Archiwa: PowerShell - Strona 3 z 40

Operation Dragon Weave: chińsko powiązana kampania APT uderza w Czechy i Tajwan

Wprowadzenie do problemu / definicja

Operation Dragon Weave to ujawniona na początku czerwca 2026 roku kampania cybernetyczna przypisywana podmiotom powiązanym z Chinami. Jej celem są organizacje z sektorów rządowego, badawczego, akademickiego, technologicznego i finansowego w Czechach oraz na Tajwanie, a głównym założeniem operacji pozostaje cyberwywiad, długotrwałe utrzymanie dostępu i kradzież wrażliwych danych.

Kampania wpisuje się w szerszy trend działań APT, w których napastnicy łączą spear-phishing, wieloetapowe łańcuchy infekcji, techniki unikania analizy oraz wykorzystanie legalnych usług chmurowych do ukrywania komunikacji z infrastrukturą dowodzenia i kontroli.

W skrócie

Dragon Weave rozpoczyna się od wiadomości spear-phishingowej z archiwum ZIP, które zawiera pliki podszywające się pod dokumenty PDF lub legalne komponenty aplikacji. Po uruchomieniu ładunku ofiara inicjuje złożony łańcuch prowadzący do instalacji malware AdaptixC2.

wejście następuje przez plik LNK lub binarny dropper napisany w Rust,
w łańcuchu infekcji wykorzystywany jest PowerShell,
atak obejmuje technikę DLL side-loading,
finalny agent AZUREVEIL komunikuje się przez Azure Blob Storage,
celem operacji jest szpiegostwo, rekonesans i eksfiltracja danych.

Kontekst / historia

Dragon Weave nie jest incydentem odosobnionym. W ostatnich miesiącach badacze opisywali wzmożoną aktywność chińskojęzycznych i chińsko powiązanych grup APT, które koncentrują się na celach o znaczeniu strategicznym i geopolitycznym.

Od października 2025 do marca 2026 roku obserwowano liczne kampanie wymierzone w administrację publiczną, infrastrukturę krytyczną, sektor badań oraz przemysł zaawansowanych technologii. W tym samym krajobrazie zagrożeń pojawiały się także klastry SteppeDriver i NegativeGlimmer, a także nowe narzędzia takie jak PhiliKit czy TencShell. Dragon Weave należy więc postrzegać jako element szerszej i konsekwentnej presji wywiadowczej, a nie jednorazową operację.

Analiza techniczna

Atak rozpoczyna się od dostarczenia archiwum ZIP w wiadomości spear-phishingowej. Po jego otwarciu ofiara widzi pliki sprawiające wrażenie legalnych dokumentów lub komponentów systemowych. W zależności od wariantu użytkownik uruchamia złośliwy skrót LNK podszywający się pod dokument PDF albo bezpośrednio plik wykonywalny pełniący rolę droppera.

W pierwszym scenariuszu plik LNK uruchamia PowerShell, który wydobywa właściwy moduł wykonywalny z pośredniego pliku DAT i uruchamia go jako RuntimeBroker_update.exe. W drugim wariancie samowystarczalny dropper napisany w Rust prowadzi do tego samego rezultatu, omijając część pośrednich etapów.

Następnie napastnicy wykorzystują DLL side-loading, podstawiając złośliwą bibliotekę UnityPlayer.dll. Mechanizm ten pozwala załadować nieautoryzowany kod przez proces lub aplikację wyglądającą na zaufaną, co znacząco utrudnia wykrycie przez tradycyjne mechanizmy ochronne. Biblioteka wdraża kolejny komponent nazwany RUSTCLOAK, którego zadaniem jest odszyfrowanie i uruchomienie finalnego ładunku.

Ostatnim etapem jest agent AdaptixC2 określany jako AZUREVEIL. Najbardziej charakterystycznym elementem tej kampanii jest wykorzystanie Azure Blob Storage jako pośredniej warstwy C2 w modelu dead drop. Zamiast klasycznych połączeń beaconingowych do infrastruktury napastnika malware korzysta ze współdzielonego kontenera pamięci masowej, gdzie operatorzy i zainfekowany system wymieniają dane. Takie podejście utrudnia wykrycie, ponieważ ruch może przypominać zwykłe korzystanie z legalnej usługi chmurowej.

AZUREVEIL obsługuje rozbudowany zestaw funkcji poeksploatacyjnych, obejmujących wykonywanie poleceń, przesyłanie plików, enumerację procesów, zarządzanie proxy SOCKS, przekierowanie portów oraz uruchamianie Beacon Object Files w pamięci. To wskazuje, że narzędzie służy nie tylko do utrzymania dostępu, ale także do rekonesansu wewnętrznego, ruchu bocznego i eksfiltracji danych.

Dodatkowym utrudnieniem dla analityków są mechanizmy anti-analysis. Loader sprawdza środowisko uruchomieniowe i aktywuje kolejne fazy tylko po spełnieniu określonych warunków, co sugeruje próbę unikania sandboxów i automatycznych systemów analitycznych.

Konsekwencje / ryzyko

Skala ryzyka związanego z Dragon Weave jest szczególnie wysoka dla administracji publicznej, instytucji badawczych, uczelni, firm technologicznych oraz sektora finansowego. Kampania wygląda na selektywną, dobrze przygotowaną i ukierunkowaną na cele o wysokiej wartości wywiadowczej.

kradzież dokumentów strategicznych i danych wrażliwych,
długotrwałe utrzymanie dostępu do stacji roboczych i serwerów,
wykorzystanie zainfekowanego hosta do ruchu bocznego,
ukrycie komunikacji C2 w legalnym ruchu do chmury,
utrudnione wykrycie dzięki wieloetapowej infekcji i side-loadingowi DLL.

Istotne jest również to, że nadużywanie popularnych usług chmurowych komplikuje tradycyjne podejście do filtrowania i blokowania ruchu. W wielu organizacjach usługi Microsoft są uznawane za krytyczne biznesowo, dlatego analiza anomalii w tym obszarze wymaga większej dojrzałości telemetrycznej, korelacji zdarzeń i podejścia behawioralnego.

Rekomendacje

Organizacje zagrożone podobnymi operacjami powinny połączyć działania prewencyjne, detekcyjne i operacyjne.

wzmocnić ochronę poczty elektronicznej i analizę załączników ZIP,
blokować lub ściśle ograniczać uruchamianie plików LNK z nieznanych źródeł,
ograniczyć użycie PowerShell do kontrolowanych scenariuszy administracyjnych,
monitorować nietypowe uruchomienia procesów i ładowanie bibliotek DLL,
wdrożyć detekcję DLL side-loading oraz uruchamiania komponentów z katalogów tymczasowych,
zwiększyć widoczność ruchu do usług chmurowych, zwłaszcza pamięci obiektowej,
korelować dane z EDR, poczty, DNS i proxy w celu identyfikacji pełnego łańcucha ataku,
segmentować sieć i ograniczać uprawnienia użytkowników oraz kont serwisowych,
aktualizować reguły detekcji o techniki stosowane przez grupy chińsko powiązane,
szkolić użytkowników wysokiego ryzyka w rozpoznawaniu spear-phishingu i nietypowych archiwów.

Podsumowanie

Operation Dragon Weave pokazuje, jak bardzo dojrzałe stały się współczesne kampanie cyberwywiadowcze. Połączenie spear-phishingu, loaderów w Rust, DLL side-loadingu, mechanizmów anti-analysis oraz komunikacji C2 przez Azure Blob Storage wskazuje na wysoki poziom przygotowania operacyjnego i dobrą znajomość metod unikania detekcji.

Jednocześnie kampania ta stanowi część szerszego ekosystemu aktywności przypisywanych chińsko powiązanym grupom APT. Dla obrońców kluczowe staje się już nie tylko reagowanie na pojedyncze wskaźniki IOC, ale przede wszystkim rozumienie technik, procedur i wzorców działania przeciwnika, zwłaszcza w obszarze nadużyć legalnych usług chmurowych.

Źródła

The Hacker News — https://thehackernews.com/2026/06/china-aligned-groups-ramp-up-attacks.html
Seqrite — Operation Dragon Weave: Uncovering a China-Linked Campaign Targeting Czech Republic and Taiwan Using Azure Cloud C2 — https://www.seqrite.com/ja/blog/operation-dragon-weave-uncovering-a-china-linked-campaign-targeting-czech-republic-and-taiwan-using-azure-cloud-c2/
ESET APT Activity Report Q4 2025–Q1 2026 — https://www.welivesecurity.com/en/eset-research/eset-apt-activity-report-q4-2025-q1-2026/
Palo Alto Networks Unit 42 — The Shadow Campaigns: Uncovering Global Espionage — https://unit42.paloaltonetworks.com/shadow-campaigns-uncovering-global-espionage/?_wpnonce=fcb9e7e48d&lg=en&pdf=print
Infosecurity Magazine — China-Linked Hackers Deploy New TencShell Malware Against Manufacturer — https://www.infosecurity-magazine.com/news/china-hackers-tencshell-malware/

Nadużycia funkcji udostępniania w ChatGPT nowym wektorem phishingu i dystrybucji malware

Wprowadzenie do problemu / definicja

Funkcje udostępniania treści w platformach AI miały wspierać współpracę, publikowanie instrukcji oraz wymianę wiedzy. W praktyce stały się jednak atrakcyjnym narzędziem dla cyberprzestępców, którzy wykorzystują zaufanie użytkowników do rozpoznawalnych usług i renomowanych domen. Coraz częściej publicznie dostępne, współdzielone rozmowy są używane jako nośnik fałszywych poradników technicznych, treści phishingowych oraz instrukcji prowadzących do uruchomienia złośliwego oprogramowania.

Problem nie polega na przełamaniu zabezpieczeń samej platformy, lecz na nadużyciu legalnej funkcjonalności. Dzięki temu atakujący mogą osadzać szkodliwe komunikaty w środowisku, które z perspektywy ofiary wygląda wiarygodnie i nie wzbudza natychmiastowych podejrzeń.

W skrócie

Badacze bezpieczeństwa opisują kampanie, w których przestępcy wykorzystują funkcję udostępniania rozmów w ChatGPT do publikowania spreparowanych instrukcji przypominających autentyczne poradniki administracyjne lub techniczne. Następnie ofiary są kierowane do takich materiałów za pośrednictwem socjotechniki, wiadomości phishingowych, wpisów na forach lub fałszywych komunikatów o problemach technicznych.

Treść jest hostowana w zaufanym środowisku kojarzonym z legalną usługą AI.
Ofiara otrzymuje instrukcje skopiowania i uruchomienia komend w terminalu lub PowerShellu.
Atak może prowadzić do pobrania malware, w tym infostealerów.
Reputacja domeny utrudnia wykrycie zagrożenia przez użytkowników i część mechanizmów ochronnych.

Kontekst / historia

Nadużywanie legalnych usług internetowych do hostowania złośliwych treści nie jest nowym zjawiskiem. W przeszłości podobne techniki obserwowano w usługach przechowywania plików, dokumentach online, formularzach czy platformach publikacyjnych. Cyberprzestępcy od dawna wykorzystują fakt, że użytkownicy i systemy bezpieczeństwa częściej ufają znanym markom niż nowym, podejrzanym domenom.

Rozwój generatywnej AI otworzył kolejny etap tej ewolucji. Zamiast tworzyć klasyczne fałszywe strony wsparcia technicznego, napastnicy mogą przygotować rozmowę wyglądającą jak profesjonalna instrukcja, a następnie opublikować ją jako współdzielony materiał. Taki schemat zwiększa wiarygodność przekazu i pozwala łatwiej nakłonić użytkownika do wykonania niebezpiecznych działań.

Analiza techniczna

Mechanizm ataku opiera się na kilku warstwach. Najpierw napastnik przygotowuje rozmowę z modelem tak, aby końcowy wynik przypominał autorytatywny poradnik operacyjny, instrukcję instalacji lub procedurę naprawczą. Treść bywa odpowiednio formatowana i oczyszczana z elementów mogących zdradzić manipulację.

Następnie rozmowa jest publikowana jako współdzielona konwersacja. Dla odbiorcy oznacza to, że materiał znajduje się pod renomowaną domeną i jest prezentowany w interfejsie kojarzonym z legalnym narzędziem. W wielu organizacjach taki adres nie wzbudza automatycznego alarmu, ponieważ polityki bezpieczeństwa często silnie opierają się na reputacji domeny.

Najgroźniejszy etap następuje wtedy, gdy użytkownik zostaje przekonany do ręcznego wykonania polecenia. Zamiast klasycznego pobrania pliku z podejrzanej strony, ofiara sama uruchamia komendę w terminalu, powłoce systemowej lub PowerShellu. Taki model user-assisted execution bywa skuteczny, ponieważ część mechanizmów ochronnych jest projektowana przede wszystkim z myślą o wykrywaniu złośliwych plików, a nie komend świadomie kopiowanych przez użytkownika.

W opisywanych kampaniach pojawiają się scenariusze związane z macOS, w których ofiara otrzymuje instrukcję użycia komend pobierających i uruchamiających szkodliwy kod. Taki schemat wpisuje się w rosnącą popularność ataków typu ClickFix i fake-helpdesk, gdzie kluczowe znaczenie ma socjotechnika, a nie exploit wykorzystujący lukę techniczną.

Z perspektywy obrony szczególnie problematyczne jest to, że sama współdzielona rozmowa może nie zawierać klasycznych wskaźników phishingu. Nie ma tu literówki w domenie, podejrzanego certyfikatu ani świeżo zarejestrowanego adresu. Zagrożenie ujawnia się dopiero na poziomie treści instrukcji, intencji napastnika i końcowego zachowania użytkownika.

Konsekwencje / ryzyko

Najważniejszą konsekwencją jest wzrost skuteczności ataków socjotechnicznych. Użytkownicy coraz częściej traktują treści prezentowane w narzędziach AI jako pomocne i wiarygodne, zwłaszcza gdy dotyczą administracji systemami, konfiguracji oprogramowania lub rozwiązywania problemów technicznych. To tworzy sprzyjające warunki do infekcji.

zainfekowanie stacji roboczej malware, w tym infostealerem,
kradzież haseł, tokenów sesyjnych i danych z przeglądarek,
przejęcie kont firmowych oraz dalszy ruch boczny w środowisku organizacji,
obejście części filtrów URL i mechanizmów reputacyjnych,
utrudnione dochodzenie incydentu z uwagi na wykorzystanie legalnej usługi.

Szczególnie narażone są zespoły IT, administratorzy i deweloperzy, ponieważ częściej pracują z terminalem, uruchamiają skrypty i posiadają podwyższone uprawnienia. W takich warunkach pojedyncza błędna komenda może prowadzić do kompromitacji urządzenia o wysokiej wartości dla napastnika.

Rekomendacje

Organizacje powinny traktować współdzielone treści z platform AI tak samo ostrożnie jak zewnętrzne dokumenty, poradniki i skrypty. Sama obecność materiału w renomowanej usłudze nie może być utożsamiana z jego autentycznością ani bezpieczeństwem.

prowadzić szkolenia uświadamiające, że współdzielony czat AI nie jest oficjalną dokumentacją producenta,
monitorować i ograniczać uruchamianie komend shell, PowerShell oraz skryptów inicjowanych na podstawie treści z internetu,
stosować zasadę najmniejszych uprawnień i redukować lokalne uprawnienia administracyjne,
wdrożyć monitoring procesów potomnych uruchamianych przez terminale i interpretery skryptowe,
wykrywać nietypowe użycie narzędzi takich jak curl, wget, bash, osascript czy PowerShell,
egzekwować kontrolę aplikacyjną i uruchamianie wyłącznie zatwierdzonych binariów oraz skryptów,
weryfikować instrukcje techniczne w oficjalnych materiałach dostawcy,
rozszerzyć polityki secure web gateway i CASB o analizę treści, a nie tylko reputacji domeny,
korzystać z EDR lub XDR zdolnego do korelacji działań użytkownika z późniejszym pobraniem i wykonaniem ładunku.

Z perspektywy użytkownika końcowego podstawowa zasada pozostaje niezmienna: nie należy uruchamiać komend skopiowanych z udostępnionych rozmów bez niezależnej weryfikacji ich działania i źródła. Szczególną ostrożność trzeba zachować wobec poleceń pobierających skrypty bezpośrednio z sieci i natychmiast je wykonujących.

Podsumowanie

Nadużycia funkcji udostępniania treści w ChatGPT pokazują, że platformy AI stają się elementem współczesnego krajobrazu zagrożeń. Atakujący nie muszą przełamywać zabezpieczeń usługi, aby wykorzystać ją jako zaufany nośnik socjotechniki i dystrybucji malware. Dla zespołów bezpieczeństwa oznacza to konieczność odejścia od prostego modelu oceny ryzyka opartego wyłącznie na reputacji domeny i przejścia do analizy kontekstu, treści oraz zachowań użytkownika.

Źródła

GREYVIBE: rosyjsko-powiązana grupa APT wykorzystuje AI do ataków na Ukrainę

Wprowadzenie do problemu / definicja

GREYVIBE to nowo opisany klaster zagrożeń powiązany z rosyjskim ekosystemem operacji cybernetycznych, którego aktywność wymierzona jest przede wszystkim w Ukrainę oraz podmioty związane z administracją, wojskiem, biznesem i sektorem cywilnym. Na tle innych kampanii grupa wyróżnia się szerokim wykorzystaniem generatywnej sztucznej inteligencji i modeli językowych do przygotowywania infrastruktury, elementów malware, wabików oraz komponentów wykorzystywanych po uzyskaniu dostępu do systemów ofiar.

To istotna zmiana z perspektywy obrony, ponieważ AI pozwala napastnikom szybciej modyfikować narzędzia, tworzyć wiarygodniejsze treści socjotechniczne i sprawniej odbudowywać kampanie po wykryciu. W efekcie nawet aktor, który nie prezentuje najwyższego poziomu dojrzałości operacyjnej, może utrzymywać wysoką presję na cele strategiczne.

W skrócie

GREYVIBE prowadzi wielowektorowe operacje obejmujące spear phishing, fałszywe strony CAPTCHA, spreparowane serwisy podszywające się pod organizacje charytatywne oraz witryny socjotechniczne kierowane do użytkowników Windows i Androida. W kampaniach grupy pojawiają się własne narzędzia, w tym PhantomRelay, LegionRelay oraz mobilny spyware FallSpy.

Ataki są silnie ukierunkowane na pozyskiwanie informacji.
Grupa łączy techniki typowe dla APT i cyberprzestępczości.
W wielu etapach cyklu ataku wykorzystywana jest AI.
Kampanie obejmują zarówno urządzenia desktopowe, jak i mobilne.
Mimo licznych błędów operacyjnych zagrożenie pozostaje poważne.

Kontekst / historia

Badacze oceniają, że aktywność GREYVIBE trwa co najmniej od sierpnia 2025 roku. W tym czasie operatorzy rozwijali kilka odrębnych łańcuchów infekcji, które łączyły wspólne komponenty malware, podobna infrastruktura dowodzenia i kontroli oraz zbliżone techniki operacyjne. Dobór ofiar wskazuje, że nadrzędnym celem było pozyskiwanie danych wywiadowczych i budowanie dostępu do środowisk o znaczeniu strategicznym.

Analiza przypisuje działania grupy do rosyjskich interesów związanych z wojną przeciwko Ukrainie. Jednocześnie zespół odpowiedzialny za kampanie nie prezentuje dyscypliny typowej dla najbardziej zaawansowanych aktorów państwowych. Widoczne są ślady języka rosyjskiego, konfiguracje środowisk powiązane ze strefą UTC+3 oraz cechy kojarzone z wcześniejszymi klastrami cyberprzestępczymi. To wzmacnia hipotezę, że GREYVIBE funkcjonuje w modelu hybrydowym, łączącym interes państwowy z praktykami środowiska cybercrime.

Analiza techniczna

Najważniejszym wyróżnikiem GREYVIBE jest wykorzystanie AI na wielu etapach operacji. Obejmuje to generowanie obrazów używanych w kampaniach socjotechnicznych, tworzenie stron wabików, przygotowywanie skryptów obfuskacyjnych, budowę komponentów malware oraz wspieranie zaplecza serwerowego. Z punktu widzenia zespołów bezpieczeństwa oznacza to większą zmienność techniczną artefaktów i trudniejszą korelację incydentów na podstawie klasycznych wskaźników.

W kampanii PhantomMail atakujący wykorzystywali wiadomości spear phishingowe z odnośnikami do złośliwych archiwów przechowywanych w zewnętrznych usługach plikowych. Po uruchomieniu archiwum ofiara otrzymywała loader napisany w JavaScript lub spakowany przy użyciu PyInstaller. Mechanizm wyświetlał dokument-wabik albo komunikat błędu, a równolegle inicjował infekcję malware PhantomRelay.

PhantomClick bazował na technice przypominającej ClickFix. Ofiara trafiała na spreparowaną stronę CAPTCHA podszywającą się pod usługę konferencyjną lub platformę współpracy, po czym była nakłaniana do ręcznego uruchomienia poleceń pod pretekstem przejścia weryfikacji. W praktyce prowadziło to do zainstalowania PhantomRelay i uruchomienia kolejnych etapów kompromitacji.

Szczególnie nietypowy był zestaw działań określany jako PrincessClub. W tym scenariuszu grupa tworzyła fałszywe ukraińskie serwisy o charakterze randkowym lub erotycznym, które dostarczały FallSpy na Androida oraz warianty PhantomRelay lub LegionRelay na Windows. W późniejszych iteracjach witryny zyskały funkcję połączeń WebRTC, co mogło służyć do przechwytywania obrazu i dźwięku w czasie rzeczywistym. Taki model łączy dostarczanie malware z elementami zbierania informacji przypominającymi działania HUMINT.

Kampania DroneLink wykorzystywała strony podszywające się pod fundacje wspierające ukraińskie siły zbrojne i inicjatywy dronowe. W tych przypadkach ofiary otrzymywały komponenty powiązane z WireGuard oraz lekki RAT LegionRelay. Z kolei aktywność nazwana Nebo obejmowała próbki FallSpy oraz strony imitujące rosyjski wojskowy ekran logowania, prawdopodobnie w celu zwiększenia wiarygodności wabików wobec ukraińskiego personelu wojskowego.

PhantomRelay to modułowy RAT oparty na PowerShell, wykorzystujący komunikację WebSocket i pozwalający na wykonywanie poleceń systemowych oraz skryptów dostarczanych dynamicznie przez serwer C2. FallSpy działa jako spyware na Androidzie i umożliwia zbieranie kontaktów, historii połączeń, listy aplikacji, danych o urządzeniu, lokalizacji oraz plików multimedialnych. LegionRelay komunikuje się z infrastrukturą C2 przez REST API i wspiera działania po kompromitacji, takie jak enumeracja plików, eksfiltracja danych, wykonywanie zrzutów ekranu czy przygotowanie trwałego dostępu zdalnego.

W operacjach wykorzystywano również autorskie loadery i obfuskatory, w tym LOOKVALPS, LOOKVALJS, DAYLIGHT i TEASOUP. Częsta rotacja tych komponentów wskazuje na aktywne dostosowywanie narzędzi w celu utrudnienia detekcji. Jednocześnie właśnie tutaj ujawniły się błędy operatorów, takie jak wady projektowe LegionRelay, przesyłanie próbek testowych do publicznych serwisów analitycznych oraz pozostawianie artefaktów developerskich o nieformalnych nazwach. Te zaniedbania znacząco pomogły badaczom odtworzyć przebieg kampanii.

Konsekwencje / ryzyko

Ryzyko związane z GREYVIBE wynika z elastyczności kampanii i szerokiego zakresu celów. Atakujący dopasowują wabiki do kontekstu ofiary, korzystają z różnych kanałów wejścia i obejmują działaniami zarówno stacje robocze, jak i urządzenia mobilne. To zwiększa prawdopodobieństwo skutecznego przełamania zabezpieczeń i utrudnia budowanie jednolitego modelu obrony.

Dla organizacji największym zagrożeniem pozostaje cyberwywiad. Przejęcie komunikacji, dokumentów, danych lokalizacyjnych, zawartości urządzeń oraz informacji z aplikacji komunikacyjnych może prowadzić do ujawnienia informacji operacyjnych, identyfikacji personelu, mapowania relacji wewnętrznych oraz przygotowania kolejnych operacji, w tym działań dezinformacyjnych lub wspierających aktywność kinetyczną.

Dodatkowym problemem jest wykorzystanie AI do przyspieszania tworzenia nowych wariantów narzędzi. Nawet jeśli operatorzy popełniają błędy, zdolność do szybkiego generowania kodu, obrazów i infrastruktury skraca czas potrzebny do odtworzenia kampanii po wykryciu. Oznacza to, że mniej dojrzały aktor może utrzymywać skuteczność dzięki skali, szybkości adaptacji i niskim kosztom modyfikacji zaplecza.

Rekomendacje

Organizacje narażone na podobne działania powinny wdrożyć wielowarstwową ochronę obejmującą zarówno komponenty techniczne, jak i obszar świadomości użytkowników. Kluczowe jest ograniczanie możliwości uruchamiania ryzykownych skryptów, wzmacnianie kontroli ruchu wychodzącego oraz monitorowanie nietypowych zachowań na punktach końcowych.

Wzmocnić ochronę poczty i blokować archiwa oraz skrypty wysokiego ryzyka.
Monitorować uruchomienia PowerShell, Windows Script Host i ręcznie wklejane polecenia.
Inspekcjonować ruch do świeżo zarejestrowanych domen oraz nietypowych usług plikowych.
Uwzględnić w szkoleniach scenariusze ClickFix, fałszywe CAPTCHA, serwisy randkowe i spreparowane strony charytatywne.
Na urządzeniach mobilnych ograniczyć instalację aplikacji spoza oficjalnych źródeł i egzekwować polityki MDM.
W środowiskach podwyższonego ryzyka rozdzielać urządzenia służbowe i prywatne.
Zbierać szeroką telemetrię z punktów końcowych, aby wykrywać niestandardowe loadery i lekkie RAT-y.

Podsumowanie

GREYVIBE pokazuje, że skuteczne operacje cybernetyczne nie muszą być prowadzone wyłącznie przez aktorów o najwyższym poziomie zaawansowania. Dzięki systematycznemu wykorzystaniu AI grupa zwiększa tempo tworzenia narzędzi, poprawia wiarygodność socjotechniki i szybciej adaptuje kampanie do zmieniających się warunków.

Połączenie rosyjskiego kontekstu wywiadowczego, autorskiego malware, błędów operacyjnych i cech charakterystycznych dla cyberprzestępczości czyni z GREYVIBE zagrożenie trudne do jednoznacznej klasyfikacji, ale realnie niebezpieczne. Dla zespołów bezpieczeństwa oznacza to konieczność łączenia klasycznej ochrony technicznej z analizą behawioralną oraz regularnym przygotowywaniem użytkowników na coraz bardziej przekonujące techniki manipulacji.

Źródła

Security Affairs – Meet GREYVIBE, the Russian-Linked Hacking Group Using AI to Target Ukraine and Still Making Rookie Mistakes — https://securityaffairs.com/192877/apt/meet-greyvibe-the-russian-linked-hacking-group-using-ai-to-target-ukraine-and-still-making-rookie-mistakes.html
WithSecure Labs – GREYVIBE: A Russia-nexus group leveraging AI across state-aligned operations — https://labs.withsecure.com/publications/greyvibe

Kimsuky rozwija arsenał: HTTPSpy, HelloDoor i tunele VS Code w kampaniach przeciwko Korei Południowej

Wprowadzenie do problemu / definicja

Grupa Kimsuky, od lat łączona z działalnością wywiadowczą Korei Północnej, ponownie znalazła się w centrum uwagi analityków bezpieczeństwa. Najnowsze kampanie pokazują, że aktor rozwija zarówno własne rodziny złośliwego oprogramowania, jak i metody socjotechniczne oraz techniki utrzymywania dostępu w zaatakowanych środowiskach.

W centrum obserwowanych działań znalazł się HTTPSpy — trojan zdalnego dostępu wykorzystywany do wykonywania poleceń, transferu plików, robienia zrzutów ekranu i dalszej infiltracji systemów. Towarzyszą mu także nowe warianty backdoorów, takie jak HelloDoor i HttpMalice, oraz nadużywanie legalnych mechanizmów tunelowania, w tym funkcji Visual Studio Code Remote Tunneling.

W skrócie

Kimsuky prowadził kampanie wymierzone w organizacje wojskowe i biznesowe w Korei Południowej.
Ataki opierały się na fałszywych stronach instalatorów oprogramowania ochronnego oraz spreparowanych stronach spotkań online.
Kluczowym ładunkiem był HTTPSpy, rozbudowany RAT umożliwiający zdalne sterowanie systemem ofiary.
Badacze odnotowali również rozwój rodzin malware HelloDoor i HttpMalice.
Po kompromitacji wykorzystywano legalne narzędzia i tunele VS Code, co utrudnia wykrywanie incydentów.

Kontekst / historia

Kimsuky to jedna z najlepiej znanych grup APT powiązywanych z północnokoreańskimi operacjami szpiegowskimi. Od lat koncentruje się na celach o wysokiej wartości wywiadowczej, w tym administracji publicznej, sektorze obronnym, wojskowym, politycznym i przemysłowym.

W przeszłości operatorzy tej grupy wielokrotnie wykorzystywali spear-phishing, podszywanie się pod zaufane instytucje oraz malware ukrywane w skryptach, archiwach i pozornie legalnych instalatorach. Najnowsze kampanie wskazują jednak na dojrzalszy model operacyjny, oparty na selektywnym dostarczaniu kolejnych ładunków i aktywnym sprawdzaniu skuteczności infekcji.

HTTPSpy nie jest nowym narzędziem w arsenale Kimsuky, ale jego ponowne wykorzystanie w rozbudowanych kampaniach potwierdza, że grupa konsekwentnie rozwija wcześniej sprawdzone implanty i łączy je z nowymi mechanizmami operacyjnymi.

Analiza techniczna

W jednej z opisanych kampanii atakujący przygotowali fałszywą stronę imitującą portal pobierania oprogramowania zabezpieczającego wykorzystywanego w środowiskach firmowych. Ofierze prezentowano rzekome komponenty ochronne, takie jak zapora sieciowa czy moduł ochrony klawiatury. W rzeczywistości pobierane pliki wykonywalne uruchamiały złośliwe binaria podszywające się pod legalne elementy bezpieczeństwa.

Pierwszy etap infekcji prowadził do uruchomienia biblioteki DLL ładowanej przez regsvr32.exe. Następnie skrypt wsadowy usuwał artefakty początkowego etapu, ograniczając liczbę śladów na dysku. Załadowana biblioteka odpowiadała za ustanowienie trwałości z użyciem harmonogramu zadań oraz za komunikację z serwerem C2 w celu pobrania kolejnych komponentów.

Druga kampania wykorzystywała stronę podszywającą się pod środowisko spotkań Webex. Użytkownik otrzymywał komunikat sugerujący problem z kamerą i zachętę do pobrania rzekomego narzędzia naprawczego. W praktyce prowadziło to do pobrania zaszyfrowanego skryptu JSE, który przez PowerShell wdrażał pośredni downloader realizujący kontrole antyanalityczne, komunikację z infrastrukturą sterującą i pobranie dalszych modułów.

Sam HTTPSpy oferuje szeroki zestaw funkcji operacyjnych. Malware umożliwia wykonywanie poleceń systemowych, przesyłanie plików, tworzenie zrzutów ekranu, uruchamianie procesów, ładowanie komponentów bezpośrednio do pamięci oraz usuwanie własnych śladów. Taki zakres możliwości czyni go użytecznym zarówno w działaniach szpiegowskich, jak i w utrzymywaniu długotrwałej obecności w środowisku ofiary.

Na szczególną uwagę zasługuje technika określana jako JSONPing. Fałszywe strony mogły komunikować się z lokalnym serwerem uruchomionym przez malware na urządzeniu ofiary i w ten sposób weryfikować, czy infekcja zakończyła się powodzeniem. Jeśli nie, użytkownikowi prezentowano dalsze komunikaty nakłaniające do wykonania kolejnych działań. To połączenie socjotechniki i telemetrii infekcji w czasie rzeczywistym zwiększa skuteczność kampanii.

Równolegle badacze opisali ewolucję innych rodzin malware powiązanych z Kimsuky. HelloDoor, oparty na Rust wariant rodziny PebbleDash, zapewnia podstawowe możliwości wykonywania poleceń i kontroli systemu. HttpMalice rozszerza ten model o funkcje rozpoznania hosta, utrwalania, zrzutów ekranu, ładowania payloadów do pamięci oraz eksfiltracji wyników poleceń. W analizach pojawiają się również nazwy takie jak HttpTroy, AppleSeed czy HappyDoor, co sugeruje utrzymywanie przez aktora kilku równoległych klastrów narzędziowych.

Istotnym elementem kampanii było także nadużywanie legalnych usług i narzędzi administracyjnych. Zamiast klasycznego kanału C2 operatorzy korzystali między innymi z Visual Studio Code Remote Tunneling, a także innych mechanizmów zdalnego dostępu i tunelowania. Tego rodzaju aktywność może przypominać legalne działania administratorów lub deweloperów, przez co bywa trudniejsza do wykrycia przy użyciu klasycznych wskaźników kompromitacji.

Konsekwencje / ryzyko

Największe ryzyko dotyczy organizacji działających w sektorach o wysokiej wartości strategicznej, takich jak obronność, administracja, wojsko, przemysł, energetyka czy ochrona zdrowia. Kampanie Kimsuky pokazują wysoki poziom dopasowania przynęt do codziennych procesów biznesowych i komunikacyjnych ofiar.

Udana kompromitacja może skutkować długotrwałą obecnością napastnika w sieci, kradzieżą dokumentów, przejęciem danych uwierzytelniających, zbieraniem zrzutów ekranu, monitorowaniem aktywności użytkowników oraz ruchem bocznym do kolejnych systemów. Dodatkowym problemem jest wykorzystanie legalnych usług tunelowania, które utrudniają wychwycenie podejrzanej komunikacji.

Niepokojące jest także łączenie socjotechniki z wiedzą o rzeczywistych wydarzeniach, takich jak prawdziwe spotkania czy obieg dokumentów. Taki poziom dopasowania może wskazywać, że napastnicy już wcześniej uzyskali dostęp do kont, skrzynek pocztowych lub urządzeń uczestników komunikacji.

Rekomendacje

Organizacje powinny traktować kampanie wykorzystujące fałszywe instalatory i strony spotkań jako realne zagrożenie dla użytkowników biznesowych, kadry kierowniczej i administratorów. Skuteczna obrona wymaga podejścia wielowarstwowego.

Ograniczyć możliwość uruchamiania skryptów JSE, HTA, PIF, SCR i innych rzadko używanych formatów w środowisku użytkownika końcowego.
Monitorować użycie regsvr32.exe, PowerShell i harmonogramu zadań pod kątem nietypowych łańcuchów procesów oraz ładowania bibliotek DLL.
Wzmocnić ochronę poczty i przeglądarek przed phishingiem oraz regularnie szkolić użytkowników w rozpoznawaniu fałszywych stron spotkań online.
Objąć alertowaniem użycie narzędzi zdalnego dostępu i tunelowania, w tym funkcji deweloperskich, które nie są standardowo używane w organizacji.
Wdrożyć application allowlisting, ograniczenie uprawnień lokalnych oraz rozszerzoną telemetrykę EDR pod kątem ładowania payloadów do pamięci i mechanizmów trwałości.
Prowadzić regularny threat hunting pod kątem artefaktów związanych z HTTPSpy, PebbleDash, AppleSeed i pokrewnymi rodzinami malware.

Podsumowanie

Najnowsze kampanie Kimsuky pokazują, że grupa rozwija się zarówno technicznie, jak i operacyjnie. Łączenie skutecznej socjotechniki, modularnego malware, selektywnego dostarczania ładunków i nadużywania legalnych usług zdalnego dostępu tworzy trudne do wykrycia zagrożenie dla organizacji o wysokiej wartości wywiadowczej.

HTTPSpy pozostaje ważnym elementem tego arsenału, ale jeszcze istotniejszy jest szerszy obraz: Kimsuky nie opiera się na jednym narzędziu, lecz buduje elastyczny ekosystem implantów i technik pozwalających prowadzić długotrwałe operacje szpiegowskie w środowiskach o strategicznym znaczeniu.

Źródła

Ataki na FortiClient EMS: luka CVE-2026-35616 posłużyła do dystrybucji infostealera EKZ

Wprowadzenie do problemu / definicja

Aktywnie wykorzystywana podatność CVE-2026-35616 w FortiClient Enterprise Management Server (EMS) pokazuje, jak niebezpieczne może być przejęcie centralnej infrastruktury zarządzania punktami końcowymi. W tym przypadku napastnicy nie ograniczyli się do uzyskania dostępu do serwera zarządzającego, lecz wykorzystali go jako zaufany kanał do rozsyłania złośliwego oprogramowania do zarządzanych stacji roboczych. Kampania doprowadziła do wdrożenia nowego infostealera oznaczonego jako EKZ, podszywającego się pod legalną poprawkę dla oprogramowania Fortinet.

W skrócie

CVE-2026-35616 to krytyczna luka typu authentication bypass w FortiClient EMS.
Podatność umożliwia nieuwierzytelnionemu atakującemu wykonywanie działań administracyjnych, w tym zdalne uruchamianie poleceń lub kodu.
Napastnicy wykorzystywali przejęty serwer EMS do modyfikowania profili zdalnego dostępu i polityk endpointów.
Końcowym ładunkiem był infostealer EKZ kradnący dane z przeglądarek Chromium oraz Firefox.
Atak wyróżnia się użyciem legalnego, zaufanego kanału administracyjnego do dystrybucji malware.

Kontekst / historia

FortiClient EMS pełni rolę centralnego systemu zarządzania agentami FortiClient, politykami bezpieczeństwa oraz konfiguracją połączeń VPN. Tego typu platformy są wyjątkowo atrakcyjnym celem dla cyberprzestępców, ponieważ kompromitacja pojedynczego serwera może przełożyć się na szeroki wpływ na całe środowisko organizacji.

Podatność CVE-2026-35616 została publicznie powiązana z aktywnymi atakami na początku kwietnia 2026 roku. Producent potwierdził wykorzystanie luki w rzeczywistych kampaniach i opublikował awaryjne poprawki dla podatnych wersji 7.4.5 oraz 7.4.6. Jednocześnie wskazano, że linia 7.2 nie została objęta tym problemem. Sprawa zyskała dodatkową wagę po pilnych ostrzeżeniach dla administracji federalnej USA oraz doniesieniach o dużej liczbie publicznie dostępnych instancji EMS wystawionych do Internetu.

Z czasem analizy incydentów pokazały, że luka nie była używana wyłącznie do uzyskania dostępu administracyjnego. Atakujący zaczęli wykorzystywać centralne mechanizmy zarządzania FortiClient do masowego dostarczania złośliwego kodu na zarządzane endpointy, znacząco zwiększając skalę oddziaływania pojedynczej kompromitacji.

Analiza techniczna

Źródłem problemu jest nieprawidłowa kontrola dostępu w interfejsach API FortiClient EMS. W praktyce oznacza to możliwość wykonywania operacji administracyjnych bez poprawnego uwierzytelnienia. Po skutecznym obejściu mechanizmów dostępowych napastnik może ingerować w konfigurację systemu oraz polityki stosowane wobec agentów końcowych.

W obserwowanej kampanii łańcuch ataku przebiegał według powtarzalnego schematu. Najpierw napastnik wykorzystywał CVE-2026-35616 do uzyskania nieautoryzowanego dostępu do funkcji administracyjnych EMS. Następnie modyfikował profil Remote Access Profile i polityki endpointów, dodając skrypt uruchamiany po zestawieniu połączenia VPN. Po ustanowieniu tunelu IPsec komponent FortiClient uruchamiał skrypt wsadowy przy użyciu procesów systemowych, a ten wywoływał zakodowany w Base64 payload PowerShell. Kolejnym etapem było pobranie pliku wykonywalnego podszywającego się pod legalną poprawkę endpointową, który finalnie uruchamiał infostealera EKZ.

Istotne jest to, że złośliwy kod nie był dostarczany przez phishing ani przez odrębne włamanie na każdą stację. Dystrybucja odbywała się za pośrednictwem zaufanego kanału administracyjnego. W efekcie każdy zarządzany endpoint mógł stać się celem wykonania malware bez wzbudzania natychmiastowych podejrzeń użytkownika.

Sam EKZ Infostealer koncentruje się na kradzieży danych z przeglądarek. Obejmuje to zapisane hasła, ciasteczka sesyjne, dane autouzupełniania, informacje adresowe oraz dane kart płatniczych. Obsługiwane są zarówno przeglądarki oparte na Chromium, jak i Firefox. Szczególnie niebezpieczna jest zdolność do pozyskiwania ciasteczek i innych danych wspierających przejęcie aktywnych sesji, co może ograniczać skuteczność części mechanizmów MFA.

W analizach incydentów zwracano uwagę na sygnały ostrzegawcze w logach EMS. Jednym z ważniejszych wskaźników był komunikat o braku certyfikatu w nagłówku żądania, po którym mogły następować nietypowe operacje związane z certyfikatami i zmianami konfiguracji. Dodatkowo obserwowano logowania z infrastruktury VPS, z węzłów Tor oraz nieoczekiwane modyfikacje profili zdalnego dostępu.

Konsekwencje / ryzyko

Skutki kompromitacji FortiClient EMS są znacznie poważniejsze niż przejęcie pojedynczego hosta. W tym scenariuszu naruszona zostaje zaufana płaszczyzna zarządzania, która może posłużyć do równoczesnego wdrożenia złośliwych skryptów na wielu stacjach roboczych i systemach klienckich.

masowa dystrybucja malware do zarządzanych endpointów,
kradzież poświadczeń z przeglądarek i aplikacji webowych,
przejęcie sesji przy użyciu ciasteczek uwierzytelniających,
wtórny dostęp do usług chmurowych, paneli administracyjnych i aplikacji wewnętrznych,
ryzyko dalszego ruchu bocznego lub eskalacji do ransomware,
utrata integralności konfiguracji bezpieczeństwa dystrybuowanej centralnie.

Z perspektywy operacyjnej szczególnie niebezpieczne jest to, że część aktywności może przypominać legalne działania administracyjne. Jeśli organizacja nie monitoruje zmian w profilach VPN, uruchomień PowerShell inicjowanych przez komponenty FortiClient oraz nietypowych logowań do konsoli EMS, naruszenie może pozostać niewykryte przez dłuższy czas.

Rekomendacje

Organizacje korzystające z FortiClient EMS powinny potraktować ten typ incydentu jako zagrożenie dla całej floty zarządzanych urządzeń, a nie wyłącznie dla jednego serwera aplikacyjnego. Reakcja powinna obejmować zarówno działania naprawcze po stronie EMS, jak i szeroką weryfikację endpointów.

niezwłocznie zainstalować poprawki bezpieczeństwa lub przeprowadzić aktualizację do wersji wolnej od problemu,
sprawdzić, czy instancja EMS była wystawiona bezpośrednio do Internetu,
przeanalizować logi EMS pod kątem anomalii związanych z certyfikatami i próbami obejścia uwierzytelnienia,
zweryfikować ostatnie zmiany w profilach Remote Access Profile, politykach endpointów i skryptach uruchamianych po zestawieniu tunelu VPN,
monitorować uruchomienia cmd.exe i powershell.exe inicjowane przez procesy FortiClient,
poszukiwać artefaktów w katalogach związanych z logowaniem i skryptami klienta oraz podejrzanych plików w katalogach systemowych,
wykrywać połączenia HTTP do surowych adresów IP oraz sekwencje obejmujące pobranie, uruchomienie i eksfiltrację danych,
sprawdzić, czy nie pojawiły się nowe konta administracyjne lub logowania z nietypowych lokalizacji i ASN,
wymusić reset poświadczeń użytkowników przy podejrzeniu kradzieży danych z przeglądarek,
unieważnić aktywne sesje w systemach SaaS i aplikacjach wewnętrznych, aby ograniczyć skutki przejęcia ciasteczek.

W środowiskach o podwyższonych wymaganiach bezpieczeństwa warto dodatkowo odseparować płaszczyznę zarządzania EMS od sieci publicznej, ograniczyć dostęp administracyjny za pomocą segmentacji i list dozwolonych adresów oraz wdrożyć reguły detekcji skupione na nietypowych modyfikacjach centralnie dystrybuowanej konfiguracji VPN.

Podsumowanie

Kampania wykorzystująca CVE-2026-35616 przeciwko FortiClient EMS pokazuje, że atak na system zarządzający może mieć skutki porównywalne z naruszeniem o charakterze domenowym. Po obejściu uwierzytelnienia napastnicy użyli legalnych funkcji platformy do wypchnięcia infostealera EKZ na zarządzane endpointy, znacząco zwiększając skalę i skuteczność operacji.

Dla zespołów bezpieczeństwa kluczowy wniosek jest jasny: kompromitacja systemu EDR, UEM, MDM czy platformy zarządzania klientami VPN nie powinna być traktowana jak zwykły incydent serwerowy. Wymaga szybkiego łatania, monitorowania zmian konfiguracyjnych, analizy procesów potomnych uruchamianych przez agentów końcowych oraz założenia, że wszystkie zarządzane hosty mogły zostać narażone.

Źródła

GREYVIBE: rosyjskojęzyczna grupa wykorzystuje AI do cyberataków wymierzonych w Ukrainę

Wprowadzenie do problemu / definicja

GREYVIBE to nowo opisana grupa zagrożeń prowadząca operacje wymierzone w Ukrainę oraz podmioty powiązane z sektorem wojskowym, publicznym, cywilnym i biznesowym. Jej działalność wyróżnia łączenie klasycznych technik cyberwywiadowczych z wykorzystaniem narzędzi opartych na generatywnej sztucznej inteligencji, co pozwala szybciej przygotowywać infrastrukturę, przynęty socjotechniczne i komponenty złośliwego oprogramowania.

Z perspektywy obrońców jest to istotny sygnał zmiany w krajobrazie zagrożeń. Automatyzacja części procesu operacyjnego przez modele AI skraca czas potrzebny na tworzenie nowych wariantów malware i utrudnia wykrywanie kampanii wyłącznie na podstawie znanych sygnatur.

W skrócie

GREYVIBE prowadzi aktywne operacje co najmniej od sierpnia 2025 roku.
Grupa wykorzystuje spear phishing, fałszywe strony CAPTCHA, strony podszywające się pod ukraińskie podmioty oraz malware na Windows i Androida.
W arsenale aktora znalazły się m.in. PhantomRelay, LegionRelay i FallSpy.
Badacze wskazują, że modele AI i LLM wspierają rozwój elementów operacyjnych, obfuskację i przygotowanie infrastruktury.
Celem działań wydaje się przede wszystkim pozyskiwanie informacji wywiadowczych oraz utrzymywanie dostępu do środowisk ofiar.

Kontekst / historia

GREYVIBE wpisuje się w szerszy krajobraz operacji prowadzonych w interesie Federacji Rosyjskiej w kontekście wojny rosyjsko-ukraińskiej. Profil ofiar sugeruje ukierunkowanie na długotrwałe rozpoznanie i pozyskiwanie danych, a nie wyłącznie na destrukcję systemów czy szybki zysk finansowy.

Jednocześnie grupa nie sprawia wrażenia w pełni dojrzałego, jednolitego zespołu państwowego. Analitycy zwracają uwagę na błędy operacyjne, ślady testowych wersji malware oraz relacje z szerszym ekosystemem cyberprzestępczym. Taki model hybrydowy utrudnia jednoznaczną atrybucję i pokazuje, że granica między klasycznym APT a grupą przestępczą staje się coraz mniej wyraźna.

Analiza techniczna

GREYVIBE korzysta z kilku łańcuchów infekcji dostosowanych do rodzaju ofiary i wykorzystywanej platformy. W kampanii określanej jako PhantomMail stosowano wiadomości spear phishingowe zawierające odnośniki do archiwów ZIP lub RAR. Wewnątrz znajdował się loader JavaScript, który uruchamiał dokument-wabik i wdrażał komponent PhantomRelay. Ten pełnił rolę zdalnego trojana dostępowego opartego na PowerShell, umożliwiającego profilowanie hosta oraz wykonywanie poleceń systemowych.

Wariant PhantomClick bazował na stronach podszywających się pod legalne usługi i wykorzystywał mechanikę fałszywego CAPTCHA w stylu ClickFix. Ofiara była nakłaniana do samodzielnego uruchomienia poleceń, co prowadziło do wdrożenia kolejnego etapu infekcji. To przykład skutecznego połączenia socjotechniki z techniką living-off-the-land, ponieważ część działań wykonywano przy użyciu natywnych mechanizmów Windows.

Kampania PrincessClub wykorzystywała fałszywe strony ukraińskich klubów dla dorosłych. W zależności od urządzenia ofiara otrzymywała spyware FallSpy dla Androida albo malware PhantomRelayV1 i LegionRelay dla Windows. Późniejsze wersje stron zawierały też funkcję połączenia na żywo opartą na WebRTC, co mogło zwiększać wiarygodność przynęty i wspierać przechwytywanie audio lub wideo.

FallSpy został opisany jako spyware dla Androida nastawiony na pozyskiwanie wrażliwych danych z urządzenia. LegionRelay to z kolei lekki RAT oparty na PowerShell, obsługujący enumerację plików, eksfiltrację danych, wykonywanie zrzutów ekranu, kradzież danych z przeglądarek, pozyskiwanie informacji z komunikatorów oraz konfigurację dostępu RDP. PhantomRelayV1 rozwija te możliwości o mechanizmy trwałości, w tym niestandardowy watchdog.

W łańcuchu DroneLink atakujący wykorzystywali strony podszywające się pod fundacje charytatywne wspierające ukraińskie siły zbrojne. Celem było dostarczenie komponentów takich jak WireGuard i LegionRelay, co może wskazywać na próbę zestawienia trwałego kanału komunikacyjnego lub tunelowania ruchu po skutecznej kompromitacji.

Opisano również kampanię Nebo, w której próbka FallSpy imitowała rosyjskojęzyczny ekran logowania. Taki zabieg mógł służyć dezorientacji ofiar i budowaniu wrażenia pracy w wiarygodnym środowisku.

Najciekawszym aspektem technicznym pozostaje wykorzystanie AI do wspierania rozwoju operacji. Badacze wskazali, że generatywna sztuczna inteligencja mogła być używana do tworzenia grafik, rozwijania komponentów LegionRelay, przygotowywania loaderów i skryptów obfuskacyjnych, budowy zaplecza infrastrukturalnego oraz opracowywania komend wykorzystywanych po uzyskaniu dostępu. Jednocześnie analiza próbek ujawniła błędy projektowe i ślady niedojrzałości, co pokazuje, że przyspieszenie developmentu nie zawsze oznacza wysoką jakość operacyjną.

Konsekwencje / ryzyko

Działania GREYVIBE zwiększają presję na organizacje funkcjonujące w regionach objętych konfliktem oraz na podmioty współpracujące z administracją, wojskiem i sektorem pomocowym. Zagrożenie nie ogranicza się do utraty poufności danych. Obejmuje także długotrwałe rozpoznanie środowiska, kradzież danych uwierzytelniających, przejęcie komunikacji oraz wykorzystanie legalnych kanałów zdalnego dostępu do dalszej penetracji infrastruktury.

Szczególnie niebezpieczne jest łączenie wielu wektorów dostępu: phishingu, stron-wabików, infekcji mobilnych oraz komponentów PowerShell wdrażanych na stacjach roboczych. Taka wielowarstwowość zwiększa odporność kampanii na punktowe działania obronne i utrudnia pełne odtworzenie przebiegu incydentu.

Dodatkowym wyzwaniem jest rozwój malware wspomagany przez AI. Jeżeli aktor potrafi szybko przebudowywać loadery, skrypty i infrastrukturę, tradycyjne metody detekcji oparte na stałych sygnaturach mogą okazać się niewystarczające. Dla zespołów SOC oznacza to konieczność większego oparcia się na analizie zachowań, korelacji telemetrii i wykrywaniu anomalii.

Rekomendacje

Organizacje narażone na podobne kampanie powinny w pierwszej kolejności wzmocnić ochronę poczty i komunikacji użytkowników. W praktyce oznacza to rygorystyczne filtrowanie załączników i archiwów, sandboxing wiadomości oraz wdrożenie mechanizmów wykrywania phishingu ukierunkowanego.

W środowiskach Windows warto ograniczyć wykonywanie nieautoryzowanych skryptów PowerShell, monitorować uruchamianie interpreterów skryptowych oraz wykrywać nietypowe sekwencje poleceń kopiowanych przez użytkownika do okien dialogowych i terminali. Szkolenia z zakresu awareness powinny obejmować nie tylko klasyczne wiadomości phishingowe, ale także scenariusze fałszywych stron CAPTCHA i technik ClickFix.

Niezbędne jest również monitorowanie anomalii związanych z RDP, tworzeniem tuneli sieciowych, wykorzystaniem narzędzi zdalnego dostępu oraz próbami eksfiltracji danych z przeglądarek i komunikatorów. W przypadku urządzeń mobilnych należy egzekwować polityki MDM, ograniczać instalację aplikacji spoza zaufanych źródeł i analizować uprawnienia aplikacji pod kątem dostępu do wiadomości, mikrofonu, aparatu i pamięci urządzenia.

Budować reguły behawioralne dla uruchomień JavaScript z archiwów pobranych z internetu.
Monitorować nietypową aktywność PowerShell po otwarciu dokumentów lub stron phishingowych.
Wykrywać połączenia WebRTC inicjowane przez mało znane domeny.
Analizować nagłe tworzenie zdalnych kanałów administracyjnych i tuneli.
Łączyć telemetrię z hostów, poczty, proxy, EDR i urządzeń mobilnych.

Podsumowanie

GREYVIBE pokazuje, że współczesne operacje cyberwywiadowcze coraz częściej łączą klasyczne techniki infekcji z szybkim rozwojem komponentów wspomaganym przez sztuczną inteligencję. Grupa atakuje cele związane z Ukrainą, wykorzystuje zróżnicowane łańcuchy dostępu i działa na styku cyberprzestępczości oraz aktywności powiązanej z interesami państwowymi.

Dla obrońców najważniejszy wniosek jest praktyczny: sama znajomość nazw malware nie wystarcza. Skuteczna obrona wymaga monitorowania zachowań, ograniczania możliwości wykonywania skryptów, wzmacniania bezpieczeństwa urządzeń mobilnych oraz ciągłego dostosowywania detekcji do kampanii, które mogą dynamicznie zmieniać swoje artefakty techniczne dzięki użyciu AI.

Źródła

Malware do kopania kryptowalut atakuje przez SEO poisoning i rekomendacje chatbotów AI

Wprowadzenie do problemu / definicja

Nowa kampania cryptojackingowa pokazuje, że klasyczne SEO poisoning rozszerza się na kolejny obszar: odpowiedzi generowane przez chatboty AI. Atakujący podszywają się pod popularne narzędzia systemowe, diagnostyczne i związane z obsługą GPU, aby nakłonić użytkowników do pobrania spreparowanych pakietów instalacyjnych. Celem nie jest przypadkowa, masowa infekcja, lecz przejęcie komputerów o wysokiej mocy obliczeniowej, które można wykorzystać do kopania kryptowalut.

To istotna zmiana w krajobrazie zagrożeń, ponieważ użytkownicy coraz częściej traktują odpowiedzi asystentów AI jako skrót do zaufanych źródeł. Jeśli model wskaże złośliwą domenę lub użytkownik bez weryfikacji kliknie rekomendowany wynik, ryzyko skutecznej kompromitacji znacząco rośnie.

W skrócie

Badacze Microsoft opisali aktywną kampanię wymierzoną w osoby pobierające znane narzędzia do monitorowania sprzętu, testów GPU i zarządzania sterownikami. Złośliwe strony są promowane przez manipulację wynikami wyszukiwania, a część obserwacji wskazuje również na ich obecność w odpowiedziach chatbotów AI rekomendujących źródła pobrań.

Po uruchomieniu spreparowanego archiwum ofiara instaluje legalny program wraz ze złośliwą biblioteką DLL. Następnie na system wdrażane są komponenty zdalnego dostępu, mechanizmy trwałości, techniki ukrywania procesu oraz moduły do kopania kryptowalut z użyciem GPU.

Kontekst / historia

SEO poisoning od lat pozostaje skuteczną metodą dystrybucji malware. Mechanizm polega na sztucznym promowaniu złośliwych stron w wynikach wyszukiwania dla popularnych fraz związanych z pobieraniem oprogramowania, sterowników, cracków czy narzędzi administracyjnych. W tej kampanii operatorzy skupili się na markach dobrze znanych entuzjastom komputerów, overclockerom i użytkownikom stacji roboczych.

To nieprzypadkowy wybór. Taka grupa docelowa częściej korzysta z wydajnych kart graficznych, a więc z zasobów szczególnie atrakcyjnych dla cryptojackingu. Według ustaleń Microsoft od marca 2026 roku zidentyfikowano ponad 150 złośliwych domen powiązanych z tym łańcuchem infekcji. W kwietniu 2026 roku pojawiły się też przesłanki, że niektórzy użytkownicy trafiali na domeny napastników po interakcjach z narzędziami opartymi na dużych modelach językowych.

Analiza techniczna

Łańcuch ataku rozpoczyna się od wyszukania legalnego narzędzia. Użytkownik trafia na stronę imitującą oficjalny serwis i pobiera archiwum ZIP zawierające prawidłowy plik wykonywalny oraz złośliwą bibliotekę DLL. Taki model umożliwia połączenie wiarygodności legalnej aplikacji z uruchomieniem szkodliwego kodu bez natychmiastowego wzbudzania podejrzeń.

Zgodnie z analizą Microsoft złośliwa biblioteka wykorzystuje proces instalacji do wdrożenia komponentu zdalnego dostępu opartego na narzędziu ScreenConnect. Samo oprogramowanie nie jest z natury złośliwe, jednak w tym scenariuszu służy do utrzymania trwałego dostępu do przejętego hosta. Po ustanowieniu sesji operator dostarcza kolejne pliki, w tym binarium określane jako SimpleRunPE.exe, które kopiuje się jako RuntimeHost.exe do ukrytego katalogu i tworzy wiele mechanizmów autostartu.

Jednym z ważniejszych elementów kampanii jest process hollowing. Złośliwy kod trafia do legalnych, podpisanych plików binarnych platformy .NET oraz narzędzi systemowych Windows, co utrudnia wykrycie oparte wyłącznie na reputacji plików. Badacze wskazali między innymi na wykorzystanie procesów InstallUtil.exe, RegAsm.exe, RegSvcs.exe i MSBuild.exe. Dodatkowo malware uruchamia PowerShell, aby dodać własną ścieżkę i proces do wyjątków rozwiązania ochronnego.

Próbki zawierają także mechanizmy antyanalityczne. Malware sprawdza obecność środowisk wirtualnych i procesów związanych z analizą bezpieczeństwa. W przypadku ich wykrycia kończy działanie, ograniczając skuteczność analizy w laboratoriach oraz sandboxach.

Ostatnim etapem jest monetyzacja. Na zaatakowany system pobierane są moduły górnicze obsługujące kopanie kryptowalut na GPU, w tym gminer, lolMiner oraz SRBMiner-MULTI. To pokazuje, że operatorzy chcą maksymalizować zysk z pojedynczej infekcji, wykorzystując moc obliczeniową nowoczesnych kart graficznych zamiast skupiać się wyłącznie na CPU.

Konsekwencje / ryzyko

Ryzyko nie ogranicza się do spadku wydajności komputera. Wdrożenie legalnego narzędzia zdalnego dostępu oznacza, że napastnik może rozbudować kompromitację, dostarczyć dodatkowe malware, kraść dane lub poruszać się ręcznie po środowisku. Obecność mechanizmów trwałości i wyjątków w systemach ochronnych zwiększa szansę, że infekcja będzie aktywna przez dłuższy czas i pozostanie niezauważona.

Z perspektywy operacyjnej cryptojacking na GPU oznacza wysokie zużycie energii, przeciążenie podzespołów, spadek stabilności stacji roboczych i potencjalne skrócenie żywotności sprzętu. Szczególnie dotkliwe może to być w organizacjach korzystających z wydajnych kart graficznych w zespołach projektowych, inżynieryjnych, data science, AI i produkcji multimediów.

Dodatkowym zagrożeniem jest sam kanał socjotechniczny. Jeśli użytkownicy zaczną traktować chatboty AI jako równoważne z oficjalnym źródłem pobierania programów, powierzchnia ataku wyraźnie się zwiększy. W praktyce oznacza to, że bezpieczeństwo procesu pozyskiwania oprogramowania staje się dziś nie tylko problemem wyszukiwarek, ale też narzędzi generatywnej AI.

Rekomendacje

Podstawową zasadą powinno być pobieranie oprogramowania wyłącznie z oficjalnych stron producentów oraz z zatwierdzonych repozytoriów firmowych. W środowiskach organizacyjnych warto wdrożyć politykę allowlistingu dla narzędzi administracyjnych i użytkowych, szczególnie tych często instalowanych poza standardowym procesem IT.

Należy monitorować użycie legalnych narzędzi zdalnego dostępu, takich jak ScreenConnect, zwłaszcza jeśli pojawiają się na stacjach roboczych bez uzasadnienia biznesowego. Alarmujące powinny być również nietypowe uruchomienia procesów .NET i narzędzi systemowych charakterystyczne dla process hollowing, a także modyfikacje wyjątków w rozwiązaniach ochronnych wykonywane przez PowerShell.

nagłe i nietypowe wykorzystanie GPU na stacjach roboczych, szczególnie poza godzinami pracy,
uruchamianie narzędzi takich jak gminer, lolMiner lub SRBMiner-MULTI,
tworzenie wielu wpisów autostartu i ukrytych katalogów użytkownika,
uruchamianie legalnych aplikacji wraz z podejrzanymi bibliotekami DLL w tym samym katalogu,
nieoczekiwane sesje zdalne i transfery plików inicjowane przez narzędzia wsparcia technicznego.

Ważna jest też edukacja użytkowników. Wyszukiwarki i chatboty AI nie powinny być traktowane jako ostateczne źródło zaufania dla linków do instalatorów. Jeśli pracownik korzysta z asystenta AI do znalezienia programu, powinien zweryfikować dostawcę i samodzielnie przejść do oficjalnej witryny producenta, zamiast klikać pierwszy wskazany odnośnik.

Podsumowanie

Opisana kampania pokazuje, że znane techniki dystrybucji malware skutecznie adaptują się do nowych kanałów. SEO poisoning nadal działa, ale dziś może być wzmacniane przez odpowiedzi generowane przez narzędzia AI, jeśli źródła nie są odpowiednio weryfikowane. Technicznie atak łączy podszywanie się pod legalne oprogramowanie, DLL sideloading, nadużycie narzędzia zdalnego dostępu, trwałość, process hollowing, unikanie analizy i końcowe kopanie kryptowalut na GPU.

Dla zespołów bezpieczeństwa to sygnał, że należy monitorować nie tylko klasyczne próbki malware, lecz także nadużycia legalnych narzędzi oraz anomalie związane z pozyskiwaniem oprogramowania. W erze generatywnej AI kontrola źródeł pobrań staje się jednym z kluczowych elementów cyberhigieny.

Źródła

BleepingComputer – GPU mining malware spreads via SEO poisoning, AI chatbots — https://www.bleepingcomputer.com/news/security/gpu-mining-malware-spreads-via-seo-poisoning-ai-chatbots/
Microsoft Security Blog – From poisoned search results to GPU mining: A cryptojacking campaign abusing ScreenConnect and Microsoft .NET utilities — https://www.microsoft.com/en-us/security/blog/2026/05/26/poisoned-search-results-gpu-mining-cryptojacking-campaign-abusing-screenconnect-microsoft-net-utilities/
ScreenConnect – Remote Support & Access Solutions — https://www.screenconnect.com/