Archiwa: PowerShell - Strona 29 z 32

CISA i NSA publikują wytyczne hartowania Microsoft Exchange. Co powinni zrobić administratorzy już dziś?

Wprowadzenie do problemu / definicja luki

CISA i NSA – we współpracy z australijskim ACSC i kanadyjskim Cyber Centre – opublikowały spójny dokument „Microsoft Exchange Server Security Best Practices”, zawierający praktyczne wytyczne hartowania on-premises Exchange’a. Agencje podkreślają, że środowiska Exchange należy traktować jako zagrożone „tu i teraz” oraz wymuszają podejście prewencyjne: minimalny przywilej, szybkie aktualizacje, redukcja powierzchni ataku, silna kryptografia w transporcie.

W skrócie

Najważniejsza obrona: bieżące CU/SU i hotfixy oraz migracja z wersji EOL. Od 14 października 2025 r. jedyną wspieraną on-prem wersją jest Exchange Server Subscription Edition (SE).
Włącz i utrzymuj usługę Exchange Emergency Mitigation (EM), korzystaj z Health Checker i SetupAssist.
Utwardzaj uwierzytelnianie: MFA, Modern Auth/OAuth 2.0, rezygnacja z NTLMv1, przygotowanie do wycofania NTLM; preferuj Kerberos + SMBv3.
Kryptografia i ochrona w transporcie: spójne TLS, Extended Protection przeciw relay/AitM, HSTS.
Redukcja powierzchni ataku: cert-based signing dla Exchange Management Shell, ograniczenie zdalnego PowerShella, RBAC/split permissions, Download Domains, detekcja manipulacji nagłówkiem P2 FROM.

Kontekst / historia / powiązania

Nowe wytyczne pojawiają się po serii incydentów i ostrzeżeń – m.in. po wakacyjnej Emergency Directive ED 25-02 dotyczącej poważnej luki w konfiguracjach hybrydowych (CVE-2025-53786), która umożliwia pivot z on-prem do Exchange Online. Nadal tysiące serwerów pozostaje niezałatanych.

Analiza techniczna / szczegóły luki

Dokument agencji porządkuje obronę w trzech filarach:

Hartowanie uwierzytelniania i dostępu

MFA + Modern Auth (OAuth 2.0) dla administratorów i użytkowników.
Wyłączenie NTLMv1, audyt użycia NTLM i plan migracji (docelowo brak NTLM); preferuj Kerberos.
RBAC z podziałem obowiązków (split permissions), ograniczenie kont uprzywilejowanych tylko do autoryzowanych stacji.

Silne szyfrowanie i ochrona kanałów

Spójna konfiguracja TLS na wszystkich węzłach; Extended Protection (EP) chroniąca przed AitM/relay/forwarding (domyślna od Exchange 2019 CU14 na nowych instalacjach).
HSTS dla konsol www i klienta; zgodne ustawienia NTLM/TLS jako warunek działania EP.

Minimalizacja powierzchni ataku aplikacji

Exchange Emergency Mitigation (EM) aktywna i nadzorowana (OCS, URL Rewrite, wyłączanie podatnych usług/App Pools).
Health Checker i SetupAssist przed/po aktualizacjach.
Cert-based signing dla serializacji (Exchange Management Shell), domyślnie od SU 11/2023.
Wyłączenie zdalnego PowerShella dla użytkowników, jeśli niepotrzebny.
Download Domains dla ochrony przed CSRF.
Detekcja P2 FROM header spoofing (domyślna od SU 11/2024) + reguły transportowe.

Dodatkowo: włączenie funkcji ochronnych Windows/Defender (AMSI, ASR, AppLocker/WDAC) i EDR; własne anty-spam/anty-malware Exchange.

Praktyczne konsekwencje / ryzyko

Ryzyko przejęcia domeny przy pivotach z on-prem do M365 w konfiguracjach hybrydowych; ślady w logach M365 mogą być ograniczone.
Utrzymanie EOL 2016/2019 po 14.10.2025 zwiększa ekspozycję (brak poprawek, łatwy wektor dla APT/fin-crime).
Ataki relay/AitM na kanały uwierzytelniania bez EP/HSTS i spójnego TLS.

Rekomendacje operacyjne / co zrobić teraz

Aktualizacje: natychmiast do najnowszego CU + SU, zaplanuj cykl: 2×CU/rok + miesięczne SU/hotfixy. Zweryfikuj Health Checker/SetupAssist.
Migracja: jeśli używasz Exchange 2016/2019 – migracja do SE lub usługi wspieranej; serwery EOL odseparuj, nie wystawiaj bezpośrednio do Internetu.
EM Service: upewnij się, że Exchange EM działa i ma łączność do OCS (telemetria w Event Log + dedykowany log).
Uwierzytelnianie: wymuś MFA + Modern Auth, audyt NTLM, plan rezygnacji, Kerberos/SMBv3 jako standard.
Transport: ujednolić TLS, włączyć Extended Protection (po spełnieniu prerekwizytów), dodać HSTS.
Powierzchnia ataku:
- cert-signing EMS, wyłącz zdalny PowerShell dla userów, Download Domains, detekcja P2 FROM, RBAC z rozdziałem obowiązków.
- Włącz AMSI/ASR/EDR, anty-spam/anty-malware Exchange.
Hybryda (jeśli dotyczy): przeanalizuj zaszłości po ED 25-02 / CVE-2025-53786 – reset SP, przejście na Exchange Hybrid App, weryfikacja uprawnień i dzienników.

Różnice / porównania z innymi przypadkami

W przeciwieństwie do doraźnych „workaroundów” publikowanych między patchami, ten materiał to spójny blueprint prewencyjny obejmujący hardening, a nie jedynie pojedyncze CVE.
Wytyczne akcentują wycofywanie NTLM i EP/HSTS – komponenty często pomijane w starszych hardening-checklistach z czasów ProxyLogon/ProxyShell.

Podsumowanie / kluczowe wnioski

Traktuj Exchange jak system o krytycznej ekspozycji – aktualizuj, migruj z EOL, stosuj MFA/Modern Auth, EP/HSTS i ogranicz uprawnienia.
Utrzymuj EM, monitoruj i automatyzuj remediację.
W hybrydach usuń „długi ogon” zaufania między on-prem a M365 zgodnie z rekomendacjami po ED 25-02.

Źródła / bibliografia

NSA/CISA/ACSC/Cyber Centre – „Microsoft Exchange Server Security Best Practices”, październik 2025 (PDF). Kluczowe: EP, NTLM, EM, HSTS, RBAC, P2 FROM, EOL 14.10.2025. (CISA)
Canadian Centre for Cyber Security – komunikat o wspólnej publikacji; data modyfikacji 30 października 2025. (Canadian Centre for Cyber Security)
BleepingComputer – omówienie wytycznych, kontekst ED 25-02/CVE-2025-53786 i dane o skali ekspozycji. (BleepingComputer)
Cybersecurity Dive / CyberScoop – materiały prasowe nt. publikacji i nacisk na aktualizacje/CU. (cybersecuritydive.com)

Cloud Atlas atakuje rosyjską branżę rolną przed forum branżowym — analiza techniczna, ryzyko i zalecenia

Wprowadzenie do problemu / definicja luki

Grupa APT Cloud Atlas (znana także jako Inception) przeprowadziła kolejną kampanię cyberszpiegowską wymierzoną w rosyjski sektor rolno-spożywczy. Ataki wykorzystują przynęty związane z programem nadchodzącego forum rolniczego w Moskwie (30 października 2025 r.) oraz klasyczną podatność CVE-2017-11882 w edytorze równań MS Office, co umożliwia zdalne wykonanie kodu po otwarciu spreparowanego dokumentu. Kampanię jako pierwsza publicznie opisała redakcja The Record, na podstawie analiz rosyjskiej firmy F6.

W skrócie

Cel: przedsiębiorstwa agro-przemysłowe w Rosji (co najmniej jedna ofiara z października; wcześniejsze cele we IX–X 2025).
Wejście: spear-phishing z dokumentem .doc zawierającym łańcuch prowadzący do eksploatacji CVE-2017-11882 (RTF template injection).
Ładunek: rodzina narzędzi Cloud Atlas, m.in. VBShower z dalszym dogrywaniem modułów; w 2024 r. obserwowano także VBCloud/PowerShower.
Trend: utrzymywanie wieloetapowej, znanej od lat ścieżki infekcji, okresowe eksperymenty z dostarczaniem ładunku i nietypowymi strefami domen.

Kontekst / historia / powiązania

Cloud Atlas jest aktywna co najmniej od 2014 r., konsekwentnie stosując kampanie spear-phishingowe wobec podmiotów rządowych i sektorów strategicznych w regionie Europy Wschodniej i Azji Centralnej. W ostatnich latach grupa była regularnie łączona z celami w Rosji i Białorusi.

Analiza techniczna / szczegóły luki

Wejście i przynęta. W październiku 2025 r. F6 zarejestrowało wiadomości z konta mkrutij@list[.]ru z załącznikiem „Программа Форум Зерно и масличные.doc”, który faktycznie zawiera program konferencji. Analogiczna fala ze września używała tematu „Бланк ТЧ” i innego nadawcy (glotovao56@yandex[.]ru).

Łańcuch eksploatacji. Dokument-loader pobiera przez mechanizm RTF template plik RTF z exploitem CVE-2017-11882, po czym dociąga droppera (us.txt) i uruchamia VBShower z C2 ukrytym za ścieżkami URL na domenie kommando[.]live. Wcześniejsze łańcuchy korzystały również z hostów regioninvest[.]net i news-freebase[.]com.

CVE-2017-11882. To przepełnienie bufora w Equation Editor (EQNEDT32.exe), pozwalające na RCE bez interakcji poza otwarciem dokumentu. Mimo łatki z 2017 r. podatność pozostaje powszechnie nadużywana.

Moduły po infekcji. W arsenal Cloud Atlas od lat obserwuje się VBShower/PowerShower; w 2024 r. Kaspersky opisał nowy backdoor VBCloud ładowany właśnie przez VBShower (z opcją dociągania pluginów i komunikacją przez chmurę).

Infrastruktura i TTP. F6 wskazuje na nietypowe dla grupy strefy domen (np. .live, .online, .cfd) oraz łączenie ról domen (ładowanie szablonu i C2 na jednym hostu), podczas gdy historycznie rozdzielano etapy (template/C2/PowerShower) między różne domeny.

Praktyczne konsekwencje / ryzyko

Łańcuch kompatybilny z „starymi” stacjami: wystarczy niezałatany Office lub legacy EQNEDT32.exe; w środowiskach z uprawnieniami lokalnych adminów skutki obejmują pełne przejęcie hosta.
Ryzyko wycieku IP i danych operacyjnych w łańcuchach dostaw rolno-spożywczych (receptury, logistyka, planowanie zasiewów/zbiorów, zakup komponentów). Wskazania F6 sugerują, że część przynęt dotyczyła także podmiotów obronnych.
Utrzymywanie się skuteczności „starej” podatności wspierane czynnikiem ludzkim (otwieranie dokumentów) i technicznym (brak twardych zasad makr/załączników).

Rekomendacje operacyjne / co zrobić teraz

Wyłącz i usuń Equation Editor (EQNEDT32.exe) w GPO/SCCM; zweryfikuj binarki Office pod kątem obecności komponentu. Zaimplementuj „Office Attack Surface Reduction” i politykę blokowania RTF z internetowej strefy pochodzenia. (Dotyczy CVE-2017-11882 i vektorów RTF.)
Patch management: potwierdź wdrożenie biuletynów z 2017 r. i późniejszych dla Office; przeprowadź skan podatności pod kątem CVE-2017-11882.
Filtry pocztowe i detekcje:
- Blokuj/monitoruj rozszerzenia .rtf, .hta, .lnk, .cmd w załącznikach; skanuj „template injection” w RTF.
- Reguły EDR/IDS na sekwencję: WINWORD.exe -> eqnedt32.exe -> powershell.exe/cscript.exe + nietypowe ruchy do domen podobnych do kommando[.]live, regioninvest[.]net.
Network hardening: egress-allowlist dla serwisów HTTP/HTTPS, TLS inspection z uwzględnieniem nietypowych ścieżek URL; DNS sinkhole dla znanych IoC z raportu F6.
Awareness i procesy: micro-szkolenia przed wydarzeniami branżowymi (podniesione ryzyko przynęt „agenda/plan konferencji”), weryfikacja zaproszeń z out-of-band.
Hunting (przykładowe hipotezy):
- Wyszukaj dokumenty Word odwołujące się do zewnętrznych szablonów RTF (Event ID/O365 audit).
- Artefakty VBShower/PowerShower/VBCloud w %TEMP%, harmonogramie zadań i RunKeys; nietypowe User-Agent w Invoke-RestMethod.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

W porównaniu z wcześniejszymi opisami kampanii Cloud Atlas (2019–2024) obecna fala nadal opiera się na dobrze znanym łańcuchu (phish → RTF/CVE-2017-11882 → VBShower), ale wyraźniej eksperymentuje z etapami dostarczania i strefami domen. Zbieżne obserwacje pojawiały się w materiałach Kaspersky (stabilne TTP + nowe implanty) oraz Check Point (utrzymanie stałych technik, zmiana przynęt wg bieżącego kontekstu).

Podsumowanie / kluczowe wnioski

Cloud Atlas wykorzystuje wydarzenia branżowe jako wiarygodne przynęty i nadal z powodzeniem eksploatuje historyczną lukę CVE-2017-11882.
Mimo „wiekowych” technik, efektywność ataków pozostaje wysoka — decydują higiena systemów i czynnik ludzki.
Priorytetami defensywnymi są: deprecjacja EQNEDT32, twarde polityki dla dokumentów Office/RTF, egress-kontrola i hunting pod kątem rodziny VBShower/PowerShower/VBCloud.

Źródła / bibliografia

The Record — opis kampanii na sektor rolny (29 października 2025). (The Record from Recorded Future)
F6 — analiza techniczna ostatnich ataków (28 października 2025). (f6.ru)
Kaspersky Securelist — „Cloud Atlas attacks with new backdoor VBCloud” (23 grudnia 2024). (securelist.com)
Palo Alto Networks Unit 42 — analiza CVE-2017-11882 (2017–2018). (Unit 42)
Check Point Research — cele w Rosji i na Białorusi (grudzień 2022). (Check Point Research)

Microsoft: globalna awaria DNS/AFD uderza w Azure i Microsoft 365 — co się stało i jak się przygotować na „następny raz”

Wprowadzenie do problemu / definicja luki

29 października 2025 r. Microsoft doświadczył globalnej awarii usług chmurowych — użytkownicy i administratorzy raportowali problemy z logowaniem i dostępnością Microsoft 365, przerwę w działaniu portalu Azure i usług zależnych (m.in. Intune, Purview, Entra ID) oraz kaskadowe błędy w aplikacjach firm trzecich. Początkowo wskazywano na problemy DNS, a następnie Microsoft doprecyzował, że wyzwalaczem był niezamierzony change konfiguracyjny w Azure Front Door (AFD) — globalnej warstwie brzegowej/CDN używanej przez wiele usług Microsoftu.

W skrócie

Start incydentu: ok. 16:00 UTC (29.10.2025) — wzrost opóźnień, timeoutów i błędów w usługach korzystających z AFD.
Diagnoza: „inadvertent configuration change” w AFD; obserwowane również symptomy DNS na brzegu sieci.
Mitigacja: blokada zmian w AFD, roll-back do „last known good” i globalne wypychanie poprawnej konfiguracji; recovery AFD powyżej 98% dostępności przed pełnym przywróceniem.
Czas pełnej mitigacji AFD: 00:05 UTC (30.10.2025) wg osi czasu na stronie Azure Status History.
Zasięg: Microsoft 365, Azure Portal, Xbox/Minecraft oraz podmioty z wielu branż (linie lotnicze, retail, telekom, instytucje publiczne).

Kontekst / historia / powiązania

AFD jest warstwą przyjmującą ruch (entry point) dla portali i API Microsoftu. To drugi poważny incydent brzegowy w październiku 2025 r. — wcześniej Microsoft publikował retrospekcje dot. dostępności portali/AFD w innych regionach, co pokazuje jak zmiany w konfiguracji i automatyzacja potrafią nieintencjonalnie poszerzyć promień rażenia. Jednocześnie incydent nastąpił tydzień po głośnej awarii AWS, co unaocznia systemową zależność Internetu od kilku hiperskalerów.

Analiza techniczna / szczegóły luki

Wyzwalacz: niezamierzona zmiana konfiguracyjna w AFD, która spowodowała błędne trasowanie oraz degradację dostępności portali i usług zależnych; raportowano również symptomy DNS (timeouts, błędy serwera, utrata pakietów na brzegu sieci Microsoft).
Działania natychmiastowe:
- Blokada wszystkich zmian w AFD (change freeze).
- Rollback do ostatniego poprawnego stanu i globalny rollout naprawionej konfiguracji.
- Częściowo ręczna rekonwergencja węzłów oraz stopniowe kierowanie ruchu do zdrowych instancji.
Oś czasu (kluczowe punkty Azure Status History):
- 17:26 UTC — portal odcięty od AFD,
- 17:30 UTC — blokada nowych zmian,
- 17:40/18:30 UTC — wdrożenie i globalne wypychanie „last known good”,
- 00:05 UTC (30.10) — potwierdzenie mitigacji AFD.

Praktyczne konsekwencje / ryzyko

Dostęp administracyjny: brak lub opóźnienia w Microsoft 365 Admin Center oraz Azure Portal; utrudnione działania operacyjne (policy w Intune, funkcje Purview, dodatki/łączność Outlook).
Tożsamość i logowanie: przejściowe problemy z Entra ID (d. AAD) i logowaniem użytkowników do platform firmowych; skutki wtórne w SSO do aplikacji SaaS.
Łańcuch zależności: zatrzymanie lub degradacja usług u operatorów, linii lotniczych i detalistów — check-in, płatności online, serwisy konsumenckie.
Ryzyko powtarzalności: zmiany konfiguracyjne w warstwie brzegowej/CDN + automatyzacja rolloutów = potencjalny „blast radius” globalny bez błyskawicznych mechanizmów canary/guardrails.

Rekomendacje operacyjne / co zrobić teraz

Kanały awaryjne zarządzania: utrzymuj procedury i uprawnienia do zarządzania programatycznego (PowerShell/CLI/REST) na wypadek niedostępności portali; skonfiguruj Azure Service Health alerts (e-mail/SMS/webhook).
Failover na brzegu: przygotuj Traffic Manager / DNS-based failover do originów alternatywnych lub ścieżek niezależnych od AFD (gdzie to możliwe). Microsoft wskazywał ten kierunek mitigacji podczas incydentu.
Tryb „readiness”: zweryfikuj polityki change freeze, canary/gradual rollout dla konfiguracji brzegowych, a także testy chaos/simulation dla edge/CDN. Wprowadzaj pre-walidację konfiguracji na środowiskach replik danych.
Ścieżki alternatywne UI: gdy portal jest niedostępny, sprawdź preview.portal.azure.com jako tymczasowy fallback.
Mapowanie zależności: zinwentaryzuj aplikacje zależne od AFD/DNS i określ RTO/RPO oraz runbooki operacyjne (np. obejścia dla SSO). Potwierdź, że monitoring syntetyczny obejmuje brzeg Microsoft/AFD i mierzony jest z wielu vantage points (np. rozwiązania klasy ThousandEyes).
Komunikacja do biznesu: przygotuj szablony komunikatów i procedury ręcznej obsługi krytycznych procesów (np. check-in, płatności), by zredukować chaos w łańcuchu dostaw usług online.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

AWS (poprzedni tydzień): oba incydenty miały wektor w warstwie DNS/edge, ale w przypadku Microsoftu kluczowa była konfiguracja AFD; w AWS raportowano „major DNS failure”. Wniosek: odporność na błędy konfiguracji brzegowej jest równie krytyczna jak redundancja regionów. (wnioskowanie na podstawie relacji prasowych)
Wcześniejsze awarie Azure (październik 2025): retrospekcje Microsoftu pokazują, że automatyzacja zmian i niekompatybilności API potrafią usunąć wartości konfiguracyjne i wywołać efekt domina — stąd nacisk na walidacje runtime i regionalne rollouty.

Podsumowanie / kluczowe wnioski

Incydent nie miał charakteru ataku — czynnik ludzki/procesowy (zmiana konfiguracji) w AFD doprowadził do globalnych zaburzeń.
Krytyczne znaczenie ma operacyjna gotowość: dostęp programatyczny, alerty Service Health, scenariusze Traffic Manager/DNS-failover, fallback portali i monitoring z punktów zewnętrznych.
Organizacje muszą mapować zależności od brzegów hiperskalerów i ćwiczyć procedury na wypadek utraty AFD/DNS, bo konsekwencje biznesowe wykraczają daleko poza „samą” chmurę.

Źródła / bibliografia

BleepingComputer: raport o awarii DNS/Azure Front Door (29–30 października 2025). (BleepingComputer)
Azure Status History — oś czasu i szczegóły mitigacji AFD (29–30 października 2025). (Azure Status)
Reuters: potwierdzenie przywrócenia usług Azure, wpływ branżowy. (Reuters)
The Verge: „inadvertent configuration change”, lista usług dotkniętych, status recovery. (The Verge)
Cisco ThousandEyes: techniczne obserwacje (timeouts, packet loss) na brzegu sieci Microsoft (AFD). (ThousandEyes)

Qilin (Agenda) – jak działa jedna z najaktywniejszych operacji ransomware w 2025 r. według Cisco Talos

Wprowadzenie do problemu / definicja luki

Cisco Talos opisał szereg incydentów z 2025 r., które ujawniają aktualny łańcuch ataku Qilin (dawniej Agenda) – jednego z najbardziej „produktywnych” gangów ransomware. Zespół IR Talosa obserwuje ponad 40 publikacji ofiar miesięcznie na stronie wycieków Qilin, ze szczytami aktywności sięgającymi ~100 przypadków (czerwiec i sierpień 2025). Najmocniej cierpi produkcja, a dalej usługi profesjonalne i handel hurtowy.

W skrócie

Model RaaS: Qilin działa jako usługa, rozwijając platformę i udostępniając ją afilantom; podwójny szantaż (szyfrowanie + wyciek).
Początkowy dostęp: w badanych sprawach częste są nadużycia ważnych kont/VPN bez MFA, czasem zmiany GPO w AD w celu włączenia RDP; obserwowano także spear-phishing i wykorzystanie wycieków haseł.
Eksfiltracja: paczkowanie WinRAR, przesył przez legalne narzędzia (np. Cyberduck do Backblaze), „ręczne” przeglądanie danych nawet notatnikiem/mspaint.
Ruch boczny i utrzymanie: PsExec, modyfikacje zapory i RDP, instalacje wielu RMM (AnyDesk, ScreenConnect, Chrome Remote Desktop itd.).
Szyfrowanie: wariant Qilin.B (Rust) używa AES-256-CTR lub ChaCha20 + RSA-4096 (OAEP), terminacja usług backup/DB/AV, czyszczenie logów i niszczenie VSS.
Skala zagrożenia: w II kw. 2025 Qilin był najaktywniejszym ransomware wobec podmiotów SLTT w USA (MS-ISAC).

Kontekst / historia / powiązania

Qilin (wcześniej Agenda) działa od lipca 2022 r., oferując RaaS i prowadząc wycieki danych na własnym portalu. Z czasem ewoluował technicznie (m.in. przepisany na Rust; utrzymano też wersje Linux/ESXi) i organizacyjnie (aktywny rekrut na forach). W 2024 r. HHS/HC3 publikował profil zagrożenia wskazujący na spear-phishing i warianty Windows/Linux; w 2024/2025 Halcyon śledził wariant Qilin.B z usprawnioną kryptografią i ewakuacją kluczowych artefaktów.

W 2025 r. incydenty przypisywane Qilin odnotowano w różnych sektorach i krajach; przykładem jest głośny atak na japoński Asahi Group (zakłócenia produkcji i publikacja danych).

Analiza techniczna / szczegóły luki

Wejście / inicjalny dostęp

Nadużycie ważnych kont i brak MFA na VPN; wzmożone próby NTLM po pojawieniu się haseł w darknecie; możliwe zmiany GPO w celu ułatwienia RDP.
(Historycznie) spear-phishing, w tym złośliwe załączniki i kradzież poświadczeń.

Rozpoznanie i zbieranie

nltest, net user, whoami /priv, tasklist; narzędzia skanowania sieci; dedykowany pakiet do zrzutu haseł (NirSoft, Mimikatz). Modyfikacja WDigest (UseLogonCredential=1) ułatwiająca pozyskanie plaintextów. Dane agregowane skryptami i eksportowane (SMTP, pliki wynikowe z kodowaniem Windows-1251).

Eksfiltracja

Archiwizacja WinRAR, inspekcja dokumentów nawet przez notepad.exe/mspaint.exe/iexplore.exe; nadużycie Cyberduck do chmury (Backblaze) z podziałem na części.

Eskalacja uprawnień i ruch boczny

Dodawanie napastniczych kont do Local Administrators, wymuszanie RDP, tworzenie udziałów typu net share c=c:\ /grant: everyone,full; rozproszenie przez PsExec. Obserwacje wielu RMM (AnyDesk, ScreenConnect, Distant Desktop, QuickAssist, Chrome Remote Desktop).

Unikanie obrony

Silnie zaciemniony PowerShell z wyłączeniem AMSI, obejściem walidacji TLS oraz włączeniem Restricted Admin dla RDP (hash-based auth).

Przygotowanie środowiska i trwałość

Wyłączanie/ubijanie procesów AV/backup/DB, czyszczenie logów, tworzenie Scheduled Task („TVInstallRestore”) i wpisów Run podszywających się pod TeamViewer.

Szyfrowanie (Qilin.B)

Kombinacja AES-256-CTR (jeśli dostępne AES-NI) / ChaCha20 (fallback) + RSA-4096/OAEP do ochrony kluczy; noty okupu README-RECOVER-[company_id].txt; rozszerzenia plików wg unikalnego ID ofiary. Wykrywana enumeracja udziałów i dysków, ukierunkowanie na ClusterStorage/CSV (Hyper-V/VM/VHDX) przy jednoczesnym unikaniu pętli po symlinkach. Usuwanie VSS i autodestrukcja binarium.

IOCs i detekcje

Talos publikuje wykazy IOC (GitHub), Snort SID oraz ClamAV (np. Win.Ransomware.Qilin, SystemBC, Cobalt Strike).

Praktyczne konsekwencje / ryzyko

Czas przestoju: ataki celują w środowiska wirtualizacji i plików współdzielonych (CSV/Hyper-V), co zwiększa wpływ na produkcję i usługi krytyczne.
Ryzyko reputacyjne i prawne przez systematyczną ekfiltrację (Backblaze/Cyberduck) oraz publikację na stronie wycieków.
Trend rynkowy: Qilin był w Q2 2025 najaktywniejszą rodziną wobec SLTT w USA, co potwierdza jego dojrzałość operacyjną i tempo działania.
Incydenty głośne medialnie (np. Asahi) pokazują realny wpływ na produkcję i łańcuch dostaw.

Rekomendacje operacyjne / co zrobić teraz

Kontrole prewencyjne

MFA bez wyjątków na VPN, RDP, poczcie i aplikacjach krytycznych; wymuś klient-based MFA dla kont uprzywilejowanych.
Higiena tożsamości: rotacja haseł po wyciekach, blokady na „password spraying” (T1110.003), monitorowanie NTLM.
Twardnienie RDP: wyłącz zdalne logowanie tam, gdzie zbędne; kontrola fDenyTSConnections, ograniczenia sieciowe/Jump Host; Restricted Admin tylko jeśli świadomie zarządzany.
Egress/Exfil kontrola: DLP/CTI-driven blokady dla Backblaze i nietypowych klientów S3/WebDAV; monitoruj użycie Cyberduck, WinRAR w trybie archiwizacji masowej.
Backup i odzyskiwanie: izolowane kopie, testy odtwarzania, ochrona VSS przed usuwaniem; segmentacja Hyper-V/CSV.

Detekcja i reagowanie (SOC/SIEM/EDR)

Reguły: Snort/ClamAV zgodnie z publikacją Talos; korelacje dla PsExec, net share c=, WDigest UseLogonCredential=1, zaciemnionego PowerShell wyłączającego AMSI, nietypowego schtasks /Create /SC ONLOGON.
Artefakty RMM: wykrywaj instalacje/połączenia AnyDesk/ScreenConnect/Chrome Remote Desktop/QuickAssist poza listą zatwierdzonych rozwiązań.
Kryptonotatki/rozszerzenia: alarmy na README-RECOVER-[company_id].txt oraz nowe rozszerzenia „.[company_id]”.

Procedury IR

Izolacja i triage hostów z aktywnością WinRAR/Cyberduck, ścieżkami Backblaze, masową terminacją usług bezpieczeństwa/backup.
Łańcuch dowodowy: zabezpieczenie logów przed czyszczeniem (wczesna centralizacja, forward-only, write-once).
Komunikacja kryzysowa i ocena ryzyka wycieku (PII, IP, dane produkcyjne).

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

Qilin vs. „typowy” RaaS 2025: podobnie jak inne operacje, Qilin intensywnie eksfiltruje i używa RMM/LOLBINs; odróżnia go ukierunkowanie na CSV/Hyper-V i szerokie wykorzystanie legalnych narzędzi do eksfiltracji (Cyberduck).
Qilin.B (Rust) wyróżnia kombinowany wybór szyfru (AES-NI → AES-CTR, fallback → ChaCha20) i mocną ochronę kluczy RSA-4096/OAEP, co komplikuje odzysk bez kluczy.
Wieloplatformowość: raporty z 2025 r. pokazują nawet wdrażanie binarek Linux na systemach Windows przez RMM/BYOVD, co utrudnia detekcję.

Podsumowanie / kluczowe wnioski

Qilin utrzymuje wysokie tempo kampanii i dojrzały łańcuch ataku: kradzież poświadczeń (WDigest/Mimikatz/NirSoft), ruch boczny (PsExec/RDP/RMM), eksfiltracja przez chmurę (Cyberduck→Backblaze), a następnie szyfrowanie zoptymalizowane dla środowisk wirtualnych (CSV/Hyper-V) i agresywna ewakuacja artefaktów. Obrona wymaga dyscypliny IAM/MFA, twardnienia RDP/VPN, kontroli egress/exfil, oraz predefiniowanych detekcji TTP. Publikacje Cisco Talos i analizy branżowe (HHS/HC3, Halcyon, CIS, Trend Micro) dostarczają praktycznych wskaźników i reguł do natychmiastowego wdrożenia.

Źródła / bibliografia

Cisco Talos – Uncovering Qilin attack methods exposed through multiple cases, 26 października 2025 (TTP, IOCs, Snort/ClamAV). (Cisco Talos Blog)
Halcyon – New Qilin.B Ransomware Variant…, 24 października 2024 (kryptografia, mechanika szyfrowania). (Halcyon)
HHS/HC3 – Qilin (aka Agenda) Threat Profile, 18 czerwca 2024 (wektory wejścia, Windows/Linux). (hhs.gov)
CIS (MS-ISAC) – Qilin: Top Ransomware Threat to SLTTs in Q2 2025, 11 września 2025 (trend aktywności). (CIS)
Trend Micro – Agenda Ransomware Deploys Linux Variant on Windows Systems…, 23 października 2025 (nietypowe wdrożenia Linux przez RMM/BYOVD). (www.trendmicro.com)

Krytyczna luka w Windows Server WSUS już wykorzystywana w atakach (CVE-2025-59287)

Wprowadzenie do problemu / definicja luki

CVE-2025-59287 to krytyczna podatność typu RCE (Remote Code Execution) w Windows Server Update Services (WSUS), umożliwiająca zdalne, nieautoryzowane wykonanie kodu z uprawnieniami SYSTEM poprzez podatną deserializację danych. Problem dotyczy serwerów z włączoną rolą WSUS (w szczególności tych pełniących rolę źródła aktualizacji dla innych serwerów WSUS). Microsoft ocenił ryzyko jako „Exploitation More Likely”.

W skrócie

Status: potwierdzone próby skanowania i faktyczne nadużycia w środowiskach produkcyjnych (in-the-wild).
Wersje/rola: dotyczy serwerów Windows z rolą WSUS; serwery bez tej roli nie są podatne.
Łatka: Microsoft opublikował out-of-band aktualizacje (KB dla Server 2012 → 2025); zalecana natychmiastowa instalacja.
Wektor: zdalne wywołania web-serwisów WSUS (domyślne porty 8530/8531), prowadzące do deserializacji niezaufanych danych.
PoC: publicznie dostępny proof-of-concept zwiększa ryzyko masowych nadużyć.

Kontekst / historia / powiązania

23–24 października 2025 r. Microsoft wydał awaryjne aktualizacje usuwające lukę w WSUS po publikacji PoC. W tym samym czasie niezależne zespoły zaczęły raportować pierwsze udane eksploatacje (Huntress: co najmniej czterech klientów; NCSC-NL: obserwacje nadużyć 24.10.2025). BleepingComputer potwierdził aktywne próby wykorzystania.

Analiza techniczna / szczegóły luki

Luka wynika z niebezpiecznej deserializacji w mechanizmie AuthorizationCookie web-serwisów WSUS. W praktyce napastnik może wysłać specjalnie spreparowane żądania (kilka żądań POST do usług WSUS), co skutkuje zdalnym wykonaniem kodu z kontekstu usługi (SYSTEM). Złożoność niska, brak potrzeby interakcji użytkownika; podatność oceniona na CVSS 9.8 (CWE-502).

Z obserwacji Huntress wynika, że atakujący:

celują w publicznie odsłonięte WSUS na portach 8530/TCP i 8531/TCP,
uruchamiają łańcuch procesów wsusservice.exe/w3wp.exe → cmd.exe → powershell.exe,
wykonują rekonesans domeny i wyciekają dane (np. whoami, net user /domain, ipconfig /all) do zewnętrznego webhooka.

Praktyczne konsekwencje / ryzyko

Wewnętrzna propagacja: ryzyko „wormowalności” między serwerami WSUS/upstream-downstream, jeśli rola WSUS jest kaskadowa.
Łańcuch dostaw aktualizacji: kompromitacja serwera WSUS z certyfikatem do publikowania lokalnych pakietów może potencjalnie umożliwić dystrybucję złośliwych aktualizacji do floty. (Wniosek oparty na analizie sposobu działania WSUS i obserwacjach społeczności branżowej).
Ekspozycja: choć WSUS rzadko bywa publiczny, organizacje z błędną segmentacją/otwartymi portami są narażone na skanowanie i ataki oportunistyczne.

Rekomendacje operacyjne / co zrobić teraz

1) Natychmiastowe łatanie (priorytet P1)
Zastosuj OOB-aktualizacje Microsoft dla odpowiedniej wersji Windows Server (KB m.in. dla 2012/2012 R2/2016/2019/2022/23H2/2025). Po instalacji wymagany jest restart.

2) Ogranicz dostęp do WSUS

Zablokuj z Internetu inbound na TCP 8530/8531; udostępniaj WSUS wyłącznie hostom zarządzającym i Microsoft Update.
Jeśli nie możesz natychmiast łatać, tymczasowo wyłącz rolę WSUS lub odetnij ruch — pamiętaj, że wstrzymasz wtedy dystrybucję aktualizacji.

3) Detekcja i dochodzenie (IR)

Przejrzyj logi:
- C:\Program Files\Update Services\Logfiles\SoftwareDistribution.log
- C:\inetpub\logs\LogFiles\W3SVC*\u_ex*.log (żądania do SimpleAuth.asmx, Client.asmx, ReportingWebService.asmx, ApiRemoting30/WebService.asmx).
Szukaj łańcuchów procesów: w3wp.exe/wsusservice.exe → cmd.exe → powershell.exe.
W IOC wypatruj wywołań poleceń whoami, net user /domain, ipconfig /all, a także exfiltracji na webhook.site lub pokrewne domeny.

4) Twardnienie konfiguracji

Upewnij się, że WSUS nie jest publicznie dostępny; segmentacja i ACL-e tylko dla niezbędnych połączeń (upstream/downstream/zarządzanie).
Przegląd certyfikatów używanych do local publishing (SCCM/ConfigMgr i integracje 3rd-party); w razie incydentu rotacja kluczy i certyfikatów WSUS + weryfikacja łańcucha zaufania. (Wniosek operacyjny wynikający z modelu zagrożeń WSUS).

5) Monitorowanie zaleceń CSIRT/CERT

Śledź aktualizacje doradcze (np. NCSC-NL), które potwierdziły nadużycia 24.10.2025 r.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

W odróżnieniu od wielu historycznych RCE w usługach Windows, CVE-2025-59287 uderza w łańcuch dystrybucji aktualizacji (WSUS). Nawet przy ograniczonej liczbie publicznie odsłoniętych instancji, potencjalny wpływ na zaufanie do update’ów i możliwość masowego rozproszenia złośliwych pakietów czyni tę lukę wyjątkowo niebezpieczną w środowiskach korporacyjnych.

Podsumowanie / kluczowe wnioski

Luka jest aktywne wykorzystywana; poziom ryzyka wysoki ze względu na PoC i niski próg eksploatacji.
Łataj natychmiast, ogranicz ekspozycję portów 8530/8531, sprawdź logi i łańcuchy procesów, rozważ rotację certyfikatów WSUS w razie incydentu.
Utrzymuj WSUS poza Internetem i w silnie kontrolowanych segmentach.

Źródła / bibliografia

BleepingComputer: Critical WSUS flaw in Windows Server now exploited in attacks (24.10.2025). (BleepingComputer)
Huntress: Exploitation of WSUS RCE (CVE-2025-59287) – obserwacje ataków, IOCs i szczegóły taktyk (24.10.2025). (Huntress)
Microsoft (MSRC): CVE-2025-59287 – poradnik i KB (OOB) dla Windows Server. (BleepingComputer)
NCSC-NL: Advisory ncsc-2025-0310 – potwierdzenie nadużyć 24.10.2025 i rekomendacje. (NCSC NL)
NVD (NIST): CVE-2025-59287 – opis, klasyfikacja (CWE-502), metryki CVSS. (NVD)
HawkTrace: CVE-2025-59287 WSUS Unauthenticated RCE – szczegóły PoC i wektora. (hawktrace.com)

Hakerzy podszywają się pod kirgiskich urzędników. Kampania cyberszpiegowska wymierzona w rosyjskie instytucje (FoalShell & StallionRAT)

Wprowadzenie do problemu / definicja luki

Między majem a sierpniem 2025 r. klaster szpiegowski określany jako Cavalry Werewolf (powiązywany także z nazwami YoroTrooper i Silent Lynx) prowadził kampanię spear-phishingową wymierzoną w rosyjską administrację publiczną oraz firmy z sektorów energii, górnictwa i produkcji. Atakujący podszywali się pod kirgiskie ministerstwa, rozsyłając pisma urzędowe z archiwami RAR zawierającymi autorskie malware: FoalShell (reverse shell) i StallionRAT (RAT sterowany przez bota Telegram) — w części przypadków z wykorzystaniem skompromitowanych prawdziwych skrzynek rządowych.

W skrócie

Wejście: spójne stylistycznie maile „z urzędu” (m.in. z resortów gospodarki i transportu KR), nierzadko z prawdziwych, przejętych adresów. Załączniki RAR prowadzą do droppera FoalShell/StallionRAT.
Cel: rosyjskie instytucje rządowe + przemysł (energia, górnictwo, produkcja); pojawiają się ślady zainteresowania Tadżykistanem i pliki nazwane po arabsku (rekonesans na Bliski Wschód).
TTPs: własne narzędzia, testowanie dodatkowych tooli (np. AsyncRAT), C2 przez Telegram, reverse shell w C# / C++ / Go.
Atrybucja historyczna: wcześniejsze badania Cisco Talos łączą YoroTrooper z Kazachstanem (język, waluta, profil celów).

Kontekst / historia / powiązania

YoroTrooper/Silent Lynx obserwowany jest co najmniej od 2022 r., z celami w regionie WNP i placówkach dyplomatycznych. W 2023 r. Talos opublikował obszerny przegląd kampanii YoroTrooper; w 2023–2025 pojawiały się kolejne doniesienia o podszywaniu się pod instytucje państwowe w Azji Centralnej. Najnowsza fala (lato 2025) koncentruje się na Rosji, ale wskazówki językowe i nazewnicze sugerują szersze ambicje geograficzne.

Analiza techniczna / szczegóły luki

Łańcuch infekcji

Spear-phishing: wiadomości stylizowane na korespondencję urzędową (np. „trzymiesięczne wyniki wspólnych działań”, „lista pracowników do premii”), nadane z look-alike’ów lub przejętych kont urzędowych.
Załącznik RAR: zawiera loader prowadzący do FoalShell (reverse shell) lub StallionRAT.
Utrzymanie dostępu i C2:
- FoalShell: wielojęzyczne implementacje (C#, C++, Go) uruchamiają ukryty cmd.exe i tunelują I/O do C2 (różne adresy IP/443 wg wariantów).
- StallionRAT: implementacje w Go/PowerShell/Python; komunikacja i polecenia przez bota Telegram (/list, /go, /upload), exfil plików do katalogów publicznych.

Techniki (wybrane mapowanie MITRE ATT&CK):

T1566.001 Spear-phishing Attachment (RAR/archiwa) — wektor wejścia.
T1059 Command and Scripting Interpreter (PowerShell, cmd.exe).
T1105 Ingress Tool Transfer / T1071.001 Application Layer (Telegram jako kanał C2).
T1036 Masquerading (wiarygodne nazwy plików, formaty pism).

Dodatkowe obserwacje obronne (DFIR/Threat Hunting):

Monitorowanie tworzenia archiwów o nazwach „biurowych” w %LocalAppData%\Microsoft\Windows\INetCache\Content.Outlook\ na stacjach z Outlookiem.
Wykrywanie krótkotrwałych procesów cmd.exe uruchamianych przez nietypowych rodziców oraz anomalii w ruchu do Telegram API z hostów korporacyjnych.

Praktyczne konsekwencje / ryzyko

Kradzież danych i dostępów w instytucjach publicznych i firmach infrastrukturalnych (ryzyko wtórnych nadużyć, pivotu do OT, kompromitacji łańcucha dostaw).
Eskalacja geograficzna: artefakty w jęz. tadżyckim i arabskim wskazują na przygotowania do ataków poza Rosją; organizacje w Azji Centralnej i na Bliskim Wschodzie powinny podnieść czujność.
Inżynieria społeczna na brandach państwowych: podszywanie się pod ministerstwa zwiększa skuteczność kliknięć i utrudnia filtrowanie poczty.

Rekomendacje operacyjne / co zrobić teraz

E-mail i brama:

Blokowanie RAR/ACE/ISO z poczty do czasu ręcznej weryfikacji; sandboxing archiwów i skryptów.
Reguły YARA/EDR pod FoalShell i StallionRAT (na bazie IOCs z publikacji) oraz detekcja wywołań PowerShell z EncodedCommand/Bypass.

Host:

Polityki Constrained Language Mode dla PowerShell, Script Block Logging + centralna telemetria.
Detections na ukryte uruchomienia cmd.exe i nietypowe parent-child (np. z katalogów tymczasowych/outlook cache).

Sieć:

Blokowanie/monitoring ruchu do Telegram z sieci korporacyjnej; TLS inspection na wybranych strefach; listy dozwolonych.

Tożsamość i procesy:

Ochrona i audyt skrzynek „wysokiego zaufania” (departamenty: kadry, finanse, protokół dyplomatyczny), MFA i DMARC/DKIM/SPF w trybie reject dla domen urzędowych/partnerskich.

Threat Intel & IR:

Konsumpcja IOC/TTP z najnowszych analiz (BI.ZONE, Picus) i korelacja z lokalnymi logami; playbook IR na przypadki Telegram-C2.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

YoroTrooper vs. inne rosyjsko-powiązane APT: Choć część klastrów w regionie bywa łączona z Rosją (np. APT28/Sednit), w przypadku YoroTrooper/Cavalry Werewolf wcześniejsze prace Cisco Talos wskazują na powiązania z Kazachstanem (język, waluta, profil celów), a nie z GRU/FSB. Nie ma jednoznacznej, oficjalnej atrybucji państwowej dla najnowszej fali; Picus jej nie stawia.
Kanał C2 przez Telegram odróżnia kampanię od wielu klasycznych operacji (częściej HTTP(S)/mail/OneDrive), choć aplikacyjne C2 pojawiało się już wcześniej u innych aktorów.

Podsumowanie / kluczowe wnioski

Cavalry Werewolf skutecznie eksploatuje zaufanie między instytucjami państwowymi (tu: wizerunek urzędów Kirgistanu), łącząc wysokiej jakości socjotechnikę z lekkimi, autorskimi narzędziami (FoalShell, StallionRAT). Wektor wejścia jest prosty (RAR w e-mailu), ale opakowany w wiarygodne, urzędowe narracje. Organizacje — zwłaszcza w administracji i przemyśle — powinny zaostrzyć polityki pocztowe, telemetrię PowerShell, oraz filtrować/monitorować Telegram jako potencjalny kanał C2.

Źródła / bibliografia

The Record: „Hackers posing as Kyrgyz officials target Russian agencies in cyber espionage campaign”, 23 października 2025. (The Record from Recorded Future)
BI.ZONE: „Espionage clusters disguise themselves as Kyrgyz state officials”, 2 października 2025. (BI.ZONE)
Picus Security: „Cavalry Werewolf APT: Exposing FoalShell and StallionRAT Malware”, 20 października 2025. (Picus Security)
Cisco Talos: „YoroTrooper operators likely based in Kazakhstan”, 25 października 2023. (Cisco Talos Blog)
Cisco Talos: „Talos uncovers espionage campaigns targeting CIS countries… (YoroTrooper)”, 14 marca 2023. (Cisco Talos Blog)

Star Blizzard (Coldriver) porzuca LOSTKEYS. Nowy łańcuch infekcji z backdoorem MAYBEROBOT i downloaderem NOROBOT

Wprowadzenie do problemu / definicja luki

Rosyjska grupa APT Star Blizzard (aliasy: Coldriver, Seaborgium, Callisto, UNC4057) błyskawicznie zretoolowała arsenał po publicznym ujawnieniu złośliwego oprogramowania LOSTKEYS w maju 2025. Zamiast niego obserwowany jest nowy łańcuch infekcji oparty na downloaderze NOROBOT i finalnym backdoorze MAYBEROBOT (po drodze pojawił się krótkotrwale YESROBOT). Ataki nadal wykorzystują socjotechnikę ClickFix z fałszywą stroną CAPTCHA („I’m not a robot”), ale porzucają wcześniejszy, wieloetapowy łańcuch oparty na PowerShell i LOSTKEYS. Źródła Google Threat Intelligence (GTIG) i relacje branżowe potwierdzają, że od publikacji z maja nie zaobserwowano ponownego użycia LOSTKEYS.

W skrócie

Zmiana TTP w 5 dni: Coldriver przestał używać LOSTKEYS w ciągu pięciu dni od publicznej analizy i uruchomił nowe „rodziny” malware.
Nowy łańcuch: NOROBOT (pobranie następnego etapu, utrwalenie) → historycznie YESROBOT (Python backdoor) → MAYBEROBOT (lekki, obfuskowany PowerShell backdoor; 3 komendy).
Wejście socjotechniczne: nadal ClickFix + fałszywa CAPTCHA, zachęcająca do uruchomienia DLL przez rundll32.
Cele: osoby i organizacje „high value” (NGO, doradcy polityczni, kręgi eksperckie i rządowe w państwach zachodnich).
Tempo rozwoju: aktywne modyfikacje łańcucha i NOROBOT (rotacja infrastruktury, zmiany nazw plików/eksportów, podział kluczy kryptograficznych).

Kontekst / historia / powiązania

W maju 2025 GTIG opisał LOSTKEYS – kradnący pliki i informacje systemowe komponent Coldrivera, dostarczany m.in. przez mechanizm ClickFix. Po publikacji zespół Google nie rejestrował już użycia LOSTKEYS; w jego miejsce pojawił się zestaw narzędzi „ROBOT” (NOROBOT/YESROBOT/MAYBEROBOT). Temat podjęły m.in. The Record, Dark Reading oraz SecurityWeek, wskazując, że to przykład szybkiego „pivotu” APT po „spaleniu” kampanii.

Analiza techniczna / szczegóły luki

Wejście (socjotechnika): ClickFix + CAPTCHA

Strona-lurka podszywa się pod zasób dla środowisk obywatelskich/think tanków. Użytkownik proszony jest o „weryfikację, że nie jest robotem”, co pobiera DLL i instruuje do uruchomienia przez rundll32 (np. artefakty nazw „iamnotarobot.dll”, eksport humanCheck).

Etap 1: NOROBOT (aka BAITSWITCH wg Zscaler)

Rola: downloader i przygotowanie środowiska, łączność z hard-coded C2, utrwalenie.
Ewolucja: od wersji „głośnych” (instalacja pełnego Python 3.8, zadania harmonogramu, BITS do pobrania modułów .py) do uproszczonych wariantów, a następnie ponownie „utajnionych” przez podział kluczy kryptograficznych i reintrodukcję etapów pośrednich.

Etap 2 (krótkotrwale): YESROBOT (Python backdoor)

Minimalny backdoor wykonujący polecenia Python pobierane z C2; wymagał pełnego interpretera, co zwiększało wykrywalność. Zaobserwowany jedynie incydentalnie w maju; szybko porzucony.

Etap 3: MAYBEROBOT (aka SIMPLEFIX) – finalny backdoor

PowerShell, ciężko obfuskowany, 3 komendy: pobierz/uruchom z URL, wykonaj polecenie przez cmd.exe, wykonaj blok PowerShell; potwierdzenia i wyniki wysyłane na inne ścieżki C2.
Cel: zastąpić YESROBOT czymś lżejszym i bardziej elastycznym, bez potrzeby instalowania Pythona.

Tempo i OPSEC

Coldriver rotuje infrastrukturę, modyfikuje nazwy plików/eksportów, ścieżki i konstrukcję URL-i; raz upraszcza, raz komplikuje łańcuch, utrudniając korelację. Od czerwca do września 2025 obserwowano wiele wariantów NOROBOT, natomiast MAYBEROBOT pozostawał stabilny (grupa koncentruje się na ukryciu „wejścia”, mniej na finalnym backdoorze).

Praktyczne konsekwencje / ryzyko

User-assisted execution: ataki obchodzą tradycyjne filtry poczty (plik nie zawsze przechodzi przez MTA), a nacisk pada na rundll32 uruchamiany przez użytkownika.
Niska sygnaturowość: miks lekko zmienianych łańcuchów, rotacja C2 i kluczy utrudnia IOC-based detection. Preferowane są behawioralne telemetrie EDR/NDR (nietypowe uruchomienia rundll32, BITS, obfuskowany PowerShell, nowe zadania harmonogramu).
Targeting: wysoka selektywność odbiorców i serwer-side filtering zmniejszają „szum” i widoczność kampanii w szerokich telemetriach.

Rekomendacje operacyjne / co zrobić teraz

Prewencja i twardnienie stacji

Zablokuj typowy wektor rundll32:
- AppLocker/WDAC: deny rundll32.exe uruchamianie DLL z obszarów użytkownika (%TEMP%, %APPDATA%, %LOCALAPPDATA%).
- ASR: reguły ograniczające LOLBin (rundll32, bitsadmin, reg.exe) oraz uruchamianie skryptów PS z pobranych lokalizacji.
PowerShell Constrained Language Mode oraz Script Block/Module Logging + AMSI – rejestrować i blokować obfuskowane bloki.
BITS i Scheduled Tasks: monitoruj tworzenie zadań („System health check”, nietypowe triggery „At logon”) oraz użycie bitsadmin/Start-BitsTransfer.

Detekcja (idee reguł/Sigma)

Rundll32 + URL w argumencie / DLL z folderów profilu.
Proces łańcuchowy: rundll32.exe → powershell.exe / cmd.exe; pythonw.exe pojawiający się pod %APPDATA%\Python38-64\.
Rejestr: nietypowe klucze binarne pod HKCU\Software\Classes.* (np. .pietas/ratio).
Sieć: anomalia HTTP(S) do świeżych domen, ścieżki ACK/RESULT charakterystyczne dla MAYBEROBOT. (Wskazówki techniczne opisane w raporcie GTIG; Google publikuje IoC/YARA).

IR / łagodzenie skutków

Zidentyfikuj hosty z logon scripts ustawionymi przez PS, przeglądnij RecentFileCache.bcf/ShimCache pod kątem „iamnotarobot.dll”.
Skoreluj alerty Safe Browsing/Gmail Government-backed attacker alerts (jeśli używacie Google Workspace).
Jeśli artefakty Pythona zostały znalezione, przeprowadź triage pamięci, sprawdź harmonogram zadań i usługi użytkownika; odizoluj host, rotuj poświadczenia, przeprowadź TH na luki w dostępie do skrzynek e-mail (możliwy wcześniejszy kompromis phishingowy).

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

Względem LOSTKEYS (maj 2025): porzucenie długiego łańcucha PS na rzecz DLL+rundll32 i fałszywej CAPTCHA; rotacja do lekkiego backdoora PS.
Względem innych rosyjskich APT (np. APT28/NotDoor): różne wektory (Outlook/NotDoor vs. ClickFix/CAPTCHA) i inne docelowe profile ofiar, ale wspólny mianownik to szybka ewolucja TTP i modularność narzędzi. (Wniosek syntetyczny na bazie przeglądu doniesień branżowych.)

Podsumowanie / kluczowe wnioski

Coldriver zareagował błyskawicznie: 5 dni po ujawnieniu LOSTKEYS wdrożono nowy łańcuch (NOROBOT → MAYBEROBOT).
Socjotechnika jest „kluczem”: fałszywe CAPTCHA skutecznie skłaniają użytkowników do samodzielnego uruchomienia DLL.
Detekcja behawioralna > IOC: stale zmieniane artefakty i łańcuchy wymagają skupienia na technikach, nie sygnaturach.
Higiena narzędzi w Windows: rundll32/bitsadmin/PowerShell to dziś newralgiczne LOLBiny – ograniczaj, loguj i koreluj.

Źródła / bibliografia

Google Threat Intelligence Group – To Be (A Robot) or Not to Be: New Malware Attributed to Russia State-Sponsored COLDRIVER (20 października 2025). Kluczowy raport techniczny z IoC i opisem NOROBOT/YESROBOT/MAYBEROBOT. (Google Cloud)
SecurityWeek – Russian APT Switches to New Backdoor After Malware Exposed by Researchers (22 października 2025). Przegląd zmian TTP Star Blizzard po publikacji LOSTKEYS. (SecurityWeek)
The Record (Recorded Future News) – Google finds Russian state hackers replacing burned malware with new tools (21 października 2025). Kontekst czasowy (5 dni), nazwy rodzin i agresywność kampanii. (The Record from Recorded Future)
Dark Reading – ColdRiver Drops Fresh Malware on Targets (20 października 2025). Analiza trendu „pivotu” APT i opis łańcucha. (Dark Reading)
CSO Online – ‘I am not a robot’: Russian hackers use fake CAPTCHA lures to deploy espionage tools (22 października 2025). Perspektywa obronna: detekcje behawioralne, ryzyka user-assisted. (CSO Online)