Archiwa: PowerShell - Strona 3 z 52

SleeperGem: złośliwe pakiety RubyGems atakują stacje robocze deweloperów

Wprowadzenie do problemu / definicja

Ataki na łańcuch dostaw oprogramowania pozostają jednym z najpoważniejszych zagrożeń dla zespołów deweloperskich i organizacji opierających proces wytwarzania na otwartych ekosystemach pakietów. Kampania SleeperGem pokazuje, że rejestr RubyGems może zostać wykorzystany do dystrybucji złośliwego kodu podszywającego się pod legalne biblioteki i narzędzia używane w codziennej pracy programistów.

W tym przypadku celem nie były wyłącznie pipeline’y CI/CD, lecz przede wszystkim stacje robocze deweloperów. To istotna zmiana perspektywy, ponieważ właśnie na takich hostach często znajdują się klucze SSH, tokeny dostępowe, poświadczenia chmurowe oraz inne sekrety pozwalające napastnikom rozszerzyć zasięg kompromitacji.

W skrócie

Badacze ujawnili kampanię SleeperGem wykorzystującą trzy złośliwe pakiety RubyGems.
Jeden z pakietów podszywał się pod znane narzędzie związane z obsługą poświadczeń Git.
Dwa kolejne dotyczyły starszych projektów, które po długim okresie bez aktywności otrzymały złośliwe aktualizacje.
Loader sprawdzał, czy działa w środowisku CI, a po wykryciu stacji roboczej dewelopera pobierał dalsze komponenty infekcji.
Malware próbował uzyskać trwałość, działać w tle i w wybranych przypadkach eskalować uprawnienia.

Kontekst / historia

Kampania SleeperGem wpisuje się w szerszy trend nadużyć w publicznych rejestrach pakietów open source. Atakujący coraz częściej wykorzystują zaufanie do popularnych ekosystemów, publikując pakiety o mylących nazwach, przejmując porzucone konta maintainerów lub modyfikując starsze projekty, które przestały być aktywnie nadzorowane.

W analizowanym przypadku szczególne znaczenie mają dwa elementy. Po pierwsze, jeden z pakietów został nazwany w sposób przypominający legalne narzędzie używane przez deweloperów, co zwiększało szansę na nieświadomą instalację. Po drugie, część zainfekowanych gemów była przez lata nieaktywna, a następnie otrzymała nowe, złośliwe wydania. To klasyczny przykład wykorzystania „uśpionych” projektów jako nośnika ataku supply chain.

Dodatkowo złośliwy pakiet został dodany jako zależność do innych bibliotek, co zwiększało zasięg kampanii. Oznacza to, że ryzyko nie ograniczało się wyłącznie do ręcznego pobrania podejrzanego gema, ale obejmowało również pośrednią instalację przez drzewo zależności.

Analiza techniczna

Od strony technicznej SleeperGem działał wieloetapowo. Złośliwe wydania pełniły funkcję loaderów, czyli pierwszego komponentu odpowiedzialnego za pobranie i uruchomienie kolejnego etapu infekcji. Po instalacji lub załadowaniu biblioteki kod inicjował kontrole środowiskowe, w tym analizę zmiennych środowiskowych powiązanych z popularnymi systemami CI/CD.

Jeżeli malware wykrywał środowisko buildowe, przerywał działanie. Taka logika zmniejsza ryzyko wykrycia w krótkotrwałych runnerach i jednocześnie kieruje atak na systemy, które najczęściej zawierają trwałe sekrety oraz poświadczenia użytkowników technicznych.

Po zakwalifikowaniu hosta jako maszyny deweloperskiej loader pobierał dwa kolejne artefakty: skrypt powłoki oraz natywny plik wykonywalny. W środowisku Windows wykorzystane miało być uruchomienie przez PowerShell, natomiast w systemach uniksowych skrypt uruchamiał binarkę jako proces działający w tle.

Kolejny etap obejmował ustanowienie trwałości. Złośliwe oprogramowanie konfigurowało mechanizmy ponownego uruchamiania przy użyciu cron oraz usług użytkownika systemd. Taki zestaw technik pozwala osadzić proces w środowisku użytkownika bez konieczności natychmiastowego uzyskania pełnych uprawnień administracyjnych.

Szczególnie niebezpieczny był mechanizm sprawdzania członkostwa w grupach uprzywilejowanych oraz testowania możliwości użycia sudo bez hasła. Jeśli taka konfiguracja była dostępna, skrypt mógł ponownie uruchomić się z prawami roota. W tej fazie malware mogło również pozostawić binarkę setuid podszywającą się pod legalne narzędzie systemowe, co dawało trwały kanał eskalacji uprawnień.

Ważnym sygnałem ostrzegawczym był też model publikacji pakietów. Złośliwe wydania pojawiły się w rejestrze bez odpowiadających im commitów lub tagów w repozytoriach źródłowych, co może wskazywać na kompromitację procesu wydawniczego albo przejęcie kont maintainerskich.

Konsekwencje / ryzyko

Ryzyko związane z kampanią należy ocenić jako wysokie, ponieważ atak był wymierzony w stacje robocze deweloperów. Takie systemy często przechowują dane dostępowe do repozytoriów, chmur publicznych, narzędzi CI/CD, sieci VPN oraz środowisk produkcyjnych. Ich przejęcie może prowadzić do dalszej lateralizacji, sabotażu pipeline’ów, podpisywania złośliwych artefaktów lub wstrzyknięcia backdoora do legalnego kodu.

Dodatkowym problemem jest selektywność malware. Unikanie działania w środowiskach CI zmniejsza prawdopodobieństwo wykrycia przez standardowe mechanizmy bezpieczeństwa skupione na buildach i automatycznym sandboxingu. W praktyce ciężar obrony przesuwa się więc na ochronę stacji roboczych użytkowników technicznych.

Jeżeli złośliwy komponent uzyskał dostęp do sudo bez hasła lub pozostawił plik setuid, incydent należy traktować jako pełną kompromitację hosta. W takiej sytuacji samo usunięcie pakietu RubyGems nie jest wystarczające i konieczna staje się szersza analiza powłamaniowa oraz rotacja wszystkich sekretów dostępnych na urządzeniu.

Rekomendacje

Organizacje korzystające z RubyGems powinny przeprowadzić pilny przegląd zależności pod kątem wskazanych pakietów i ich wersji. Należy sprawdzić zarówno pliki Gemfile oraz Gemfile.lock, jak i zależności pośrednie pobrane na stacje robocze oraz zapisane wewnętrznie w cache’ach artefaktów.

W środowiskach, w których wykryto instalację zainfekowanych gemów, host powinien zostać odizolowany i potraktowany jako potencjalnie naruszony. Działania reagowania powinny obejmować:

usunięcie złośliwych pakietów i wszystkich pobranych przez nie komponentów,
weryfikację katalogów użytkownika pod kątem pozostawionych skryptów i binarek,
kontrolę wpisów cron oraz usług użytkownika systemd,
sprawdzenie obecności nieautoryzowanych plików setuid,
analizę logów shell, sudo, EDR i systemowych,
rotację haseł, tokenów API, kluczy SSH i poświadczeń chmurowych.

Po stronie prewencji warto wdrożyć kilka stałych kontroli bezpieczeństwa. Kluczowe znaczenie ma pinning wersji, formalny proces zatwierdzania nowych zależności oraz skanowanie pakietów pod kątem typosquattingu, przejęć kont maintainerów i nietypowych zmian publikacyjnych. Należy również ograniczać lokalne przechowywanie sekretów na stacjach deweloperskich i stosować rozwiązania oferujące krótkotrwałe tokeny dostępu.

Z perspektywy hardeningu szczególnie ważne jest wyłączenie konfiguracji sudo bez hasła tam, gdzie nie jest to absolutnie konieczne, monitorowanie tworzenia plików setuid oraz alertowanie o nowych zadaniach cron i usługach systemd uruchamianych w przestrzeni użytkownika. Rozszerzenie telemetrii EDR o zdarzenia związane z menedżerami pakietów i narzędziami developerskimi może znacząco poprawić szanse na szybką detekcję podobnych kampanii.

Podsumowanie

SleeperGem to dojrzały przykład ataku supply chain skierowanego bezpośrednio w środowiska programistyczne. Złośliwe pakiety RubyGems łączyły podszywanie się pod legalne komponenty, wykorzystanie porzuconych projektów oraz rozprzestrzenianie przez zależności pośrednie, aby uzyskać dostęp do stacji roboczych deweloperów.

Techniki antyanalityczne, mechanizmy trwałości przez cron i systemd oraz próby eskalacji uprawnień pokazują, że celem kampanii nie było jedynie jednorazowe wykonanie kodu, ale trwała kompromitacja hosta. Dla zespołów bezpieczeństwa to kolejny sygnał, że ochrona łańcucha dostaw musi obejmować nie tylko pipeline’y CI/CD, lecz także integralność publikacji pakietów, konta maintainerów i bezpieczeństwo samych stacji roboczych deweloperów.

Źródła

UAC-0145 wykorzystuje fałszywe CAPTCHA ClickFix do infekowania urządzeń na Ukrainie

Wprowadzenie do problemu / definicja

Kampanie typu ClickFix to jedna z bardziej podstępnych form socjotechniki obserwowanych we współczesnych operacjach cybernetycznych. Mechanizm polega na nakłonieniu użytkownika do samodzielnego uruchomienia złośliwego polecenia pod pozorem wykonania rutynowej czynności, takiej jak potwierdzenie CAPTCHA, naprawa błędu lub rzekoma weryfikacja bezpieczeństwa. W opisywanej kampanii technika ta została wykorzystana do infekowania urządzeń na Ukrainie przez aktora zagrożeń identyfikowanego jako UAC-0145.

Atak jest szczególnie niebezpieczny, ponieważ łączy kompromitację legalnych stron internetowych z precyzyjnie przygotowaną warstwą socjotechniczną. Dzięki temu ofiara często nie ma poczucia, że wykonuje działanie prowadzące do uruchomienia malware.

W skrócie

UAC-0145 wykorzystywał przejęte witryny do wyświetlania fałszywych ekranów CAPTCHA.
Użytkownicy byli nakłaniani do uruchomienia polecenia PowerShell, które inicjowało infekcję.
W kampanii odnotowano komponenty SCOUTCURL, FLUIDLEECH, LOADLOOP i backdoora FREAKYPOLL.
Atakujący stosowali filtrowanie ruchu i dynamiczne podstawianie złośliwej treści tylko wybranym ofiarom.
Równolegle obserwowano wariant mobilny dla Androida z backdoorem COWARDDUCK.

Kontekst / historia

UAC-0145 jest opisywany jako podklaster powiązany z aktywnością Sandworm, a więc środowiskiem przypisywanym rosyjskim operacjom cyberwywiadowczym. Dotychczas podobne kampanie opierały się często na trojanizowanych instalatorach, fałszywych aplikacjach ochronnych lub dokumentach przynętowych. Tym razem operatorzy postawili na model, w którym użytkownik sam inicjuje wykonanie złośliwego polecenia.

To istotna zmiana taktyczna. Zamiast polegać wyłącznie na klasycznym dostarczeniu szkodliwego pliku, napastnicy wykorzystują zaufanie do legalnie wyglądającej witryny i standardowych mechanizmów przeglądania sieci. Dodatkowo warunkowe serwowanie treści utrudnia analizę kampanii, ponieważ nie każdy odwiedzający zobaczy tę samą zawartość.

Analiza techniczna

Łańcuch infekcji rozpoczynał się od wejścia na skompromitowaną stronę internetową. Ofierze prezentowano fałszywy ekran CAPTCHA, który zamiast weryfikować użytkownika instruował go, aby uruchomił określone polecenie w systemie. W praktyce prowadziło to do wykonania komendy PowerShell pobierającej kolejne elementy ataku i zapisującej pliki odpowiedzialne za utrzymanie trwałości w systemie, między innymi w katalogu autostartu.

W analizowanych przypadkach wykorzystywano skrypt SCOUTCURL do wstępnego rozpoznania hosta. Następnie wdrażane były kolejne komponenty, takie jak FLUIDLEECH i LOADLOOP, pełniące funkcję loaderów. FLUIDLEECH miał dodatkowo podszywać się pod narzędzie do usuwania wirusów, co zwiększało wiarygodność całej operacji. Jednym z finalnych elementów był FREAKYPOLL, czyli backdoor napisany w Pythonie.

Operatorzy stosowali również mechanizmy utrudniające wykrycie infrastruktury i odtworzenie przebiegu ataku. Wskazywano na użycie narzędzia SMARTAXE do dynamicznej modyfikacji treści na stronie oraz techniki EtherHiding, w której informacje o zdalnym zasobie mogły być pobierane z kontraktu smart contract w sieci Ethereum. Taki model pozwala ukrywać część wskaźników poza tradycyjnym hostingiem i szybko zmieniać elementy infrastruktury.

Równolegle opisywano także działania wymierzone w urządzenia z Androidem. Złośliwe pliki APK były dystrybuowane przez komunikatory i podszywały się pod narzędzia bezpieczeństwa. Osadzony w nich backdoor COWARDDUCK potrafił pozyskiwać kontakty, dane geolokalizacyjne oraz pliki użytkownika z wybranych katalogów. To rozszerza zakres zagrożenia poza stacje robocze Windows i pokazuje wieloplatformowy charakter operacji.

Konsekwencje / ryzyko

Z perspektywy organizacji kampania niesie wysokie ryzyko, ponieważ wykorzystuje zachowanie użytkownika jako kluczowy element łańcucha ataku. Oznacza to, że część tradycyjnych zabezpieczeń nastawionych na blokowanie exploitów może nie zareagować odpowiednio wcześnie, jeśli ofiara sama uruchomi złośliwe polecenie.

Potencjalne skutki obejmują:

kradzież danych z zainfekowanego urządzenia,
utrwalenie dostępu do systemu przez atakującego,
rekonesans środowiska i przygotowanie dalszych etapów operacji,
wykorzystanie przejętego hosta do ruchu bocznego,
wyciek danych kontaktowych, lokalizacyjnych i plików w wariancie mobilnym.

Dla administracji publicznej, firm oraz podmiotów obsługujących infrastrukturę krytyczną taki scenariusz może oznaczać zarówno naruszenie poufności, jak i stworzenie przyczółka do dalszych działań wywiadowczych lub sabotażowych.

Rekomendacje

Podstawową rekomendacją jest wdrożenie jasnej zasady operacyjnej: użytkownicy nie powinni wykonywać poleceń kopiowanych ze stron internetowych, zwłaszcza gdy są one przedstawiane jako część CAPTCHA, aktualizacji, naprawy błędu lub procedury bezpieczeństwa. To prosty, ale bardzo skuteczny sposób ograniczania ryzyka kampanii typu ClickFix.

Na poziomie technicznym warto rozważyć:

ograniczenie użycia PowerShell i skryptów VBS przez użytkowników końcowych,
wdrożenie kontroli aplikacji i polityk allow-listing,
monitorowanie tworzenia plików w katalogach autostartu,
analizę nietypowych uruchomień interpretera skryptowego z kontekstu przeglądarki,
wykrywanie warunkowego serwowania treści na firmowych stronach WWW,
blokowanie instalacji aplikacji mobilnych spoza zaufanych źródeł.

Zespoły SOC powinny korelować telemetrię endpointów, ruchu sieciowego, DNS, proxy oraz aktywności użytkownika. Szczególną uwagę warto zwrócić na ręcznie inicjowane wykonania poleceń, nietypowe pobrania skryptów oraz mechanizmy ukrywania infrastruktury z użyciem usług zewnętrznych i technologii blockchain.

Podsumowanie

Kampania przypisywana UAC-0145 pokazuje, że ClickFix pozostaje skuteczną techniką dostarczania malware, zwłaszcza gdy zostaje połączona z kompromitacją legalnych stron, filtrowaniem ruchu i wieloetapową infrastrukturą. Atakujący wykorzystują nie tylko luki technologiczne, ale przede wszystkim podatność użytkowników na wiarygodnie przygotowaną socjotechnikę.

Dla obrońców kluczowe znaczenie mają edukacja użytkowników, ograniczenie możliwości uruchamiania skryptów, monitoring integralności witryn oraz detekcja zachowań charakterystycznych dla ręcznie wywoływanych infekcji. W obliczu rosnącej liczby podobnych operacji właśnie połączenie świadomości i kontroli technicznych daje największą szansę na skuteczną obronę.

Źródła

The Hacker News — UAC-0145 Uses ClickFix CAPTCHAs to Infect Ukrainian Devices wih Malware — https://thehackernews.com/2026/07/uac-0145-uses-clickfix-captchas-to.html
CERT-UA Alert cited in reporting on UAC-0145 campaign — https://cert.gov.ua/

Microsoft ostrzega przed wzrostem ataków z użyciem ACR Stealer

Wprowadzenie do problemu

ACR Stealer to złośliwe oprogramowanie typu infostealer, zaprojektowane do wykradania danych z urządzeń końcowych. Jego głównym celem są zapisane w przeglądarkach hasła, tokeny uwierzytelniające, ciasteczka sesyjne oraz dokumenty użytkowników, które mogą posłużyć do dalszych ataków na organizację.

Najnowsze obserwacje wskazują na wyraźny wzrost aktywności tej rodziny malware w środowiskach firmowych. Atakujący łączą socjotechnikę z wykorzystaniem natywnych narzędzi systemu Windows, co utrudnia wykrycie i zwiększa skuteczność kampanii.

W skrócie

Microsoft poinformował o nasileniu kampanii wykorzystujących ACR Stealer przeciwko klientom korporacyjnym. Aktywność była obserwowana od końca kwietnia do połowy czerwca 2026 roku i opierała się głównie na dwóch łańcuchach infekcji.

W obu wariantach ważną rolę odgrywała technika ClickFix, a także wykorzystanie WebDAV lub narzędzia MSHTA do uruchamiania silnie zaciemnionych skryptów PowerShell. Głównym celem operatorów pozostaje kradzież danych z przeglądarek, dokumentów biznesowych oraz plików z lokalnych i zsynchronizowanych katalogów użytkowników.

Kontekst i historia

ACR Stealer jest opisywany jako usługa malware-as-a-service, co oznacza, że jego twórcy mogą oferować narzędzie innym cyberprzestępcom w modelu abonamentowym lub partnerskim. Według dostępnych analiz istnieją przesłanki, że jest to rebranding wcześniej znanej rodziny Amatera Stealer.

Tego typu zmiany nazwy i infrastruktury są typowe dla współczesnego ekosystemu cyberprzestępczego. Utrudniają one korelację incydentów, spowalniają reakcję zespołów bezpieczeństwa i pozwalają operatorom malware szybciej odbudować działalność po ujawnieniu kampanii.

Kampanie powiązane z ACR Stealer wpisują się także w szerszy trend nadużywania legalnych komponentów systemowych. Zamiast klasycznych loaderów atakujący coraz częściej wykorzystują wbudowane narzędzia administracyjne i uruchamianie kodu w pamięci, aby ograniczyć liczbę artefaktów na dysku.

Analiza techniczna

Microsoft wskazał dwa najczęściej obserwowane łańcuchy dostarczenia ACR Stealer. Pierwszy rozpoczyna się od przynęty ClickFix, w której użytkownik jest nakłaniany do wykonania polecenia mającego rzekomo rozwiązać problem techniczny lub potwierdzić, że nie jest botem.

W praktyce takie działanie uruchamia zdalną bibliotekę DLL pobieraną z udziału WebDAV przy użyciu rundll32.exe. Atakujący konstruują ścieżki WebDAV tak, aby przypominały legalne zasoby, wykorzystując między innymi struktury katalogów oparte na identyfikatorach GUID.

Po nawiązaniu łączności z infrastrukturą kontrolowaną przez napastników wykonywany jest silnie zaciemniony skrypt PowerShell. Jego zadaniem jest uruchomienie instalatora malware, ustanowienie trwałości oraz przygotowanie środowiska do działania końcowego ładunku.

Mechanizmy persistence obejmują między innymi instalację dołączonego loadera w Pythonie, utworzenie zaplanowanego zadania podszywającego się pod aktualizację oprogramowania, manipulację znacznikami czasu oraz czyszczenie historii PowerShell. Ostatecznie ładunek jest wstrzykiwany do procesu systemowego i uruchamiany w pamięci.

Drugi łańcuch infekcji również wykorzystuje ClickFix, ale prowadzi do uruchomienia MSHTA, które pobiera złośliwą zawartość z serwera atakującego. Następnie wykonywany jest kolejny zaciemniony downloader PowerShell, a zaszyfrowany payload może zostać ukryty w publicznie hostowanym obrazie JPEG z użyciem steganografii.

Z punktu widzenia funkcjonalności ACR Stealer koncentruje się na przejęciu danych o wysokiej wartości:

haseł, cookies, tokenów i danych sesyjnych z przeglądarek,
danych chronionych przez DPAPI,
baz danych przeglądarek opartych na Chromium, takich jak Chrome i Edge,
dokumentów PDF oraz plików Microsoft 365,
plików z katalogów Pulpit i Pobrane,
danych z katalogów synchronizowanych z OneDrive i SharePoint.

Dodatkowo niektóre warianty wykorzystują publiczne usługi blockchain jako mechanizm dead-drop resolver do pobierania aktualnych lokalizacji payloadów lub adresów infrastruktury C2. Takie podejście zwiększa odporność zaplecza atakujących na blokowanie i utrudnia analizę ruchu.

Konsekwencje i ryzyko

Ryzyko związane z ACR Stealer wykracza daleko poza samą kradzież haseł. Pozyskane tokeny sesyjne, cookies i dane uwierzytelniające mogą umożliwić przejęcie aktywnych sesji bez konieczności ponownego logowania, a w niektórych scenariuszach także obejście części zabezpieczeń MFA.

Dla organizacji oznacza to możliwość szybkiej eskalacji incydentu od infekcji pojedynczej stacji roboczej do naruszenia usług chmurowych, repozytoriów dokumentów i zasobów współdzielonych. Szczególnie niebezpieczne jest ukierunkowanie na lokalnie zsynchronizowane katalogi OneDrive i SharePoint.

W praktyce może to prowadzić do wycieku dokumentacji projektowej, danych finansowych, materiałów HR, umów oraz informacji handlowych. Infostealer tego typu często stanowi etap wstępny przed sprzedażą dostępu, phishingiem wewnętrznym, oszustwami BEC lub wdrożeniem ransomware.

Dodatkowym problemem jest wykorzystanie legalnych narzędzi administracyjnych, takich jak PowerShell, MSHTA czy rundll32.exe. Bez dojrzałych mechanizmów detekcji behawioralnej odróżnienie aktywności złośliwej od administracyjnej może być bardzo trudne.

Rekomendacje

Organizacje powinny zacząć od ograniczenia skuteczności wektorów socjotechnicznych. Kluczowe jest szkolenie użytkowników, aby nie kopiowali i nie uruchamiali poleceń wyświetlanych przez fałszywe komunikaty, wyskakujące okna czy strony podszywające się pod mechanizmy weryfikacji.

Od strony technicznej warto wdrożyć następujące środki ochrony:

blokowanie lub ograniczanie uruchamiania mshta.exe, rundll32.exe, powershell.exe oraz interpreterów Python w kontekstach użytkownika, jeśli nie są niezbędne biznesowo,
stosowanie reguł Application Control oraz polityk WDAC lub AppLocker dla ścieżek zapisywalnych przez użytkownika i zasobów zdalnych,
filtrowanie ruchu do nowych, niskoreputacyjnych i nieuzasadnionych biznesowo domen,
monitorowanie dostępu do udziałów WebDAV oraz nietypowego pobierania bibliotek DLL z lokalizacji zdalnych,
wykrywanie tworzenia zaplanowanych zadań podszywających się pod aktualizacje,
analizę pamięci i telemetrii EDR pod kątem wstrzykiwania kodu do procesów systemowych,
audyt dostępu do danych przeglądarek Chromium i operacji na DPAPI,
wzmocnienie ochrony tożsamości, w tym skrócenie czasu życia sesji, wdrożenie odpornych na phishing metod MFA oraz monitorowanie tokenów.

Po wykryciu potencjalnej infekcji incydent należy traktować jako kompromitację danych uwierzytelniających, a nie wyłącznie obecność malware na urządzeniu. Oznacza to konieczność unieważnienia sesji, resetu haseł, przeglądu kont uprzywilejowanych oraz analizy możliwej eksfiltracji danych z usług Microsoft 365, OneDrive i SharePoint.

Podsumowanie

Wzrost aktywności ACR Stealer pokazuje, że infostealery pozostają jednymi z najbardziej opłacalnych i niebezpiecznych narzędzi cyberprzestępców. Skuteczność tej kampanii wynika z połączenia socjotechniki, nadużycia natywnych komponentów Windows, uruchamiania ładunku w pamięci oraz precyzyjnego wyboru danych o wysokiej wartości.

Dla zespołów bezpieczeństwa oznacza to konieczność jednoczesnego wzmacniania świadomości użytkowników, kontroli uruchamiania aplikacji, monitoringu behawioralnego oraz ochrony tożsamości i danych chmurowych. Organizacje, które zlekceważą zagrożenie ze strony infostealerów, ryzykują szybkie przejście od pojedynczej infekcji do pełnoskalowego incydentu naruszenia danych.

Źródła

Microsoft warns of surge in ACR Stealer attacks on customers — https://www.bleepingcomputer.com/news/security/microsoft-warns-of-surge-in-acr-stealer-attacks-on-customers/
Microsoft Security Blog — https://www.microsoft.com/en-us/security/blog/
Scaling cybercrime disruption through innovation and AI — https://blogs.microsoft.com/on-the-issues/2026/06/24/scaling-cybercrime-disruption-through-innovation-and-ai/

Fałszywe instalatory Zoom i Webex roznoszą Starland RAT. Nowa kampania UAT-11795 uderza w firmy

Wprowadzenie do problemu / definicja

Nowa kampania malware przypisywana grupie UAT-11795 pokazuje, że trojanizowane instalatory popularnych aplikacji nadal pozostają bardzo skutecznym sposobem uzyskania dostępu do systemów ofiar. Atakujący podszywają się pod legalne pakiety instalacyjne narzędzi wykorzystywanych w pracy zdalnej, komunikacji i administracji, takich jak Zoom, Webex czy MobaXterm.

Celem operacji jest dostarczenie Starland RAT, czyli trojana zdalnego dostępu opartego na Pythonie. W dalszych etapach kampanii wykorzystywane są także dodatkowe komponenty, w tym pamięciowy implant PowerShell WLDR, a w części przypadków również CastleStealer i Remcos RAT.

W skrócie

Kampania została opisana w lipcu 2026 roku, ale trwa co najmniej od czerwca 2025 roku.
Ataki są wymierzone w użytkowników w Stanach Zjednoczonych i Europie.
Głównym ładunkiem jest Starland RAT, wspierany przez implant WLDR działający w pamięci.
Napastnicy wykorzystują fałszywe instalatory legalnych aplikacji oraz technikę ClickFix.
Malware stosuje mechanizmy antyanalityczne, kradnie dane i korzysta z zapasowego kanału C2 opartego na blockchainie.

Kontekst / historia

UAT-11795 jest opisywany jako rosyjskojęzyczny, finansowo motywowany podmiot zagrożenia. Grupa nie ogranicza się do jednego sektora ani jednego typu ofiary. Zamiast tego wybiera oprogramowanie rozpoznawalne i szeroko używane zarówno przez użytkowników biznesowych, jak i specjalistów technicznych.

To ważny sygnał dla organizacji, ponieważ atak nie bazuje wyłącznie na masowej dystrybucji malware, lecz na świadomym wykorzystaniu zaufania do znanych marek. Oprócz aplikacji komunikacyjnych operatorzy kampanii wykorzystywali także instalatory narzędzi administracyjnych, bazodanowych i deweloperskich, co sugeruje szeroką strategię infekcji i próbę dotarcia do osób posiadających podwyższone uprawnienia lub dostęp do wrażliwych zasobów.

Analiza techniczna

Początkowy etap infekcji opiera się na socjotechnice typu ClickFix. Ofiara jest nakłaniana do uruchomienia polecenia, które pobiera i wykonuje złośliwy plik HTA. Następnie uruchamiany jest plik wsadowy, dostarczany trojanizowany instalator, a w systemie tworzony jest mechanizm trwałości oparty o klucz Run w rejestrze.

Fałszywe instalatory zostały przygotowane z użyciem NSIS. Podczas gdy użytkownik widzi pozornie prawidłowy proces instalacji legalnej aplikacji, w tle działa ukryty loader Pythona. Komponent ten odszyfrowuje Starland RAT z użyciem prostego mechanizmu XOR i uruchamia go równolegle do właściwego instalatora, dzięki czemu infekcja może pozostać niezauważona.

Starland RAT stosuje szereg kontroli antyanalitycznych jeszcze przed rozpoczęciem aktywnej komunikacji z serwerem sterującym. Sprawdza nazwę użytkownika, nazwę hosta, artefakty sandboxów oraz innych środowisk analitycznych. Weryfikuje również obecność znacznika pobrania z Internetu w postaci Zone.Identifier. Jeżeli środowisko nie spełnia założeń operatora, malware może przerwać swoje działanie.

Po pomyślnym uruchomieniu złośliwe oprogramowanie ustanawia trwałość między innymi przez zadanie harmonogramu o losowej nazwie i dodatkowy skrót w folderze autostartu. Następnie rozpoczyna rekonesans hosta, zbierając informacje o identyfikatorze sprzętowym, pamięci RAM, rozwiązaniach ochronnych oraz członkostwie w domenie Active Directory. W środowiskach domenowych wykonywane są także polecenia służące do mapowania infrastruktury.

Starland RAT został wyposażony również w funkcje kradzieży danych. Malware przeszukuje przeglądarki i aplikacje desktopowe pod kątem portfeli kryptowalutowych, wykonuje zrzuty ekranu i pakuje zebrane informacje do zaszyfrowanego ładunku JSON. Oznacza to, że kampania jest nastawiona nie tylko na uzyskanie dostępu, ale także na szybkie monetyzowanie przejętych danych i aktywów cyfrowych.

Na szczególną uwagę zasługuje architektura komunikacji C2. Jeżeli podstawowa domena nie odpowiada, malware może skorzystać z mechanizmu zapasowego opartego na smart kontrakcie w sieci Polygon. Zaszyfrowana wartość odczytana z kontraktu jest lokalnie odszyfrowywana i wykorzystywana jako alternatywny adres komunikacji, co zwiększa odporność infrastruktury napastników na blokowanie i utrudnia szybkie wygaszenie operacji.

Po rejestracji ofiary operator może wdrożyć WLDR, czyli wieloetapowy implant PowerShell działający całkowicie w pamięci. Obsługuje on szyfrowaną komunikację, kolejkowanie zadań i współbieżne wykonywanie poleceń. Daje to atakującemu elastyczny kanał administracyjny do uruchamiania kolejnych skryptów i modułów bez pozostawiania klasycznych artefaktów na dysku.

W części incydentów Starland pełni także funkcję droppera dla dodatkowych rodzin malware. CastleStealer odpowiada za kradzież poświadczeń z przeglądarek, rozszerzeń portfeli kryptowalutowych, sesji komunikatorów i danych Steam. Alternatywnie pojawia się również Remcos RAT. Badacze odnotowali ponadto techniki obchodzenia zabezpieczeń, takie jak modyfikacja AMSI i ETW w pamięci procesu, co utrudnia wykrywanie przez rozwiązania EDR.

Konsekwencje / ryzyko

Ryzyko związane z tą kampanią jest wysokie, ponieważ łączy skuteczny wektor socjotechniczny z modularnym zestawem narzędzi do przejęcia hosta, rozpoznania środowiska i kradzieży danych. Dla organizacji może to oznaczać utratę poświadczeń, wyciek informacji biznesowych, przejęcie kont użytkowników oraz przygotowanie gruntu pod kolejne etapy ataku.

Szczególnie niebezpieczne jest to, że infekcja przebiega równolegle do pozornie legalnej instalacji oprogramowania. Użytkownik może nie zauważyć niczego podejrzanego, a zespół bezpieczeństwa może początkowo obserwować jedynie uruchomienie znanej aplikacji. Dodatkowe mechanizmy antysandbox, implant działający wyłącznie w pamięci i zapasowy kanał C2 przez blockchain zwiększają trudność analizy incydentu.

Najbardziej narażone są środowiska, w których pracownicy mogą samodzielnie pobierać oprogramowanie z Internetu, nie stosuje się skutecznego whitelisting’u aplikacji lub nie monitoruje się PowerShell, zadań harmonogramu i zmian w autostarcie. Obecność funkcji ukierunkowanych na portfele kryptowalutowe zwiększa także ryzyko bezpośrednich strat finansowych.

Rekomendacje

Podstawowym krokiem obronnym powinno być ograniczenie możliwości instalowania oprogramowania wyłącznie do zatwierdzonych repozytoriów, firmowych katalogów oraz oficjalnych kanałów dystrybucji. Organizacje powinny wdrożyć kontrolę aplikacji i polityki pozwalające uruchamiać wyłącznie podpisane oraz autoryzowane instalatory.

Z perspektywy detekcji warto monitorować następujące zdarzenia i wzorce aktywności:

uruchamianie plików HTA i nietypowych skryptów wsadowych,
podejrzane użycie NSIS i osadzonych runtime’ów Pythona,
tworzenie kluczy Run oraz skrótów autostartu,
nowe zadania harmonogramu o losowych nazwach,
anomalie w użyciu PowerShell, szczególnie aktywność wyłącznie w pamięci,
próby modyfikacji AMSI i ETW,
połączenia do nietypowych domen C2 oraz ruch przypominający maskowaną komunikację przeglądarkową.

W ochronie endpointów istotne będzie zwiększenie widoczności skryptów i pamięci procesów, włączenie rejestrowania poleceń PowerShell oraz stosowanie reguł behawioralnych wykrywających zrzuty ekranu, enumerację portfeli kryptowalutowych i nietypowe odczyty danych z przeglądarek. Warto również egzekwować MFA, segmentację sieci i ograniczenie lokalnych uprawnień administracyjnych.

Dla zespołów SOC szczególnie skuteczna może być korelacja zdarzeń obejmujących pobranie instalatora, uruchomienie procesu instalacyjnego, utworzenie artefaktów trwałości oraz następczą aktywność PowerShell. Taki sekwencyjny wzorzec często pozwala szybciej wykryć kompromitację niż pojedynczy wskaźnik IOC.

Podsumowanie

Kampania UAT-11795 pokazuje, jak dojrzałe stały się operacje oparte na trojanizowanych instalatorach i wieloetapowych łańcuchach infekcji. Starland RAT pełni rolę elastycznego narzędzia pierwszego dostępu, a WLDR zapewnia napastnikom trwały, pamięciowy kanał kontroli nad systemem. Dodatkowe moduły kradzieży danych i poświadczeń zwiększają wartość operacyjną całej kampanii.

Najważniejszy wniosek dla organizacji jest jednoznaczny: sama nazwa aplikacji lub poprawnie wyglądający instalator nie mogą być traktowane jako dowód bezpieczeństwa. W 2026 roku kluczowe pozostają kontrola źródła oprogramowania, telemetryka endpointów oraz wykrywanie zachowań po infekcji.

Źródła

https://securityaffairs.com/195532/malware/new-russian-campaign-uses-fake-webex-and-zoom-installers-to-deploy-starland-rat.html
https://blog.talosintelligence.com/uat-11795-deploys-novel-starland-rat-and-bespoke-wldr-c2-implant-in-financially-motivated-campaign/
https://blog.talosintelligence.com/

ACR Stealer i ClickFix: jak cyberprzestępcy kradną tokeny przeglądarek oraz pliki Microsoft 365

Wprowadzenie do problemu / definicja

ACR Stealer to złośliwe oprogramowanie typu infostealer, zaprojektowane do kradzieży danych uwierzytelniających, ciasteczek, tokenów sesyjnych oraz plików przechowywanych na stacjach roboczych z systemem Windows. Najnowsze kampanie pokazują, że zagrożenie jest dystrybuowane z użyciem techniki ClickFix, czyli scenariusza socjotechnicznego, w którym użytkownik sam kopiuje i uruchamia złośliwe polecenie. Taki model ataku pozwala ominąć część klasycznych mechanizmów ochronnych koncentrujących się głównie na exploitach lub podejrzanych załącznikach.

W praktyce oznacza to przesunięcie ciężaru ataku z podatności technicznych na manipulację użytkownikiem. To szczególnie niebezpieczne dla organizacji korzystających z usług chmurowych, ponieważ przejęcie aktywnych tokenów sesyjnych może umożliwić dostęp do zasobów bez konieczności znajomości hasła.

W skrócie

Obserwowane kampanie ACR Stealer wykorzystują co najmniej dwa łańcuchy infekcji oparte na przynętach ClickFix. Jeden działa niemal bezplikowo i uruchamia kolejne etapy głównie w pamięci, a drugi pozostawia więcej śladów na dysku, wykorzystując m.in. WebDAV, PowerShell oraz interpreter Python.

Malware kradnie zapisane hasła, cookies i tokeny z przeglądarek Chromium.
Atakujący pozyskują również dokumenty PDF oraz pliki z katalogów synchronizowanych z OneDrive i SharePoint.
Kampania nie wymaga wykorzystania luki CVE, opiera się przede wszystkim na skutecznej socjotechnice.
Największym ryzykiem jest przejęcie tożsamości użytkownika i dostęp do usług Microsoft 365.

Kontekst / historia

ACR Stealer jest obecny co najmniej od 2024 roku i zyskał rozpoznawalność jako narzędzie wyspecjalizowane w kradzieży danych z przeglądarek oraz środowiska użytkownika. W kolejnych analizach badacze wiązali tę rodzinę z aktywnością na rosyjskojęzycznych forach cyberprzestępczych, a następnie z jej rozwojem i rebrandingiem do wariantu określanego jako Amatera Stealer.

W 2026 roku wyraźnie wzrosła liczba kampanii wykorzystujących techniki ClickFix, fałszywe CAPTCHA i strony podszywające się pod legalne usługi. ACR Stealer wpisuje się w ten trend, łącząc wiarygodne przynęty z instrukcją ręcznego uruchomienia polecenia w systemie Windows. Z perspektywy obrony jest to istotna zmiana, ponieważ punkt wejścia do ataku nie wynika z błędu w oprogramowaniu, lecz z zachowania użytkownika.

Analiza techniczna

W pierwszym, bardziej bezplikowym scenariuszu infekcji ofiara uruchamia polecenie inicjujące proces mshta.exe, który pobiera zdalną zawartość HTA. Następnie loader oparty na VBScript wykorzystuje obiekty COM do dekodowania i uruchamiania kodu PowerShell. Kolejne etapy mogą generować identyfikator ofiary, modyfikować zachowanie walidacji certyfikatów oraz pobierać dalszy ładunek bezpośrednio do pamięci.

Na szczególną uwagę zasługuje ukrywanie właściwego payloadu w pliku JPEG. Złośliwy kod zostaje osadzony w danych obrazu, a potem wyodrębniony, odszyfrowany, zdekompresowany i uruchomiony refleksyjnie. To utrudnia analizę statyczną i pozwala ukryć niebezpieczną zawartość w obiekcie, który na pierwszy rzut oka wygląda całkowicie nieszkodliwie.

Po wykonaniu malware koncentruje się na przejęciu danych z przeglądarek Chromium, zwłaszcza Chrome i Edge. Odczytuje bazy Login Data i Web Data, a następnie wykorzystuje mechanizmy DPAPI do odszyfrowania zapisanych haseł, ciasteczek oraz tokenów sesyjnych. W wielu przypadkach to właśnie kradzież tokenów stanowi większe zagrożenie niż sama utrata hasła, ponieważ umożliwia przejęcie aktywnej sesji użytkownika.

Drugi zaobserwowany wariant pozostawia więcej artefaktów na dysku. Złośliwe polecenie pobiera bibliotekę DLL z udziału WebDAV po HTTPS, często pod nazwą imitującą legalny plik. Uruchomienie może odbywać się przez rundll32.exe, czasem po wcześniejszym zmapowaniu udziału jako tymczasowego dysku przy użyciu pushd. W bardziej ukrytych wersjach pojawiają się dodatkowe techniki maskujące, takie jak uruchamianie z użyciem conhost.exe --headless, obfuskacja ciągów znaków oraz opóźnione rozwijanie zmiennych środowiskowych.

Dalszy etap obejmuje obfuskowany PowerShell, który zapisuje archiwum ZIP w katalogach tymczasowych, a następnie uruchamia dostarczony interpreter pythonw.exe wraz ze skryptem Pythona. Dzięki temu użytkownik nie widzi klasycznego okna konsoli, co zmniejsza szansę wykrycia infekcji. Malware może także usuwać starsze wersje własnych komponentów, tworzyć ukryte zadania harmonogramu podszywające się pod aktualizacje, kopiować znaczniki czasu z legalnych plików systemowych oraz czyścić historię PowerShell.

W części kampanii odnotowano również wykorzystanie techniki EtherHiding. Polega ona na użyciu publicznej infrastruktury blockchain lub smart kontraktów do przechowywania wskaźników do kolejnych etapów infekcji albo adresów infrastruktury sterującej. Dla obrońców oznacza to utrudnioną neutralizację, ponieważ znika pojedynczy, łatwy do odcięcia punkt dystrybucji.

Konsekwencje / ryzyko

Najpoważniejszą konsekwencją infekcji jest przejęcie tożsamości użytkownika oraz dostępu do zasobów organizacji bez wykorzystywania klasycznej luki bezpieczeństwa. Kradzież haseł, cookies i tokenów otwiera drogę do przejęcia kont SaaS, skrzynek pocztowych, paneli administracyjnych oraz sesji w usługach Microsoft 365.

Jeżeli użytkownik synchronizuje dane przez OneDrive lub SharePoint, zagrożenie obejmuje również dokumenty biznesowe, pliki PDF i inne materiały o wysokiej wartości. W efekcie incydent może szybko przekształcić się z lokalnego naruszenia stacji roboczej w kompromitację danych firmowych oraz środowiska chmurowego.

Z perspektywy SOC i zespołów reagowania problem jest trudny, ponieważ początkowy wektor opiera się na legalnym działaniu użytkownika, część łańcucha działa w pamięci, a atak wykorzystuje legalne narzędzia systemowe. To utrudnia odróżnienie aktywności złośliwej od administracyjnej oraz wydłuża czas wykrycia incydentu.

Rekomendacje

Organizacje powinny przede wszystkim ograniczyć sam wektor „paste-and-run”. W praktyce oznacza to blokowanie lub zawężanie dostępu do okna „Uruchom” za pomocą polityk GPO oraz wdrożenie kontroli aplikacyjnej dla binariów i interpreterów najczęściej nadużywanych w tego typu kampaniach.

Ograniczyć lub zablokować użycie mshta.exe, rundll32.exe, PowerShell i interpreterów skryptowych tam, gdzie nie są niezbędne.
Wdrożyć AppLocker lub WDAC w środowiskach o wyższych wymaganiach bezpieczeństwa.
Stosować reguły Attack Surface Reduction oraz monitoring uruchomień z katalogów Downloads, Temp i %LocalAppData%.
Nadawać wysoki priorytet detekcyjny uruchomieniom mshta.exe z parametrami sieciowymi, procesom pythonw.exe, nietypowym łańcuchom rodzic–dziecko oraz mapowaniu udziałów WebDAV.
Monitorować tworzenie zadań harmonogramu podszywających się pod aktualizacje, czyszczenie historii PowerShell, timestomping i refleksyjne ładowanie modułów.

Równie ważna jest warstwa tożsamości. Sama zmiana hasła po incydencie może nie wystarczyć, jeśli atakujący przejęli aktywne tokeny sesyjne. Dlatego konieczne jest skracanie czasu życia sesji, stosowanie warunkowego dostępu, szybkie unieważnianie tokenów oraz analiza logów logowania do usług chmurowych.

Nie można też pomijać edukacji użytkowników. Szkolenia powinny jednoznacznie wskazywać, że żadna wiarygodna strona internetowa, reklama ani komunikat pomocy technicznej nie powinny wymagać ręcznego wklejania poleceń do okna „Uruchom” lub terminala.

Podsumowanie

Kampanie ACR Stealer pokazują, że skuteczny atak nie musi opierać się na exploicie. Połączenie socjotechniki ClickFix, legalnych narzędzi systemowych, wykonywania kodu w pamięci oraz kradzieży tokenów sesyjnych tworzy model szczególnie groźny dla organizacji korzystających z usług chmurowych i Microsoft 365.

Najważniejszy wniosek jest praktyczny: skuteczna obrona wymaga równoczesnego podejścia do użytkownika, punktu końcowego i warstwy tożsamości. Blokowanie ryzykownych binariów, monitoring nietypowych łańcuchów procesów oraz szybkie unieważnianie przejętych sesji stają się dziś równie ważne jak tradycyjna ochrona antymalware.

Źródła

The Hacker News — https://thehackernews.com/2026/07/acr-stealer-uses-clickfix-lures-to.html
Microsoft Security Blog — https://www.microsoft.com/en-us/security/blog/product/microsoft-defender-experts-for-xdr/
Red Canary — https://redcanary.com/blog/threat-intelligence/intelligence-insights-may-2026/
SANS — https://www.sans.org/newsletters/at-risk/xxvi-21
Proofpoint — https://www.proofpoint.com/us/blog/threat-insight/amatera-stealer-rebranded-acr-stealer-improved-evasion-sophistication

OkoBot: modularny framework malware kradnie dane, sesje i kryptowaluty

Wprowadzenie do problemu / definicja

OkoBot to zaawansowany, wieloetapowy framework malware zaprojektowany z myślą o kradzieży danych uwierzytelniających, plików portfeli kryptowalutowych oraz fraz odzyskiwania seed. Zagrożenie łączy w jednym ekosystemie cechy infostealera, keyloggera, spyware oraz narzędzi do przejmowania środowiska przeglądarki i aplikacji związanych z aktywami cyfrowymi.

To nie jest pojedynczy szkodliwy plik, lecz rozbudowana platforma, która może uruchamiać wiele wyspecjalizowanych modułów. Dzięki temu operatorzy są w stanie elastycznie dopasować atak do profilu ofiary i jednocześnie realizować kilka celów: kradzież poświadczeń, przejęcie sesji, monitorowanie aktywności oraz wyprowadzanie środków kryptowalutowych.

W skrócie

OkoBot jest dystrybuowany m.in. przez techniki ClickFix oraz złośliwe repozytoria podszywające się pod legalne narzędzia. Według analizy kampanii malware może wdrażać ponad 20 różnych ładunków, co czyni go jednym z bardziej elastycznych i niebezpiecznych frameworków ukierunkowanych na użytkowników kryptowalut.

kradnie loginy, hasła i ciasteczka przeglądarki,
przechwytuje dane systemowe i zawartość schowka,
wykrada pliki portfeli kryptowalutowych,
nakłania ofiary do ujawnienia fraz seed,
umożliwia ukrytą obserwację aktywności użytkownika.

Największym zagrożeniem pozostaje przejęcie seed phrase, ponieważ daje ono atakującym pełną kontrolę nad portfelem i zgromadzonymi środkami.

Kontekst / historia

Badacze wskazują, że OkoBot nie powstał w próżni, lecz stanowi rozwinięcie wcześniejszej aktywności związanej ze skryptem PowerShell określanym jako TookPS. Kampania trwa od ponad roku, a sam framework został zaobserwowany jako kolejny etap ewolucji wcześniejszego łańcucha infekcji działającego co najmniej od marca 2025 roku.

Istotna zmiana dotyczy architektury ataku. Zamiast prostego mechanizmu dostarczania pojedynczego ładunku operatorzy przeszli do modelu modułowego, w którym pierwszy komponent przygotowuje system ofiary do pobrania i uruchomienia kolejnych elementów. To podejście zwiększa skuteczność infekcji, utrudnia analizę incydentu i pozwala na dłuższe utrzymanie się w środowisku.

Na uwagę zasługuje także sposób dystrybucji. Atakujący wykorzystują socjotechnikę oraz podszywają się pod zaufane narzędzia i repozytoria kodu. Tego rodzaju kampanie wpisują się w szerszy trend nadużywania platform deweloperskich jako kanału infekcji.

Analiza techniczna

Łańcuch infekcji OkoBot ma charakter wielofazowy. W pierwszym etapie wykorzystywany jest komponent oparty na PowerShell, który instaluje i konfiguruje bota SSH. Ten moduł odpowiada za rekonesans, zbieranie informacji o systemie oraz dostarczenie następnych ładunków malware.

Podczas rozpoznania środowiska OkoBot gromadzi m.in. nazwę użytkownika, informacje o oprogramowaniu ochronnym, adres IP oraz wersję systemu operacyjnego. Dodatkowo może ograniczać widoczność działań poprzez wyłączanie wybranych powiadomień bezpieczeństwa. Już na tym etapie dochodzi do przechwytywania plików portfeli, cookies oraz danych logowania.

Szczególnie niebezpieczne są moduły wyspecjalizowane. Jeden z nich odpowiada za wstrzykiwanie kodu do przeglądarki Chrome, co umożliwia cichą instalację i ukrywanie złośliwych rozszerzeń. Takie rozszerzenia mogą przejmować sesje, kraść poświadczenia i wyciągać dane finansowe bez wzbudzania podejrzeń użytkownika.

Inny komponent, określany jako SeedHunter, atakuje aplikacje obsługujące portfele sprzętowe i programowe. Mechanizm wyświetla fałszywy ekran odzyskiwania portfela, którego celem jest skłonienie ofiary do samodzielnego wpisania frazy seed. To wyjątkowo groźna technika, ponieważ omija część klasycznych zabezpieczeń i wykorzystuje zaufanie użytkownika do legalnej aplikacji.

Framework obejmuje również moduły szpiegowskie. Keylogger rejestruje naciśnięcia klawiszy i aktywność schowka, w tym kopiowany tekst, obrazy oraz ścieżki plików. Może także monitorować podłączanie urządzeń USB i wykonywać zrzuty ekranu. Z kolei komponent spyware śledzi działanie około 100 różnych programów, w tym portfeli kryptowalutowych i menedżerów haseł, oraz przechwytuje obraz ich okien.

W praktyce OkoBot łączy funkcje loadera, infostealera, browser injectora, spyware i narzędzia do przejęcia kryptowalut. Taka konstrukcja pozwala operatorom prowadzić ataki wielotorowe i skutecznie monetyzować kompromitację pojedynczego urządzenia.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem infekcji jest utrata kontroli nad portfelem kryptowalutowym po przejęciu frazy seed. W przeciwieństwie do klasycznej kradzieży hasła, w takim przypadku odzyskanie środków jest zazwyczaj niemożliwe. Z tego powodu OkoBot stanowi szczególne zagrożenie dla inwestorów, traderów, administratorów portfeli firmowych i organizacji operujących aktywami cyfrowymi.

Ryzyko wykracza jednak poza świat kryptowalut. Kradzież cookies, poświadczeń i danych z menedżerów haseł może doprowadzić do przejęcia skrzynek pocztowych, usług SaaS, paneli administracyjnych oraz aktywnych sesji użytkowników. Rejestracja schowka i klawiszy dodatkowo zwiększa skuteczność eksfiltracji danych w środowiskach, gdzie kopiowane są hasła, tokeny dostępu, komendy administracyjne lub adresy portfeli.

Dla firm oznacza to możliwość połączenia strat finansowych z naruszeniem poufności danych i dalszym ruchem bocznym w sieci. Kompromitacja stacji roboczej administratora, dewelopera lub pracownika działu finansowego może stać się punktem wejścia do kolejnych etapów ataku.

Rekomendacje

OkoBot należy traktować jako zagrożenie wielowarstwowe, dlatego ochrona powinna obejmować zarówno endpointy, jak i przeglądarki, mechanizmy wykonawcze skryptów oraz procedury związane z obsługą kryptowalut. Kluczowe znaczenie ma ograniczenie zaufania do niezweryfikowanych repozytoriów i nietypowych instrukcji uruchamiania poleceń.

ograniczyć uruchamianie skryptów PowerShell z niezaufanych źródeł,
monitorować procesy mogące wstrzykiwać kod do przeglądarek,
wdrożyć kontrolę i audyt instalacji rozszerzeń przeglądarkowych,
korzystać z EDR zdolnego wykrywać keyloggery, spyware i browser injectors,
analizować nietypowe połączenia SSH inicjowane z endpointów użytkowników,
blokować pobieranie oprogramowania z niezweryfikowanych repozytoriów,
szkolić użytkowników z rozpoznawania technik ClickFix i fałszywych instalatorów,
przechowywać frazy seed offline i nigdy nie wpisywać ich po niespodziewanym komunikacie aplikacji,
separować środowiska używane do obsługi kryptowalut od codziennej pracy biurowej.

Każdy ekran proszący o podanie frazy odzyskiwania należy traktować jako potencjalny sygnał phishingu lub lokalnej kompromitacji systemu. W środowiskach firmowych warto także objąć dodatkowym nadzorem urządzenia używane przez osoby z dostępem uprzywilejowanym i zespoły finansowe.

Podsumowanie

OkoBot pokazuje, że współczesne kampanie malware coraz częściej przybierają formę modularnych platform, które jednocześnie kradną poświadczenia, śledzą aktywność użytkownika i przejmują kryptowaluty. O sile tego zagrożenia decyduje nie tylko liczba modułów, ale przede wszystkim precyzyjne ukierunkowanie na dane o najwyższej wartości operacyjnej i finansowej.

Dla zespołów bezpieczeństwa oznacza to konieczność łączenia telemetrii endpointowej, kontroli aplikacji, monitoringu przeglądarek i ścisłych procedur ochrony portfeli kryptowalutowych. W przypadku takich zagrożeń nawet pojedyncza kompromitacja stacji roboczej może mieć nieproporcjonalnie wysokie skutki biznesowe.

Źródła

BleepingComputer — New OkoBot framework deploys 20 payloads to steal data, crypto — https://www.bleepingcomputer.com/news/security/new-okobot-framework-deploys-20-payloads-to-steal-data-crypto/
Kaspersky Securelist — OkoBot malware framework analysis — https://securelist.com/okobot-malware-framework/117467/

Kampania phishingowa ukrywa loader Lua jako plik czcionki TrueType

Wprowadzenie do problemu / definicja

Nowa kampania phishingowa pokazuje, że cyberprzestępcy coraz częściej odchodzą od prostych, łatwo wykrywalnych metod dostarczania malware. W analizowanym przypadku złośliwy komponent został ukryty jako plik przypominający czcionkę TrueType, co miało uśpić czujność użytkownika i utrudnić detekcję opartą wyłącznie na rozszerzeniu pliku.

Celem operacji było dostarczenie na systemy Windows różnych rodzin złośliwego oprogramowania, w tym RAT-ów, keyloggerów oraz infostealerów. Kampania łączy socjotechnikę, obfuskację i wykonanie kodu w pamięci, przez co stanowi poważne zagrożenie dla organizacji polegających na tradycyjnych mechanizmach ochrony poczty i stacji roboczych.

W skrócie

Atakujący wykorzystywali fałszywe pliki udające czcionki TrueType.
Łańcuch infekcji opierał się na wieloetapowym loaderze Lua.
Końcowe ładunki obejmowały Remcos, Agent Tesla, XWorm oraz Best Private LOGGER.
Kampania wykorzystywała silną obfuskację, segmentację shellcode’u i wykonanie w pamięci.
Główne ryzyka to kradzież poświadczeń, przejęcie sesji i trwały zdalny dostęp do stacji roboczej.

Kontekst / historia

Phishing pozostaje jednym z najskuteczniejszych sposobów uzyskania początkowego dostępu do środowiska ofiary. Szczególnie groźne są kampanie, które łączą wiarygodną narrację biznesową z niestandardowymi technikami omijania zabezpieczeń. W tym przypadku operatorzy podszywali się pod znane firmy i wykorzystywali przynęty związane ze współpracą handlową oraz płatnościami.

To podejście zwiększa szansę, że odbiorca otworzy załącznik lub uruchomi pobrany plik. Wybór Lua również nie był przypadkowy. W porównaniu z częściej obserwowanymi skryptami PowerShell czy JavaScript, tego typu loader może być słabiej uwzględniany w regułach detekcyjnych, co daje napastnikom dodatkową przewagę operacyjną.

Analiza techniczna

Rdzeniem kampanii był wieloetapowy loader, którego pierwszy komponent maskowano jako plik czcionki TrueType. Z perspektywy użytkownika taki obiekt mógł wyglądać niegroźnie, jednak w rzeczywistości uruchamiał dalsze elementy łańcucha infekcji.

Badacze wskazali na zastosowanie zaawansowanej obfuskacji. Kod przechodził przez kilka faz transformacji, obejmujących odwracanie zawartości, podstawienia symboli, dekodowanie Base64 oraz użycie niestandardowego szyfru ROT z kluczem wyprowadzanym z pierwszego bajtu szyfrogramu. Taki model znacząco utrudnia analizę statyczną i automatyczne klasyfikowanie próbki.

W nowszych wariantach zaobserwowano dodatkową segmentację szyfrowanego shellcode’u. Ładunek był dzielony na fragmenty odpowiadające stronom pamięci, oznaczane jako niewykonywalne i odszyfrowywane dopiero w chwili wykonania. Mechanizm wykorzystujący Vectored Exception Handler ograniczał ilość jawnego kodu obecnego jednocześnie w pamięci procesu, co utrudnia analizę behawioralną oraz badanie pamięci operacyjnej.

Końcowy malware dostarczano jako shellcode Donut, co umożliwia refleksyjne ładowanie ładunku bez klasycznego zapisu na dysku. Takie podejście wspiera scenariusz fileless lub near-fileless execution i redukuje liczbę artefaktów, które mogą zostać wykryte przez klasyczne rozwiązania antywirusowe. W zależności od celu ofiara mogła otrzymać Remcos, Agent Tesla, XWorm albo Best Private LOGGER.

Konsekwencje / ryzyko

Najważniejsze zagrożenia obejmują kradzież poświadczeń, przejęcie aktywnych sesji oraz uzyskanie trwałego dostępu do urządzenia użytkownika. Infostealery takie jak Agent Tesla są często wykorzystywane do wykradania danych z przeglądarek, klientów poczty i aplikacji biznesowych.

Ryzyko rośnie jeszcze bardziej w przypadku rodzin takich jak Remcos czy XWorm, które oferują funkcje zdalnej administracji, uruchamiania poleceń, pobierania kolejnych ładunków i potencjalnego ruchu bocznego w sieci. W praktyce pojedyncza udana infekcja może prowadzić do kompromitacji skrzynek pocztowych, kont uprzywilejowanych, oszustw BEC, a nawet przygotowania gruntu pod kolejne etapy ataku, w tym ransomware.

Niebezpieczny jest również sam mechanizm maskowania pliku jako obiektu pozornie nieuruchamialnego. Organizacje, które nadal opierają kontrolę bezpieczeństwa głównie na nazwie pliku, rozszerzeniu lub prostym filtrowaniu typów załączników, mogą nie zidentyfikować zagrożenia na etapie dostarczenia wiadomości.

Rekomendacje

Podstawową zasadą powinno być traktowanie rozszerzenia pliku jedynie jako pomocniczego wskaźnika, a nie wiarygodnego dowodu jego rzeczywistego typu. Konieczne jest wdrożenie walidacji formatu pliku, analizy magic bytes oraz sandboxingu dla nietypowych załączników i archiwów.

wzmocnienie analizy skryptów i zagnieżdżonych archiwów w systemach pocztowych,
blokowanie uruchamiania nieautoryzowanych interpreterów i loaderów,
detekcja plików o niespójnej strukturze i nietypowych rozszerzeniach,
monitorowanie wiadomości podszywających się pod procesy zakupowe, płatności i współpracę biznesową,
wdrożenie EDR z naciskiem na telemetrię pamięci oraz wykonanie bezplikowe,
wykrywanie refleksyjnego ładowania modułów i shellcode’u,
ograniczenie uprawnień lokalnych użytkowników i segmentacja dostępu do zasobów krytycznych,
wymuszenie MFA oraz szybkiego resetu poświadczeń po wykryciu infostealera lub keyloggera.

Dla zespołów SOC i DFIR istotne będzie również analizowanie relacji parent-child process, korelacja zdarzeń e-mail z pobraniem archiwum i uruchomieniem skryptu, a także hunting pod kątem nietypowych procesów inicjujących połączenia C2 po otwarciu podejrzanego pliku.

Podsumowanie

Opisana kampania phishingowa potwierdza, że nowoczesne łańcuchy infekcji coraz rzadziej opierają się na pojedynczej technice. Ich skuteczność wynika z połączenia socjotechniki, maskowania typu pliku, wielowarstwowej obfuskacji, wykonania w pamięci oraz elastycznego doboru końcowego malware.

Dla obrońców oznacza to konieczność odejścia od prostych kontroli bazujących na rozszerzeniach i przejścia do analizy behawioralnej, walidacji rzeczywistego formatu plików oraz ochrony tożsamości użytkownika jako ostatniej linii obrony.

Źródła

https://www.infosecurity-magazine.com/news/phishing-lua-loader-truetype-font/
https://fortiguard.fortinet.com/
https://www.fortinet.com/blog/threat-research/new-agent-tesla-variant-spreading-by-phishing
https://www.fortinet.com/blog/threat-research/new-remcos-campaign-distributed-through-fake-shipping-document
https://www.darkreading.com/ics-ot-security/xworm-remcos-rat-evade-edrs-infect-critical-infrastructure