowane co najmniej od 2025‑08‑24.
  • Dlaczego skuteczna: brak walidacji źródła localhost w kodzie, zależność od opcjonalnego TrustedHostIp w web.config, możliwość uruchomienia arbitralnej ścieżki AV z uprawnieniami usługi.

Artefakty i logi (SOC cheat‑sheet)

Warstwa / źródłoEID / poleWzorzec / przykład korelacjiUwagi
IIS (W3C)cs-uri-stem, cs(Referer)Żądania do /management/AdminDatabase.aspx, /AdminAccount.aspx, /InitAccount.aspx, /CommitPage.aspx z Referer zawierającym http://localhostMandiant pokazał wpis z 302 do CommitPage.aspx z refererem localhost. Śledzić zewnętrzne IP jako źródło.
IIS/WAF/ALBHost/RefererNagłówek/odwołanie Host/Referer=localhost z adresów publicznychMożliwe także X-Forwarded-Host=localhost za proxy.
Windows Security4688 (Process Create)Uruchomienia powershell.exe, cmd.exe przez procesy Triofox/IIS tuż po dostępie do paneluKoreluj z logami IIS (ten sam host, ten sam czas ±5 min).
Windows Security7045 (Service Installed)Nowe usługi: Zoho UEMS/Assist, AnyDesk, nietypowe ścieżki w binPathCzęste w opisywanej kampanii.
Sysmon1 (Process Create)Image: *\\plink.exe, *\\putty.exe, *\\AnyDesk*.exe, *\\Zoho*Tunelowanie i dostęp zdalny.
Sysmon3 (Network Connect)Połączenia do zidentyfikowanych IP C2/hosting (np. 85.239.63[.]37, 65.109.204[.]197, 84.200.80[.]252, 216.107.136[.]46)IoC z raportu; utrzymuj listę deny/monitor.
Sysmon11 (File Create)C:\Windows\Temp\*.exe, C:\triofox\*.bat (np. centre_report.bat)Nazwy z raportu Mandiant.
Aplikacja Triofoxlogi aplikacyjneZmiany konfiguracji AV engine path, publikacja udziałów (pokazanie ścieżki na dysku)Krytyczne do triage’u RCE.
CloudTrail (IaaS)AuthorizeSecurityGroupIngressDopuszczenie 0.0.0.0/0 → 443/80 na SG przypiętej do hosta TriofoxPomocnicze: wykrywa niepożądane ekspozycje.

Detekcja (praktyczne reguły)

Sigma (IIS – próba obejścia z localhost)

title: Triofox CVE-2025-12480 - Localhost Referrer to Management Pages (IIS)
id: 2f47d6b5-9e2e-4f0b-9b7e-97b1e0e2f480
status: experimental
description: Wykrywa odwołania z 'localhost' do stron /management/* w Triofox (możliwa eksploatacja CVE-2025-12480).
references:
  - https://cloud.google.com/blog/topics/threat-intelligence/triofox-vulnerability-cve-2025-12480
  - https://nvd.nist.gov/vuln/detail/CVE-2025-12480
author: Badacz CVE
date: 2025/11/12
logsource:
  category: webserver
  product: windows
  service: iis
detection:
  selection_pages:
    http.request.target|contains:
      - "/management/AdminDatabase.aspx"
      - "/management/AdminAccount.aspx"
      - "/management/InitAccount.aspx"
      - "/management/CommitPage.aspx"
  ref1:
    http.request.referrer|contains: "http://localhost"
  ref2:
    cs-referrer|contains: "http://localhost"
  condition: selection_pages and (ref1 or ref2)
fields:
  - client.ip
  - http.request.method
  - http.request.referrer
  - http.request.target
  - http.response.status_code
falsepositives:
  - Testy administratorskie wykonywane lokalnie (żądania z 127.0.0.1)
level: high
tags:
  - attack.T1190
  - cve.2025-12480

Splunk (IIS/WAF)

index=web (sourcetype=iis OR tag=web)
(cs_uri_stem="/management/AdminDatabase.aspx"
 OR cs_uri_stem="/management/AdminAccount.aspx"
 OR cs_uri_stem="/management/InitAccount.aspx"
 OR cs_uri_stem="/management/CommitPage.aspx")
( cs_Referer="http://localhost*" OR referer="http://localhost*" )
| stats count min(_time) as first_seen max(_time) as last_seen by c_ip cs_uri_stem cs_Referer sc_status
| where c_ip!="127.0.0.1"

KQL (Microsoft Sentinel – W3CIISLog)

W3CIISLog
| where csUriStem has "/management/"
| where csUriStem has_any ("AdminDatabase.aspx", "AdminAccount.aspx", "InitAccount.aspx", "CommitPage.aspx")
| where csReferer has "http://localhost"
| extend isPrivate = ipv4_is_private(cIP)
| where isPrivate == false

CloudTrail (CloudWatch Logs Insights – „szerokie” otwarcie 80/443)

fields @timestamp, eventName, requestParameters
| filter eventName = "AuthorizeSecurityGroupIngress"
| filter requestParameters.ipPermissions.items[*].ipRanges.items[*].cidrIp like /0\.0\.0\.0\/0/
| filter requestParameters.ipPermissions.items[*].fromPort in [80,443]
| sort @timestamp desc

Uzupełniające: aws ec2 describe-security-groups i kontrola SG przypiętych do instancji Triofox.

Elastic / EQL (procesy i tunelowanie)

process where process.name in ("plink.exe","putty.exe","AnyDesk.exe","Zoho*","ZohoAssist*")
  and process.parent.name in ("w3wp.exe","svchost.exe") /* web worker / usługa */
  and host.os.type == "windows"
network where process.name == "plink.exe" and
  (destination.port == 22 and
   (exists(destination.ip) and source.ip == "127.0.0.1" or destination.ip != "127.0.0.1"))

Heurystyki / korelacje

  • IIS „localhost” + /management/ AND w krótkim czasie 4688 z powershell.exe/cmd.exe na tym samym hoście.
  • Nowe usługi (7045) zawierające Zoho, AnyDesk AND wcześniejszy dostęp do panelu Triofox.
  • Plink/PuTTY uruchomione na serwerze Triofox AND wzrost połączeń na 3389/TCP (tunel RDP).
  • Publikacja nowego „share” w Triofox AND zaraz potem wykonanie pliku ze ścieżki udziału (abuse AV‑Path).

False positives / tuning

  • Prawdziwi administratorzy mogą testować system lokalnie; żądania z 127.0.0.1 (loopback) i/lub z sieci zarządzającej można whitelistować.
  • Legalne użycie Zoho/AnyDesk – filtruj po znanych kluczach/tenantach, podpisach cyfrowych i źródłach instalacji (MSI z firmowego repo).
  • Proxy/health‑checki rzadko ustawiają Referer=localhost; jeśli tak – ogranicz do znanych adresów/LB.

Playbook reagowania (IR)

  1. Identyfikacja i blokada
  • WAF/NGFW: reguła drop dla Host/Referer=localhost na ścieżkach /management/*.
  • Tymczasowe geo/IP‑deny wg IoC (np. 85.239.63[.]37, 65.109.204[.]197, 84.200.80[.]252, 216.107.136[.]46).
  1. Triage
  • Przeskanuj IIS za zdarzeniami z sekcji 6; skoreluj z 4688/7045/Sysmon‑1/3/11.
  • W Triofox sprawdź: lista kont admin, historia zmian AV Engine Path, ostatnie publikacje udziałów.
  1. Eradykacja
  • Usuń nieautoryzowane konto aplikacyjne („Cluster Admin” itp.).
  • Dezinstaluj Zoho UEMS/Assist/AnyDesk zainstalowane spoza Twojej dystrybucji; zamknij plink/putty.
  • Cofnij zmiany haseł/grup, wymuś rotację sekretów.
  1. Odtworzenie i twardnienie
  • Patch: co najmniej 16.7.10368.56560; zalecany 16.10.10408.56683 (2025‑10‑14).
  • Skonfiguruj TrustedHostIp/sieci zarządzające, ogranicz dostęp do panelu tylko z MFA/VPN; logowanie na szczegółowym poziomie.
  1. Lessons learned
  • Dodaj detekcje z rozdz. 7, testy regresyjne, „table‑top” z łańcuchem nadużyć AV‑Path.

Przykłady z kampanii / case studies

  • UNC6485 (Mandiant/Google): eksploatacja co najmniej od 2025‑08‑24 na wersji 16.4.10317.56372; obejście autoryzacji (Host/Referer localhost) → utworzenie „Cluster Admin” → RCE przez ścieżkę AV → wdrożenie Zoho UEMS/Assist i AnyDesk, Plink/PuTTY do tunelowania RDP:3389. Wskazane przykładowe IP i artefakty (hashy, ścieżki).
  • Relacje prasowe: BleepingComputer i SecurityWeek potwierdzają łańcuch i zalecają aktualizację do najnowszej gałęzi Triofox.

Lab (bezpieczne testy)

Wyłącznie w izolowanym labie z testową instancją Triofox; nie instruujemy eksploatacji — generujemy sygnał do detekcji.

  • Generacja wpisu IIS przypominającego anomalię Referer (na testowym serwerze www, do niekrytycznej strony):
$h = @{ "Referer" = "http://localhost/test" }
Invoke-WebRequest -UseBasicParsing -Headers $h `
  -Uri "https://triofox-lab.local/management/AccessDenied.aspx"
  • Wpis 7045 (test instalacji usługi):
sc.exe create TestCVE125 path= "C:\Windows\System32\notepad.exe" start= demand
sc.exe delete TestCVE125
  • E2E sprawdzenie korelacji w Splunk/KQL: odpal test powyżej, a następnie uruchom reguły z sekcji 7 i zweryfikuj alerty.

Mapowania (Mitigations, Powiązane techniki)

Mitigations (ATT&CK):

  • M1051 Update Software — aktualizuj Triofox do ≥ 16.7.10368.56560 (zal. 16.10.10408.56683).
  • M1031 Network Intrusion Prevention — sygnatury/WAF blokujące Host/Referer=localhost na ścieżkach admina i wykrywanie tuneli.
  • M1030 Network Segmentation — strefa DMZ dla serwera Triofox; dostęp administracyjny tylko z sieci zarządzającej/VPN.

Powiązane techniki:

  • T1190 — Exploit Public‑Facing Application – Atak przez błąd logiczny w kontroli dostępu do stron /management/* (bypass auth).
  • T1136 — Create Account – Utworzenie natywnego admina („Cluster Admin”) w aplikacji dla utrzymania przyczółka.
  • T1059.001 — Command and Scripting Interpreter: PowerShell – Skrypty/batche wywołujące PowerShell downloader w łańcuchu RCE.
  • T1219 — Remote Access Software – Wdrożenie Zoho Assist/AnyDesk jako kanału C2/remote‑ops.
  • T1572 — Protocol Tunneling – Plink/PuTTY do tunelowania RDP przez SSH.
  • T1105 — Ingress Tool Transfer – Pobranie narzędzi (Zoho/AnyDesk/Plink) na host Triofox.

Źródła / dalsza lektura

  • Mandiant/Google Cloud: No Place Like Localhost — techniczne omówienie, IoC, łańcuch ataku. (Google Cloud)
  • NVD: karta CVE (wersje podatne, CVSS, CWE). (NVD)
  • BleepingComputer: Hackers abuse Triofox antivirus feature to deploy RATs (RCE=SYSTEM, zalecenia). (BleepingComputer)
  • SecurityWeek: Critical Triofox Vulnerability Exploited in the Wild. (SecurityWeek)
  • Tenable / OpenCVE: status, streszczenie, SSVC. (Tenable®)
  • Check Point IPS Advisory (CVE‑2025‑12480). (Check Point Software)
  • MITRE ATT&CK v18 — wersje i aktualizacje. (MITRE ATT&CK)

Checklisty dla SOC / CISO

SOC (operacyjnie):

  • Reguły z sekcji 7 wdrożone (IIS, EDR/Elastic, Sentinel, WAF).
  • Hunt: Referer/Host=localhost → /management/* w IIS (30–90 dni wstecz).
  • Korelacja z 4688/7045/Sysmon‑1/3/11 i z procesami plink/putty/AnyDesk/Zoho*.
  • Przegląd kont admin w Triofox; inspekcja AV Engine Path.
  • Blokady IoC sieciowych i rotacja haseł/sekretów, jeśli wskazane.

CISO / właściciele usług:

  • Patch: ≥ 16.7.10368.56560 (preferuj 16.10.10408.56683).
  • WAF: deny Host/Referer=localhost dla /management/*.
  • Segmentacja: panel admin tylko z sieci zarządczej + MFA/VPN.
  • Polityka dopuszczalnych narzędzi zdalnych (Zoho/AnyDesk) i ich inwentaryzacja.
  • Przegląd ekspozycji w IaaS (SG/ALB) i CI/CD patch/release hygiene.

Uwaga o ryzyku: Luka była aktywnie eksploatowana i występuje prosta możliwość RCE jako SYSTEM przy wykorzystaniu funkcji AV w Triofox — traktuj priorytetowo.

Adobe łata 29 podatności w InDesign, InCopy, Photoshop, Illustrator, Pass, Substance 3D Stager i Format Plugins (Patch Tuesday – 11 listopada 2025)

Wprowadzenie do problemu / definicja luki

11 listopada 2025 r. Adobe wydało comiesięczne aktualizacje zabezpieczeń usuwające 29 podatności w pakiecie aplikacji kreatywnych. Poprawki dotyczą: InDesign (APSB25-106), InCopy (APSB25-107), Photoshop (APSB25-108), Illustrator (APSB25-109), Illustrator na iPad (APSB25-111), Adobe Pass (APSB25-112), Substance 3D Stager (APSB25-113) oraz Adobe Format Plugins (APSB25-114). W większości chodzi o luki krytyczne prowadzące do RCE po przetworzeniu złośliwych plików/formatów. Adobe klasyfikuje je priorytetem 3 (niska spodziewana eksploatacja), a firma nie ma dowodów na aktywne wykorzystanie tych błędów w momencie publikacji.

W skrócie

  • Zakres: 8 biuletynów, 29 CVE (Creative Cloud/Format Plugins, aplikacje DTP/grafika, SDK Pass).
  • Najpoważniejsze skutki: RCE (InDesign, InCopy, Photoshop, Illustrator, Stager, Format Plugins) i security feature bypass w Adobe Pass (SDK Android).
  • Status exploitów: brak informacji o „in the wild” dla listopadowych biuletynów; priorytet 3 dla wszystkich.
  • Kontekst ryzyka: w październiku Adobe potwierdzało wykorzystanie w praktyce luki w Adobe Commerce/Magento (CVE-2025-54236) oraz publiczne PoC dla AEM Forms (CVE-2025-54253/54254). To inne produkty, ale pokazuje zainteresowanie ekosystemem Adobe.

Kontekst / historia / powiązania

Adobe od lat publikuje paczki poprawek w rytmie Patch Tuesday. W 2025 r. widzieliśmy już serie aktualizacji m.in. dla ColdFusion, Commerce oraz AEM Forms; część miała PoC lub realne wykorzystanie. Dzisiejsza paczka dotyczy przede wszystkim klienta końcowego (DTP/grafika). Trend Micro ZDI podkreśla, że w listopadzie jest 8 biuletynów i 29 CVE, z których część (Format Plugins) pochodzi od ich badaczy.

Analiza techniczna / szczegóły luki

Produkty i biuletyny

  • InDesign – APSB25-106: luki krytyczne → RCE; wersje naprawcze ID21.0 / 20.5.1 (Win/macOS). Priorytet 3.
  • InCopy – APSB25-107: krytyczne RCE (Win/macOS). Priorytet 3.
  • Photoshop – APSB25-108: heap-based buffer overflow → RCE; CVE-2025-61819 (CVSS 7.8). Priorytet 3.
  • Illustrator – APSB25-109: krytyczne RCE; naprawa m.in. do 29.8.3 i 30.0. Priorytet 3.
  • Illustrator (iPad) – APSB25-111: krytyczne RCE. Priorytet 3.
  • Adobe Pass (Android SDK) – APSB25-112: incorrect authorization / security feature bypass, CVE-2025-61830 (CVSS 7.1), aktualizacja do 3.8.0. Priorytet 3.
  • Substance 3D Stager – APSB25-113: krytyczne RCE. Priorytet 3.
  • Adobe Format Plugins – APSB25-114: wiele błędów, m.in. CWE-122 heap overflow → RCE; przykładowe CVE: CVE-2025-61837, CVE-2025-61838; aktualizacja do 1.1.2. Priorytet 3.

Klasy podatności (przekrojowo)

  • Memory corruption / heap overflow (CWE-122) → wykonanie kodu przy parsowaniu plików (PSD/AI/INDD/format plugins).
  • Incorrect authorization / security feature bypass (SDK Pass) → eskalacja możliwości w przepływach uwierzytelniania OTT/TVE.

Priorytet Adobe (co oznacza „3”?)

Priorytet 3 wg Adobe oznacza niski poziom oczekiwanej eksploatacji i brak pilności „typu 0-day”, ale zalecane jest zaplanowane wdrożenie. To nie jest ocena CVSS, lecz priorytetu wdrożeniowego.

Praktyczne konsekwencje / ryzyko

Wejścia atakujące: złośliwe pliki .indd / .icml / .psd / .ai lub rzadkie formaty obsługiwane przez Format Plugins (np. import/eksport). Atakujący może dostarczyć plik e-mailem/OneDrive/SharePoint, w repozytorium assetów, lub przez łańcuch dostaw (stock, paczki template’ów). Jedno „otwarcie” przez designera może wystarczyć, by uzyskać wykonanie kodu w kontekście użytkownika.

Środowiska wysokiego ryzyka: agencje kreatywne, działy marketingu, prepress, wydawnictwa – zwykle z szerokim spektrum zewnętrznych plików i krótkimi SLA.

Ryzyko wtórne: po inicjalnym RCE możliwe przemieszczenie boczne (tokeny SSO w pamięci, kradzież materiałów pod NDA, implanty w pluginach/skriptach CEP/UXP).

SDK Pass: dla zespołów mobile/OTT – błąd autoryzacji może naruszać przepływy logowania w aplikacjach TVE, prowadząc do obejścia kontroli dostępu.

Rekomendacje operacyjne / co zrobić teraz

A. Inwentaryzacja i szybka walidacja wersji

Windows (PowerShell):

# Sprawdź zainstalowane wersje kluczowych aplikacji Adobe (CC)
$paths = @("Adobe InDesign 2025","Adobe InCopy 2025","Adobe Photoshop 2025","Adobe Illustrator 2025")
$base = "HKLM:\SOFTWARE\Adobe"
Get-ChildItem $base -Recurse | Where-Object { $paths -contains $_.PSChildName } |
  ForEach-Object {
    $name = $_.PSChildName
    $ver = (Get-ItemProperty $_.PSPath).Version
    [pscustomobject]@{Product=$name;Version=$ver}
  }

macOS:

# przykładowo
mdls -name kMDItemVersion "/Applications/Adobe InDesign 2025/Adobe InDesign 2025.app"
mdls -name kMDItemVersion "/Applications/Adobe Illustrator 2025/Adobe Illustrator 2025.app"

Porównaj z wersjami docelowymi z biuletynów (np. InDesign ID21.0/20.5.1, Illustrator ≥29.8.3/30.0, Photoshop ≥26.9, Format Plugins 1.1.2, Adobe Pass SDK 3.8.0).

B. Dystrybucja aktualizacji

  • Środowiska zarządzane: Adobe Admin Console / pakiety wdrożeniowe (CC dla firm) – „self-service” wyłączyć do czasu aktualizacji; rollout falami (pilot → szerokie).
  • Użytkownicy końcowi: Creative Cloud Desktop → „Updates”. W działach o wysokiej ekspozycji na pliki zewnętrzne nadać wyższy priorytet.
  • Zespoły mobile: zaktualizować Adobe Pass Authentication Android SDK do 3.8.0, przetestować regresje, wydać hotfix w sklepach.

C. Tymczasowe ograniczenia ryzyka (jeśli nie możesz zaktualizować „od ręki”)

  • Segmentacja stanowisk DTP (VLAN/ACL), aplikacja listy dozwolonych dla wtyczek i skryptów (UXP/CEP).
  • Odcinanie makr/automatyzacji w przepływach importu plików od nieznanych kontrahentów.
  • Sanityzacja plików: konwersja przez „bezpieczniejszy” łańcuch (np. otwarcie w świeżym kontenerze/VDI).
  • AppLocker/WDAC: zezwól wyłącznie na podpisane binaria Adobe z aktualnych wersji.

D. Detekcje i telemetry (SOC)

IOA dla RCE w aplikacjach Adobe:

  • Niespodziewane child-processy od InDesign.exe / Photoshop.exe / Illustrator.exe (np. powershell.exe, wscript.exe, cmd.exe).
  • Wzorce DLL search order hijack/side-loading w katalogach profilu użytkownika.
  • Nietypowe wywołania CreateRemoteThread, VirtualAllocEx, z procesów Adobe do innych procesów użytkownika.

Przykładowe reguły (Sigma – uproszczone):

title: Adobe App Spawns Scripting Interpreter
logsource: { category: process_creation, product: windows }
detection:
  parent:
    Image|endswith:
      - '\InDesign.exe'
      - '\Photoshop.exe'
      - '\Illustrator.exe'
  child:
    Image|endswith:
      - '\powershell.exe'
      - '\wscript.exe'
      - '\cmd.exe'
  condition: parent and child
level: high

Splunk (Process child):

index=sysmon EventCode=1
(ParentImage="*\\InDesign.exe" OR ParentImage="*\\Photoshop.exe" OR ParentImage="*\\Illustrator.exe")
(Image="*\\powershell.exe" OR Image="*\\wscript.exe" OR Image="*\\cmd.exe")
| stats count by _time, host, ParentImage, Image, CommandLine

Dla Pass SDK (Android): testy bezpieczeństwa przepływów auth (wrong-issuer, token reuse, forged state), weryfikacja CVE-2025-61830 i aktualizacji zależności do 3.8.0.

E. Polityki i szkolenia

  • Edukacja zespołów kreatywnych: nie otwieramy niezweryfikowanych paczek projektów i presetów/wtyczek.
  • Wymuszaj aktualizacje przy starcie aplikacji (przez narzędzia MDM/Endpoint Management).

Różnice / porównania z innymi przypadkami (2025)

  • Commerce/Magento (IX–X 2025): potwierdzone wykorzystanie w praktyce (CVE-2025-54236) – wysoki priorytet operacyjny dla e-commerce; dzisiejsze biuletyny Creative Cloud nie mają statusu exploited.
  • AEM Forms (X 2025): publiczne PoC (CVE-2025-54253/54254) – inny segment produktu (serwer), ale sygnał, że atakujący inwestują w ekosystem Adobe.
  • Dzisiejsze luki: skupione na klientach (desktop/iPad/SDK) i parsowaniu formatów, co preferuje atak plikowy i soc-eng, a nie ataki serwerowe.

Podsumowanie / kluczowe wnioski

  • Zaktualizuj ASAP: InDesign, InCopy, Photoshop, Illustrator (desktop + iPad), Substance 3D Stager, Format Plugins oraz Adobe Pass SDK.
  • Skoncentruj się na zespołach pracujących z zewnętrznymi plikami – to oni najczęściej będą wektorem inicjalnym.
  • Zaplanuj rollout (priorytet 3 ≠ „zignorować”): okno serwisowe w tym tygodniu, telemetry + blokady child-processów.
  • Mobile/OTT: wydaj update SDK Pass (3.8.0) i przetestuj przepływy auth.

Źródła / bibliografia

Rhadamanthys: operatorzy infostealera tracą dostęp do paneli. Co to znaczy dla obrońców?

Wprowadzenie do problemu / definicja luki

Wczoraj (11 listopada 2025 r.) pojawiły się liczne doniesienia, że infrastruktura Rhadamanthys — popularnego infostealera sprzedawanego w modelu Malware-as-a-Service (MaaS) — została zakłócona. Użytkownicy-klienci (tzw. „abonenci” malware’u) zaczęli masowo tracić dostęp SSH do swoich paneli webowych służących do agregacji wykradzionych danych. W części przypadków tryb logowania został rzekomo wymuszony na logowanie certyfikatem, a nie hasłem root, co abonenci łączyli z działaniami organów ścigania, m.in. w Niemczech. Sprawę jako pierwsze opisało BleepingComputer, wskazując też na niedostępność onion-witryn i spekulacje o możliwym związku z Operation Endgame (międzynarodową kampanią LEA przeciwko ekosystemowi MaaS).

W skrócie

  • Co się stało: Liczni „klienci” Rhadamanthys zgłaszają utratę dostępu do serwerów paneli i zmianę metod uwierzytelniania SSH. Torowe serwisy Rhadamanthys są offline (bez klasycznych banerów przejęcia).
  • Dlaczego to istotne: Nawet częściowe przejęcie/zakłócenie zaplecza MaaS przerywa cykl monetyzacji skradzionych danych (sprzedaż logów/kont), co daje obrońcom czas na reset haseł, unieważnianie ciasteczek, blokady sesji.
  • Kontekst: W 2024–2025 Rhadamanthys szybko ewoluował (wersje 0.7.x–0.9.x), wprowadzając m.in. OCR do ekstrakcji seed phrase’ów z obrazów oraz nowe łańcuchy infekcji (np. ClickFix).
  • Hipoteza: Zakłócenie może być kolejnym „sezonem” Operation Endgame, która w 2024–2025 rozbijała infrastrukturę botnetów/loaderów i usług pomocniczych (setki serwerów, setki domen). Strona Endgame zapowiadała kolejne działania i raportowała wcześniejsze sukcesy.

Kontekst / historia / powiązania

Rhadamanthys pojawił się pod koniec 2022 r. (wczesne próbki: 2022), szybko zyskując popularność dzięki C++, modularności i agresywnym technikom anty-analizy oraz dystrybucji przez malvertising (fałszywe reklamy/„cracki”) i kampanie phishingowe. Z czasem dołączyły łańcuchy ClickFix (mshta/HTA) i kampanie podszywające się pod naruszenia praw autorskich. Grupa TA547 wykorzystywała go w atakach na niemieckie organizacje.

Równolegle Operation Endgame — koordynowana przez Europol/Eurojust i partnerów (w tym BKA, FBI, NCA, USSS) — od 2024 r. uderza w kluczowe elementy „kill chainu” cyberprzestępców: botnety, loadery, infrastrukturę proxy i usługi „AV-check”. W maju 2025 r. podano liczby: ~300 serwerów i ~650 domen wyłączonych w jednym z etapów.

Analiza techniczna / szczegóły luki

Model biznesowy Rhadamanthys (MaaS)

  • Abonamenty dają dostęp do binarek/loadera, wsparcia i panelu www zbierającego logi (hasła, cookies, dane portfeli). Panel to „punkt grawitacji” całej operacji — i kluczowy cel dla LEA.
  • Ewolucja funkcji:
    • v0.7.x (2024): dodany moduł OCR do ekstrakcji seed phrase’ów z obrazów, wsparcie uruchamiania MSI, silniejsze anty-analizy.
    • v0.9.2 (2025): istotne zmiany w pakowaniu/telemetrii i interakcjach z narzędziami badawczymi; wpływ na reguły detekcji.

Łańcuchy infekcji obserwowane w 2024–2025

  • Malvertising / „cracki” / SEO-poisoning → downloader/loader → stealer → eksfiltracja do panelu.
  • Phishing (copyright/DMCA lures) → archiwum/skrót + mshta/HTA (ClickFix) → stealer.
  • Kampanie e-mail (TA547, DE) → PowerShell, czasem artefakty składni sugerujące generację LLM → Rhadamanthys.

Co oznacza bieżące zakłócenie?

  • Utrata paneli = przecięty kanał C2/monetyzacji. Nawet jeśli binarki w terenie „żyją”, nie ma gdzie zrzucać danych lub aktorzy boją się korzystać z przejętej infrastruktury.
  • Zmiana SSH na cert-auth i odcięcie haseł root sugerują interwencję na hostach (seizure/forensic live response) lub akcję operatora infrastruktury pod nadzorem LEA. To zgodne z metodyką Endgame: uderz w serwery i domeny. (Wciąż brak oficjalnego potwierdzenia dla konkretnie Rhadamanthys.)

Praktyczne konsekwencje / ryzyko

  • Ryzyko re-spawn: Historia pokazuje, że po „takedownie” forki/następcy wracają pod inną marką, często z migracją C2 do nowych hostingów.
  • Okno możliwości dla obrony: To czas na masowe resety haseł, unieważnianie cookies/sesji, rotację tokenów OAuth, monitoring nietypowych logowań i ofensywne wyszukiwanie artefaktów.
  • Ryzyko „data leak później”: Jeśli LEA przejęły panele, część danych ofiar może zostać zabezpieczona; jeśli nie — przestępcy mogą próbować odtwarzać logi z endpointów lub backupów C2. Dlatego incydent traktujemy jak aktywny.

Rekomendacje operacyjne / co zrobić teraz

1) Reakcja na poziomie tożsamości i sesji

  • Reset haseł dla kont narażonych na exfil (przeglądarki, VPN, poczta, komunikatory).
  • Unieważnij cookies i sesje (SSO, IdP, poczta webowa).
  • Wymuś re-MFA dla użytkowników z nietypowymi logowaniami w ostatnich 60 dniach.

Przykład (Azure AD / Entra ID – wymuszenie re-logowania):

# Wymuś ponowną autoryzację (revoke sessions) dla wskazanych UPN:
Connect-MgGraph -Scopes "User.ReadWrite.All"
$users = @("user1@contoso.com","user2@contoso.com")
$users | ForEach-Object { Revoke-MgUserSignInSession -UserId $_ }

2) Hunting & detekcja dla łańcucha ClickFix/mshta

Sigma (Windows, PROC_CREATE + net):

title: Rhadamanthys ClickFix via mshta + URL + auth code
id: 7a1d1f6b-9d9a-4f32-9e3c-rc-rhada-clickfix
status: experimental
logsource:
  product: windows
  category: process_creation
detection:
  sel:
    Image|endswith: '\mshta.exe'
    CommandLine|contains|all:
      - 'http'
      - '://'
      - 'code='
  condition: sel
level: high
tags:
  - attack.t1204
  - attack.t1059

(Inspiracja wzorcami ClickFix dla Rhadamanthys w 2025 r.)

Elastic (cookies exfil / nietypowe POST po infekcji):

event.dataset == "zeek.http" and http.method == "POST" and
  url.full : "*/*" and
  (
    user_agent.original : "*WinHTTP*" or
    http.request.body.content : "*password*" or
    http.request.body.content : "*cookies*"
  ) and
  destination.ip != "internal ranges"

3) Artefakty endpointowe / EDR

  • Nietypowe wywołania mshta.exe, rundll32.exe z parametrami URL, powershell.exe -enc (TA547).
  • Pliki w katalogach tymczasowych o wysokiej entropii + autostarty (Run Keys, Scheduled Tasks).
  • Przeglądarki: gwałtowny spadek liczby cookies lub odczyty baz SQLite (Login Data, Cookies) bez interakcji użytkownika.

Polowanie (Sysmon → Splunk):

index=sysmon sourcetype=XmlWinEventLog:Microsoft-Windows-Sysmon/Operational
(Image="*\\mshta.exe" OR Image="*\\rundll32.exe" OR Image="*\\powershell.exe")
| stats count min(_time) max(_time) by Computer, User, Image, CommandLine, ParentImage
| where like(CommandLine, "%http%") OR like(CommandLine, "%-enc%")

4) Twardnienie przeglądarek i hostów

  • Włącz/egzekwuj: izolację witryn, Encrypted Client Hello, partitioned cookies (Chrome/Edge), HSTS policy w aplikacjach własnych.
  • EDR policy: blokada uruchamiania mshta.exe dla zwykłych użytkowników; AppLocker/WDAC.
  • E-mail: DANE/SPF/DMARC w trybie reject, sandbox linków.

5) Sieć i proxy

  • Blokuj świeże TLD/NGTLD w dziennikach z kampanii Rhadamanthys; włącz TLS SNI/JA3 fingerprinting dla C2.
  • Egress allow-list dla serwerów z wysokim poziomem zaufania (CI/CD, jump hosts).

6) Działania wobec potencjalnie przejętych danych

  • Rotuj klucze API, tokeny PAT (GitHub/GitLab/Azure DevOps).
  • Powiadom użytkowników o potencjalnym przejęciu danych autoryzacyjnych i wymuś zmianę haseł niezarządzanych (re-use).
  • Threat intel: subskrybuj feedy logów wykradzionych (np. Have I Been Pwned partnerstwa Endgame).

Różnice / porównania z innymi przypadkami

  • Lumma, RedLine, Raccoon — wcześniejsze „takedowny” często dotyczyły konkretnych aktorów lub serwerów transakcyjnych; operatorzy wracali z rebrandem.
  • Endgame-style: skoordynowane, szerokie uderzenia w infrastrukturę i „usługi ekosystemowe” (np. AV-check), co czasowo ogranicza zdolność całego rynku MaaS do działania. Rhadamanthys — jeśli powiązany — wpisuje się w ten wzorzec.

Podsumowanie / kluczowe wnioski

  1. Zakłócenie paneli Rhadamanthys to realne okno dla obrońców: resetuj, unieważniaj, rotuj. 2) Nie licz na trwałość „takedownu” — planuj re-spawn i zmiany brandu. 3) Uderz w łańcuch ClickFix/mshta i monitoruj artefakty v0.9.x (aktualizacja reguł!). 4) Śledź oficjalne komunikaty LEA/Endgame — możliwe, że to element większej operacji.

Źródła / bibliografia

  • BleepingComputer — „Rhadamanthys infostealer disrupted as cybercriminals lose server access”, 11.11.2025. (opis incydentu, relacje „abonentów”, offline onion) (BleepingComputer)
  • Operation Endgame — strona operacji, partnerzy, komunikaty i statystyki dot. wcześniejszych uderzeń (maj 2025 i inne). (operation-endgame.com)
  • Check Point Research — „Rhadamanthys 0.9.x — walk through the updates”, 01.10.2025 (zmiany techniczne v0.9.2). (Check Point Research)
  • Recorded Future Insikt Group — „Rhadamanthys Stealer Adds Innovative AI Feature”, 26.09.2024 (OCR i nowości v0.7.0). (go.recordedfuture.com)
  • Proofpoint — „TA547 targets German organizations with Rhadamanthys”, 10.04.2024 (kampania e-mail, kontekst DE). (Proofpoint)