Archiwa: PowerShell - Strona 4 z 52

Irańskie grupy powiązane z państwem wykorzystują AI do rozbudowy cyberarsenału

Wprowadzenie do problemu / definicja

Wykorzystanie generatywnej sztucznej inteligencji przez aktorów zagrożeń staje się jednym z najważniejszych trendów we współczesnym cyberbezpieczeństwie. Najnowsze ustalenia wskazują, że grupy powiązane z Iranem używają modeli językowych i narzędzi AI do przyspieszania działań ofensywnych, w tym tworzenia złośliwego oprogramowania, prowadzenia rekonesansu oraz usprawniania kampanii phishingowych.

Nie oznacza to powstania całkowicie nowej klasy zagrożeń, ale wyraźne zwiększenie skali, szybkości i dostępności dobrze znanych technik ataku. AI pełni tu rolę akceleratora, który skraca czas potrzebny do przygotowania i realizacji operacji.

W skrócie

Irańscy aktorzy cyberzagrożeń wykorzystują AI do wzmacniania operacji ofensywnych i działań informacyjnych.
Zastosowania obejmują rozwój malware, analizę podatności, rozpoznanie środowisk OT i ICS oraz prowadzenie wielojęzycznych kampanii socjotechnicznych.
AI skraca czas od planowania do wykonania ataku, obniża próg wejścia dla operatorów i zwiększa skuteczność działań wymierzonych w organizacje z USA, regionu MENA oraz infrastrukturę o podwyższonym znaczeniu operacyjnym.

Kontekst / historia

Przez lata irańskie grupy APT oraz powiązane z nimi kolektywy hacktywistyczne były kojarzone z kampaniami szpiegowskimi, destrukcyjnymi operacjami cybernetycznymi i atakami na infrastrukturę krytyczną oraz sektor prywatny. Obecnie obserwowany jest kolejny etap ewolucji tych działań: integracja narzędzi AI z istniejącym playbookiem operacyjnym.

Według opisywanych analiz duże modele językowe nie zastępują operatorów, lecz zwiększają tempo realizacji konkretnych zadań. Dotyczy to przygotowywania treści phishingowych, analizy środowiska ofiary, badania metod eksploatacji oraz generowania wariantów kodu. To jakościowa zmiana, ponieważ umożliwia osiąganie tych samych celów szybciej, taniej i przy mniejszym zapleczu kompetencyjnym.

W tle pojawiają się również wcześniejsze sygnały o nadużywaniu narzędzi AI przez podmioty państwowe. W poprzednich latach ujawniano przypadki użycia modeli językowych do rekonesansu środowisk przemysłowych i analizowania kontrolerów PLC, a obecne obserwacje sugerują, że nie były to działania incydentalne.

Analiza techniczna

Z technicznego punktu widzenia AI jest wykorzystywana jako wsparcie kolejnych etapów łańcucha ataku. Najbardziej prawdopodobne obszary użycia obejmują:

generowanie i modyfikowanie skryptów oraz fragmentów kodu malware,
automatyzację tworzenia przynęt phishingowych i odpowiedzi w trakcie korespondencji,
streszczanie dokumentacji technicznej i tłumaczenie materiałów na języki operatorów,
przygotowywanie wariantów exploitów lub kodu pomocniczego do testowania podatności,
mapowanie środowisk OT i ICS na podstawie publicznie dostępnych danych oraz dokumentacji.

Szczególnie niepokojący jest wątek dotyczący środowisk przemysłowych. Modele językowe mogą pomóc operatorom szybciej zrozumieć architekturę systemów sterowania, nazewnictwo urządzeń, zależności procesowe oraz potencjalne ścieżki oddziaływania na proces technologiczny. Nawet jeśli AI nie tworzy autonomicznego ataku, może znacząco skrócić etap przygotowania operacji.

Opisane przypadki wskazują również na praktyczne użycie AI w kampaniach malware. Jedna z grup miała wykorzystać narzędzia AI do opracowania kilku wariantów złośliwego oprogramowania dostarczanego przez spreparowane dokumenty biurowe. Taki model pracy oznacza, że operator nie musi budować całego kodu samodzielnie, lecz może iteracyjnie rozwijać próbki przy wsparciu systemu generatywnego.

W innym scenariuszu AI została użyta do dopracowania skryptu służącego do enumeracji i zrzutu baz danych po uzyskaniu dostępu do środowiska ofiary. To pokazuje, że sztuczna inteligencja może być szczególnie przydatna w fazie post-exploitation, gdzie liczy się szybkie dostosowanie narzędzi do konkretnej infrastruktury.

Warto podkreślić, że obecnie bardziej realny jest scenariusz wykorzystywania ogólnodostępnych lub pośrednio dostępnych modeli do wspierania konkretnych zadań technicznych i językowych niż istnienie w pełni autonomicznych ofensywnych systemów AI używanych operacyjnie.

Konsekwencje / ryzyko

Największym zagrożeniem nie jest sama inteligencja tych narzędzi, lecz kompresja czasu działania atakującego. Organizacje mają coraz mniej czasu na wykrycie kampanii, ponieważ AI pozwala szybciej przygotować infrastrukturę ataku, materiały socjotechniczne i kod operacyjny.

W praktyce oznacza to wzrost skuteczności phishingu, zwłaszcza w kampaniach wielojęzycznych i ukierunkowanych. Zwiększa się również tempo adaptacji malware do konkretnego celu, a bariera kompetencyjna dla operatorów maleje, ponieważ AI może działać jako współautor treści, skryptów i analiz technicznych.

Dodatkowe ryzyko dotyczy środowisk OT, gdzie nawet częściowo poprawne rozpoznanie może wystarczyć do przygotowania groźnej operacji zakłócającej. Z perspektywy biznesowej szczególnie narażone są podmioty infrastrukturalne, transport, przemysł, logistyka oraz organizacje posiadające rozproszone środowiska IT i OT.

Rekomendacje

Organizacje powinny dostosować strategie obronne do scenariusza, w którym AI wspiera przeciwnika na każdym etapie ataku. Kluczowe działania obejmują:

Wzmocnienie ochrony poczty i warstwy tożsamości poprzez odporne mechanizmy MFA, filtrowanie wiadomości, DMARC, SPF, DKIM oraz monitoring anomalii logowania.
Detekcję zachowań zamiast samych sygnatur, z naciskiem na EDR, XDR, telemetrię procesów, analizę skryptów, wykrywanie nadużyć PowerShell, Office, LOLBins i nietypowych połączeń wychodzących.
Segmentację i monitoring środowisk OT/ICS, w tym ograniczenie łączności między IT i OT, pasywne monitorowanie ruchu przemysłowego oraz kontrolę zdalnego dostępu.
Zarządzanie podatnościami według priorytetu operacyjnego, ponieważ AI może skracać czas między ujawnieniem luki a próbą jej wykorzystania.
Ćwiczenia z reakcji na incydenty oparte na scenariuszach, w których przeciwnik szybko modyfikuje payloady i dynamicznie dostosowuje skrypty po uzyskaniu dostępu.
Kontrolę użycia własnych narzędzi AI w organizacji, aby ograniczyć ryzyko wycieku danych, prompt injection i nieautoryzowanego przetwarzania informacji wrażliwych.

Podsumowanie

Wykorzystanie AI przez grupy powiązane z Iranem nie oznacza rewolucji w postaci całkowicie nowych technik ataku, ale stanowi istotne przyspieszenie istniejących operacji cybernetycznych. Generatywna AI działa tu jako mnożnik siły, przyspieszając rekonesans, poprawiając jakość phishingu, wspierając rozwój malware i ułatwiając przygotowanie działań przeciwko środowiskom przemysłowym.

Dla organizacji oznacza to konieczność odejścia od modelu obrony wyłącznie reaktywnej. Kluczowe stają się telemetria, detekcja behawioralna, segmentacja środowisk oraz szybsze reagowanie na sygnały wczesnego ostrzegania.

Źródła

Cybersecurity Dive — https://www.cybersecuritydive.com/news/iran-nexus-actors-ai-cyber-ChatGPT-malware/825415/
Recorded Future — Iran’s AI-Enabled Cyber Strategy — https://www.recordedfuture.com/research/irans-ai-enabled-cyber-strategy
Group-IB — Operation Olalampo — https://www.group-ib.com/blog/operation-olalampo/
OpenAI — Disrupting malicious uses of AI: June 2024 — https://www.openai.com/index/disrupting-malicious-uses-of-ai-june-2024/
Check Point Research — https://research.checkpoint.com/

TELEPUZ: nowy malware rozpowszechniany przez ClickFix kradnie dane i umożliwia zdalne wykonanie poleceń

Wprowadzenie do problemu / definicja

TELEPUZ to nowo wykryte, modułowe złośliwe oprogramowanie dla systemów Windows, które jest dystrybuowane z użyciem techniki ClickFix. Metoda ta opiera się na socjotechnice i nakłanianiu użytkownika do ręcznego uruchomienia złośliwego polecenia, zwykle pod pretekstem naprawy błędu przeglądarki, aktualizacji lub weryfikacji CAPTCHA.

W praktyce TELEPUZ łączy oszustwo wymierzone w użytkownika z wieloetapowym łańcuchem infekcji. Celem ataku jest nie tylko kradzież danych, ale również utrzymanie dostępu do systemu oraz wykonywanie poleceń zdalnych.

W skrócie

TELEPUZ to lekki i modularny malware napisany w języku C.
Kampania wykorzystuje zainfekowane strony internetowe z mechanizmem ClickFix.
Ofiara jest nakłaniana do uruchomienia polecenia PowerShell.
W łańcuchu ataku pojawia się także stealer powiązany z rodziną Vidar.
Malware może kraść cookies, rejestrować klawisze, wykonywać polecenia i pobierać kolejne moduły.
Komunikacja z infrastrukturą C2 odbywa się między innymi przez WebSocket.

Kontekst / historia

ClickFix stał się jedną z najskuteczniejszych technik inicjalnego dostępu, ponieważ przenosi część odpowiedzialności za uruchomienie ładunku na użytkownika końcowego. Zamiast klasycznego wykorzystania podatności atakujący prezentują fałszywy komunikat i instruują ofiarę, aby skopiowała oraz wkleiła gotowe polecenie do systemowego interpretera.

W przypadku TELEPUZ badacze wskazują na aktywność kampanii obserwowaną co najmniej od końca kwietnia 2026 roku. Częste pojawianie się nowych buildów oraz modułowa architektura sugerują aktywny rozwój zagrożenia i możliwość szybkiego rozszerzania jego funkcji.

Analiza techniczna

Łańcuch infekcji rozpoczyna się od strony zawierającej przynętę ClickFix. Mechanizm wykorzystuje pastejacking, czyli podstawienie złośliwego polecenia do schowka użytkownika. Po jego uruchomieniu wykonywany jest PowerShell, który pobiera kolejny etap ataku z zewnętrznej infrastruktury.

Drugim etapem jest wariant stealera w języku Go, wiązany z rodziną Vidar. Komponent ten odpowiada za pozyskanie danych z hosta i wdrożenie kolejnego elementu, czyli programu pośredniczącego uruchamiającego bibliotekę TELEPUZ za pomocą rundll32.exe. Sam TELEPUZ działa jako lekki loader i backdoor z architekturą modułową.

Z punktu widzenia analizy technicznej szczególnie istotne są mechanizmy obfuskacji i unikania wykrycia. Malware wykorzystuje między innymi zaciemniające instrukcje, haszowanie nazw importów, szyfrowanie łańcuchów znaków oraz pośrednie wywołania systemowe. Dodatkowo prowadzi kontrolę środowiska, aby wykrywać maszyny wirtualne i sandboxy.

Sprawdzane są parametry takie jak liczba CPU, ilość pamięci RAM, dostępna przestrzeń dyskowa oraz identyfikatory regionalne systemu. TELEPUZ porównuje też nazwę użytkownika i komputera z zakodowaną listą wartości spotykanych w środowiskach analitycznych. Jeśli uzna środowisko za podejrzane, może zakończyć działanie już na wczesnym etapie.

Po przejściu testów malware wdraża techniki defense evasion. Należą do nich unhooking bibliotek systemowych, wyłączanie AMSI i ETW oraz usuwanie wybranych callbacków związanych z ładowaniem bibliotek DLL. Następnie weryfikuje proces rodzica, tworzy unikalny identyfikator ofiary i podejmuje próbę podniesienia uprawnień.

TELEPUZ wykorzystuje technikę COM elevation moniker do uzyskiwania uprawnień administracyjnych, a w części przypadków próbuje osiągnąć poziom SYSTEM przez kradzież tokenu z procesów systemowych. Następnie może rejestrować się jako usługa systemowa i uruchamiać w nowej instancji svchost.exe, co zwiększa trwałość infekcji.

Warstwa komunikacyjna opiera się na połączeniach WebSocket, opcjonalnie chronionych przez TLS. Jeśli główny serwer C2 nie odpowiada, malware może pobrać zapasowy adres z alternatywnych kanałów, takich jak profil komunikatora, profil społecznościowy, rekord DNS czy inteligentny kontrakt blockchain. Taki model utrudnia szybkie przerwanie kampanii.

Możliwości operacyjne TELEPUZ obejmują:

enumerację i modyfikację plików,
kradzież cookies z przeglądarek opartych na Chromium,
keylogging,
wykonywanie poleceń i zarządzanie procesami,
tworzenie zrzutów ekranu,
pobieranie dodatkowych modułów,
wstrzykiwanie treści i wykonywanie JavaScript w przeglądarkach Chromium i Firefox.

Konsekwencje / ryzyko

Zagrożenie związane z TELEPUZ należy ocenić jako wysokie. Atak nie wymaga zaawansowanego exploita, ponieważ jego skuteczność wynika przede wszystkim z manipulacji użytkownikiem. Dodatkowo malware łączy cechy stealera, backdoora i narzędzia do dalszego wdrażania ładunków.

Dla organizacji oznacza to ryzyko przejęcia sesji przeglądarkowych, utraty danych uwierzytelniających, wycieku informacji operacyjnych oraz eskalacji incydentu do poziomu trwałej kompromitacji stacji roboczej. Możliwość instalacji jako usługa, uzyskiwania wyższych uprawnień i pobierania kolejnych modułów sprawia, że TELEPUZ może pełnić rolę długotrwałego punktu dostępu dla operatora.

Rekomendacje

Organizacje powinny wdrożyć wielowarstwową ochronę przed kampaniami opartymi na ClickFix i podobnych technikach socjotechnicznych. Kluczowe znaczenie ma edukacja użytkowników, aby nie uruchamiali poleceń kopiowanych ze stron internetowych ani z fałszywych komunikatów naprawczych.

W środowiskach firmowych warto ograniczyć możliwość uruchamiania PowerShell, monitorować nietypowe wywołania rundll32.exe oraz wdrożyć telemetrykę procesów i pamięci na poziomie EDR. Istotne jest także ograniczenie lokalnych uprawnień administracyjnych i regularne poszukiwanie oznak nadużycia legalnych narzędzi systemowych.

monitorowanie uruchomień PowerShell po interakcji z przeglądarką,
wykrywanie pobierania binariów z nowych lub rzadkich domen,
analiza uruchamiania bibliotek DLL przez rundll32.exe w nietypowych ścieżkach,
detekcja prób wyłączania AMSI i ETW,
monitorowanie tworzenia usług systemowych przez procesy użytkownika,
obserwacja komunikacji WebSocket do nietypowych hostów,
kontrola dostępu do cookies i interfejsów automatyzacji przeglądarek.

Podsumowanie

TELEPUZ jest przykładem nowoczesnego malware’u rozwijanego z myślą o skutecznym obejściu zabezpieczeń, trwałości w systemie oraz elastycznej obsłudze przez operatora. Połączenie ClickFix, wieloetapowego łańcucha dostawy, zaawansowanych mechanizmów unikania detekcji i funkcji zdalnego sterowania czyni z niego poważne zagrożenie dla środowisk Windows.

Najważniejszy wniosek jest praktyczny: nawet bez wykorzystania luki typu RCE atakujący mogą osiągnąć wysoką skuteczność, jeśli skłonią użytkownika do wykonania pozornie niewinnego polecenia. Obrona przed TELEPUZ wymaga więc zarówno narzędzi technicznych, jak i dojrzałych procesów monitorowania, kontroli uprawnień oraz ciągłego podnoszenia świadomości pracowników.

Źródła

Google Gemini CLI nadużyte jako narzędzie ataku i operator botnetu

Wprowadzenie do problemu / definicja

Agentowe narzędzia AI coraz częściej wychodzą poza klasyczne zastosowania związane ze wsparciem programowania i administracji. Opisany przypadek pokazuje, że interfejs wiersza poleceń oparty na modelu AI może zostać wykorzystany jako praktyczny operator działań ofensywnych — od przygotowania infrastruktury command-and-control po bieżące zarządzanie zainfekowanymi hostami.

To ważna zmiana z perspektywy bezpieczeństwa, ponieważ obniża próg wejścia dla mniej zaawansowanych napastników i przyspiesza realizację kampanii. W efekcie nawet relatywnie prosty technicznie atak może zyskać większą skuteczność dzięki automatyzacji i wsparciu kontekstowemu dostarczanemu przez AI.

W skrócie

Rosyjskojęzyczny aktor zagrożeń o pseudonimie „bandcampro” miał wykorzystywać Google Gemini CLI do wsparcia operacji ofensywnych.
Narzędzie pomagało w migracji infrastruktury C2, generowaniu kodu, debugowaniu problemów oraz zarządzaniu niewielkim botnetem.
Architektura ataku była stosunkowo prosta, ale AI znacząco przyspieszało pracę operatora.
Przypadek pokazuje, że zagrożeniem staje się nie tylko samo malware, lecz także agentowa AI jako akcelerator działań przestępczych.

Kontekst / historia

Incydent wpisuje się w szerszy trend nadużywania generatywnej i agentowej AI w cyberprzestępczości. W ostatnich latach modele językowe były wykorzystywane do tworzenia treści phishingowych, pisania skryptów, analizowania skradzionych danych czy wspierania rekonesansu. Nowością jest jednak użycie narzędzia CLI jako praktycznego asystenta operacyjnego, który utrzymuje kontekst pracy i wspiera wieloetapowe działania.

Według opisu incydentu celem była infrastruktura obejmująca osiem systemów w klinice dentystycznej oraz próba uzyskania dostępu do bazy OpenDental. Z analizy logów miało wynikać, że operator przeprowadził ponad 200 sesji z narzędziem AI, wykorzystując je do usprawniania kolejnych etapów kampanii.

Analiza techniczna

Kluczowym elementem scenariusza było wykorzystanie prostych plików tekstowych zawierających prompt jailbreak, playbook C2 oraz instrukcje migracji infrastruktury. Taki zestaw pełnił funkcję operacyjnej pamięci kampanii, dostarczając agentowi AI gotowy kontekst oraz sekwencję działań potrzebnych do realizacji zadania.

Po wydaniu polecenia dotyczącego migracji C2 narzędzie miało analizować przewodnik, planować kolejne kroki, generować kod, budować pakiet migracyjny i uruchamiać nową infrastrukturę na serwerze VPS. Według opisu nowa infrastruktura obejmowała serwer C2 napisany w Pythonie, działający w pamięci, oraz agentów PowerShell okresowo komunikujących się z serwerem.

Mechanizmy utrzymania dostępu obejmowały zadania harmonogramu, zdarzenia WMI oraz modyfikacje rejestru, zależnie od poziomu uprawnień na przejętym hoście. Sam malware nie wyróżniał się jednak wysokim poziomem zaawansowania — nie stosowano rozbudowanej obfuskacji, zaawansowanego pakowania ani wyrafinowanych technik unikania detekcji.

Najistotniejszy był aspekt operacyjny. AI nie ograniczało się do jednorazowego wygenerowania skryptu, ale wspierało pełny cykl działań: konfigurację serwera, uruchamianie tuneli, analizę błędów sieciowych, diagnozę konfliktów między starą i nową instancją C2 oraz przywracanie łączności z botami po wyłączeniu poprzedniego serwera.

Badacze wskazali również, że aktor wykorzystywał AI do zgadywania haseł na podstawie istniejących wzorców, tworzenia prawdopodobnych wariantów poświadczeń do portali WordPress oraz analizy zrzutów z menedżera haseł. Jednocześnie w co najmniej jednym przypadku model miał odmówić realizacji żądania dotyczącego przygotowania samorozprzestrzeniającego się ładunku, co sugeruje, że zabezpieczenia polityk bezpieczeństwa działają, ale nie blokują pełnego łańcucha nadużyć.

Konsekwencje / ryzyko

Największe ryzyko nie wynika tutaj z innowacyjności samego malware, lecz z przyspieszenia i uproszczenia działań ofensywnych. Jeżeli model AI przejmuje część pracy operatora, napastnik szybciej buduje infrastrukturę, sprawniej rozwiązuje problemy operacyjne i łatwiej utrzymuje ciągłość kampanii.

Dla organizacji oznacza to wzrost zagrożenia ze strony przeciwników średniego szczebla, którzy wcześniej mogliby nie poradzić sobie z bardziej złożonymi etapami ataku. AI zwiększa także tempo iteracji — napastnik może szybciej testować warianty persistence, odtwarzać środowisko po awarii i adaptować się do działań obronnych.

Dodatkowym problemem jest możliwość przechowywania wiedzy operacyjnej w niewielkich plikach tekstowych. Tego typu artefakty mogą działać jako przenośny playbook ofensywny, który zapewnia agentowi natychmiastowy kontekst działania i pozwala szybko odtworzyć schemat ataku w innym środowisku.

Rekomendacje

Organizacje powinny traktować agentową AI jako nowy akcelerator technik, taktyk i procedur przeciwnika. W praktyce warto wdrożyć następujące działania:

wzmacniać detekcję nietypowych połączeń PowerShell do lekkich serwerów HTTP oraz krótkointerwałowego beaconingu,
monitorować tworzenie zadań harmonogramu, zdarzeń WMI i zmian rejestru związanych z persistence,
analizować ruch do tuneli i usług pośredniczących wykorzystywanych do maskowania infrastruktury C2,
stosować silne zarządzanie poświadczeniami, rotację haseł oraz MFA dla paneli administracyjnych i systemów medycznych,
ograniczać wykonywanie niepodpisanych skryptów i egzekwować polityki application control,
prowadzić segmentację sieci, zwłaszcza w środowiskach zawierających systemy medyczne i bazy danych pacjentów,
korelować logi z hostów, PowerShell, WMI, harmonogramu zadań i bram sieciowych, aby wykrywać pełen łańcuch aktywności,
testować odporność organizacji na lekkie, szybko odtwarzalne infrastruktury C2 w ramach purple teamingu.

W kontekście narzędzi AI warto również opracować polityki bezpieczeństwa dla środowisk deweloperskich i administracyjnych. Istotne jest rejestrowanie użycia asystentów CLI, ograniczanie dostępu do sekretów oraz kontrola, czy agent nie zapisuje poświadczeń i danych operacyjnych w sposób nieautoryzowany.

Podsumowanie

Opisany przypadek pokazuje, że agentowa AI nie musi tworzyć przełomowego malware, aby realnie zwiększyć skuteczność ataku. Wystarczy, że przejmie rolę sprawnego operatora, który rozumie playbook, generuje komponenty, pomaga w migracji C2, diagnozuje awarie i wspiera codzienną obsługę zainfekowanych hostów.

Dla zespołów bezpieczeństwa to sygnał, że zagrożenia związane z AI należy analizować szerzej — nie tylko jako źródło generowanych treści, lecz także jako praktyczne narzędzie operacyjne po stronie przeciwnika. Punkt ciężkości przesuwa się z samej złożoności kodu na szybkość działania, automatyzację i dostępność kompetencji ofensywnych.

Źródła

BleepingComputer — Google Gemini CLI abused as a hacking agent, malware botnet operator — https://www.bleepingcomputer.com/news/security/google-gemini-cli-abused-as-a-hacking-agent-malware-botnet-operator/

OkoBot: wieloetapowy framework malware do kradzieży danych i kryptowalut

Wprowadzenie do problemu / definicja

OkoBot to nowoczesny framework złośliwego oprogramowania zaprojektowany do prowadzenia wieloetapowych kampanii kradzieży danych. Jego operatorzy koncentrują się na pozyskiwaniu poświadczeń, ciasteczek przeglądarek, danych sesyjnych, plików portfeli kryptowalutowych oraz fraz odzyskiwania seed, które mogą umożliwić pełne przejęcie aktywów cyfrowych ofiary.

Zagrożenie wyróżnia się modularną architekturą. Oznacza to, że jeden incydent może obejmować wdrożenie wielu wyspecjalizowanych komponentów, z których każdy realizuje odrębne zadanie operacyjne, od rozpoznania środowiska po kradzież danych i utrwalanie dostępu.

W skrócie

OkoBot jest rozpowszechniany m.in. przez kampanie ClickFix oraz złośliwe repozytoria podszywające się pod legalne narzędzia. Framework może dostarczać ponad 20 różnych komponentów malware odpowiedzialnych za przechwytywanie danych z przeglądarek, keylogging, monitoring aktywności użytkownika i kradzież fraz seed portfeli kryptowalutowych.

atakuje użytkowników indywidualnych i organizacje,
wykorzystuje wieloetapowy łańcuch infekcji,
celuje w przeglądarki, menedżery haseł i portfele kryptowalutowe,
może obchodzić część zabezpieczeń dzięki kradzieży sesji i ciasteczek,
stanowi szczególne ryzyko dla podmiotów operujących aktywami cyfrowymi.

Kontekst / historia

Kampania związana z OkoBot ma być rozwinięciem wcześniejszej aktywności kojarzonej ze skryptem PowerShell o nazwie TookPS. Wskazuje to na stopniową ewolucję działań napastników od prostszych mechanizmów dostarczania szkodliwego kodu do rozbudowanego ekosystemu modułów realizujących różne funkcje ofensywne.

Taka zmiana zwiększa elastyczność operatorów. Poszczególne elementy mogą być aktywowane zależnie od profilu ofiary, wartości środowiska lub oczekiwanych danych, co jednocześnie utrudnia detekcję i analizę incydentu.

Analiza techniczna

Łańcuch infekcji rozpoczyna się od nakłonienia ofiary do uruchomienia złośliwego kodu albo pobrania trojanizowanego oprogramowania. Jednym z opisanych scenariuszy było wykorzystanie repozytorium podszywającego się pod legalne narzędzie administracyjne, co wpisuje się w rosnący trend nadużywania zaufania do platform deweloperskich i projektów open source.

Po uruchomieniu początkowego komponentu malware wykorzystywany jest PowerShell odpowiedzialny za instalację i konfigurację bota SSH. Ten etap służy jako punkt pośredni dla dalszych działań: zbierane są podstawowe informacje o systemie, w tym nazwa użytkownika, wersja systemu operacyjnego, adres IP oraz obecność oprogramowania ochronnego. Jednocześnie podejmowane są próby ograniczenia widoczności zagrożenia.

Na kolejnych etapach OkoBot dostarcza wyspecjalizowane moduły. Szczególnie istotny jest komponent wstrzykujący kod do przeglądarek opartych na Chromium w celu cichej instalacji i ukrywania złośliwych rozszerzeń. Taka technika może wspierać przechwytywanie sesji, ciasteczek, danych uwierzytelniających oraz informacji finansowych.

Wyjątkowo groźny jest także moduł SeedHunter, który ingeruje w działanie aplikacji portfeli sprzętowych i programowych. Poprzez fałszywe ekrany odzyskiwania portfela próbuje skłonić użytkownika do wpisania frazy seed. Dla przestępców jest to jeden z najcenniejszych artefaktów, ponieważ umożliwia odtworzenie portfela i przejęcie środków bez potrzeby dalszej interakcji z ofiarą.

Dodatkowe komponenty, takie jak keylogger i spyware, rozszerzają zakres kradzionych informacji. Obejmować one mogą:

naciśnięcia klawiszy,
zawartość schowka,
ścieżki plików i obrazy,
podłączanie nośników USB,
zrzuty ekranu,
nagrania okien wybranych aplikacji.

Wskazywana zdolność monitorowania około stu aplikacji, w tym menedżerów haseł i portfeli kryptowalutowych, pokazuje wysoki poziom specjalizacji kampanii. Opisywano również oznaki filtracji geograficznej podczas dostarczania części ładunków, co może ograniczać ekspozycję operatorów i zmniejszać ryzyko szybkiego wykrycia.

Konsekwencje / ryzyko

Ryzyko związane z OkoBot nie ogranicza się do klasycznej kradzieży haseł. Przejęcie ciasteczek sesyjnych może umożliwić obejście części mechanizmów MFA, a pozyskanie danych z przeglądarek może prowadzić do przejęcia kont pocztowych, usług SaaS, paneli administracyjnych i zasobów firmowych.

W środowisku organizacyjnym taka kompromitacja może stać się punktem wyjścia do dalszego ruchu lateralnego, eskalacji uprawnień lub wdrożenia kolejnych rodzin malware. Najpoważniejsze skutki dotyczą jednak portfeli kryptowalutowych. Ujawnienie frazy seed oznacza w praktyce utratę kontroli nad aktywami, a odzyskanie środków jest zazwyczaj bardzo trudne lub niemożliwe.

Modularność OkoBot zwiększa również trwałość zagrożenia. Nawet jeśli jeden komponent zostanie wykryty, inne moduły mogą nadal realizować cele napastnika. Dla zespołów SOC i DFIR oznacza to konieczność pełnej analizy incydentu zamiast skupiania się wyłącznie na pojedynczym pliku lub procesie.

Rekomendacje

Organizacje powinny potraktować OkoBot jako zagrożenie wielowarstwowe i odpowiednio dostosować mechanizmy obronne. Kluczowe jest ograniczenie możliwości uruchamiania niezweryfikowanych skryptów PowerShell, binariów pobieranych spoza zatwierdzonych źródeł oraz nieautoryzowanych rozszerzeń przeglądarkowych.

wdrożyć application allowlisting i kontrolę integralności oprogramowania,
monitorować PowerShell uruchamiany z nietypowymi parametrami,
wykrywać tworzenie lub modyfikację mechanizmów trwałości,
analizować podejrzane połączenia SSH z hostów użytkowników,
śledzić procesy wstrzykujące kod do przeglądarek,
kontrolować anomalie związane z instalacją rozszerzeń Chromium poza standardowym kanałem,
monitorować próby dostępu do plików portfeli, menedżerów haseł i danych przeglądarek.

Dodatkowo warto egzekwować MFA odporne na phishing, segmentować stacje robocze uprzywilejowane i ograniczać użycie lokalnych kont administracyjnych. W organizacjach przechowujących kryptowaluty konieczne jest regularne szkolenie użytkowników, że frazy seed nie wolno wpisywać w odpowiedzi na wyskakujące okna, alerty ani rzekome procedury odzyskiwania.

Z perspektywy reagowania na incydenty przydatny będzie playbook obejmujący izolację hosta, zabezpieczenie artefaktów pamięci i logów, przegląd rozszerzeń przeglądarkowych, reset sesji i tokenów, rotację haseł oraz ocenę kompromitacji portfeli. W przypadku podejrzenia ujawnienia seed phrase należy rozważyć natychmiastowe przeniesienie środków do nowych, bezpiecznych zasobów.

Podsumowanie

OkoBot pokazuje, że współczesne kampanie malware coraz częściej przyjmują formę rozbudowanych frameworków zdolnych do dostarczania wielu wyspecjalizowanych modułów. Połączenie socjotechniki, nadużywania zaufanych platform, kradzieży poświadczeń i ataków ukierunkowanych na portfele kryptowalutowe czyni to zagrożenie szczególnie istotnym dla użytkowników indywidualnych, działów IT i organizacji finansowych.

Najważniejsze znaczenie mają kontrola źródeł oprogramowania, twarde zasady uruchamiania kodu, monitoring telemetryczny oraz edukacja użytkowników w zakresie ochrony danych sesyjnych i fraz odzyskiwania. W przypadku OkoBot szybka detekcja i szerokie spojrzenie na zakres kompromitacji są kluczowe dla ograniczenia strat.

Źródła

BleepingComputer — New OkoBot framework deploys 20 payloads to steal data, crypto — https://www.bleepingcomputer.com/news/security/new-okobot-framework-deploys-20-payloads-to-steal-data-crypto/
Kaspersky Securelist — raport dotyczący kampanii OkoBot/TookPS — https://securelist.com/

Spirals: nowy ransomware potrafi zaszyfrować sieć ofiary w mniej niż 24 godziny

Wprowadzenie do problemu / definicja

Spirals to nowo opisana rodzina ransomware, która według dostępnych analiz potrafi przejść pełny cykl ataku — od uzyskania dostępu początkowego, przez kradzież danych, po szyfrowanie systemów — w czasie krótszym niż 24 godziny. Dla zespołów bezpieczeństwa oznacza to bardzo ograniczone okno na wykrycie intruza, izolację zasobów i powstrzymanie rozprzestrzeniania się incydentu.

To przykład nowoczesnego ransomware prowadzonego w modelu wieloetapowym, gdzie celem nie jest wyłącznie zablokowanie plików, ale również przejęcie kontroli nad środowiskiem, osłabienie mechanizmów obronnych i zwiększenie presji na ofiarę poprzez groźbę ujawnienia skradzionych danych.

W skrócie

Spirals został zaobserwowany podczas ataku na firmę świadczącą usługi IT w Azji Południowej.
Początkowy dostęp uzyskano przez publicznie wystawiony serwer IIS.
Napastnik wdrożył web shell ASP.NET, przeprowadził eskalację uprawnień i ruch boczny.
Przed szyfrowaniem wyłączono mechanizmy ochronne oraz zatrzymano usługi związane z backupem, bazami danych i wirtualizacją.
Ransomware opisano jako napisane w Rust, wykorzystujące AES-128 i ochronę kluczy opartą o ECDH P-256.
Atak miał charakter podwójnego wymuszenia, obejmując szyfrowanie i groźbę publikacji wykradzionych danych.

Kontekst / historia

W ostatnich latach ransomware wyraźnie ewoluował w kierunku szybkich, ręcznie prowadzonych operacji, w których operatorzy dążą do pełnego przejęcia środowiska przed uruchomieniem fazy destrukcyjnej. Zamiast przypadkowego szyfrowania pojedynczych urządzeń, celem staje się osłabienie obrony, przejęcie poświadczeń oraz objęcie zasięgiem jak największej liczby systemów.

Spirals wpisuje się w ten trend, pokazując, że nawet mniej znana rodzina zagrożeń może działać z dużą dojrzałością operacyjną. Szczególnie alarmujące jest tempo ataku, ponieważ przejście od podatnej usługi brzegowej do szyfrowania wielu hostów w mniej niż dobę znacząco ogranicza skuteczność tradycyjnych, ręcznych procesów reagowania.

Analiza techniczna

Początkowy wektor wejścia stanowił publicznie dostępny serwer Internet Information Services. Po kompromitacji napastnik przesłał web shell oparty na ASP.NET, co umożliwiło zdalne wykonywanie poleceń i rozpoznanie środowiska. Następnie ominął mechanizmy User Account Control, włączył zdalny pulpit oraz utworzył lokalne konto dla utrzymania trwałego dostępu.

Kolejna faza obejmowała pozyskanie poświadczeń. Wskazano na zrzut gałęzi rejestru SAM oraz pamięci procesu LSASS, co sugeruje próbę przejęcia haseł i materiału uwierzytelniającego potrzebnego do dalszego poruszania się po infrastrukturze. Takie działania są typowe dla operatorów ransomware, którzy chcą szybko zdobyć uprawnienia administracyjne i rozszerzyć zasięg incydentu.

Ruch boczny realizowano przy użyciu WMI, a intruz przemieszczał się do ponad tuzina systemów. Jednocześnie zestawiono dodatkowe kanały zdalnego dostępu z wykorzystaniem narzędzi takich jak revsocks, Chisel oraz tunele Cloudflare. Taka redundancja utrudnia obrońcom odcięcie napastnika od środowiska, ponieważ zamknięcie jednego kanału nie musi oznaczać zakończenia aktywności.

Przed uruchomieniem ransomware przygotowano środowisko do fazy destrukcyjnej. Za pomocą skryptu PowerShell wyłączano Microsoft Defender, usuwano definicje zagrożeń i zatrzymywano usługi związane z kopiami zapasowymi, bazami danych oraz platformami wirtualizacyjnymi. Tego rodzaju działania mają ograniczyć wykrywalność i utrudnić szybkie odtworzenie systemów po incydencie.

Właściwy ładunek ransomware wdrożono w czasie krótszym niż 24 godziny od uzyskania dostępu początkowego. Plik był maskowany nazwą bitsadmin.exe, co mogło utrudniać szybką identyfikację w środowiskach opartych na prostych regułach detekcji. Do rozesłania ładunku wykorzystano PsExec uruchamiany z uprawnieniami SYSTEM, co wskazuje na scentralizowaną i dobrze przygotowaną fazę szyfrowania.

Pod względem technicznym Spirals został opisany jako ransomware napisany w Rust. Do szyfrowania danych używa kluczy AES-128, a ich zabezpieczenie oparto na mechanizmie ECDH P-256 kontrolowanym przez napastnika. Dla plików większych niż 5 MB stosowane jest szyfrowanie przerywane, czyli obejmujące tylko fragmenty danych, co znacząco przyspiesza proces blokowania dostępu do zasobów.

Po zakończeniu operacji na dysku C:\ pozostawiana jest nota okupu o nazwie RECOVERY_SECTION.log. Ofiara otrzymuje informację o konieczności negocjacji oraz groźbę publikacji wykradzionych danych w ciągu sześciu dni. Oznacza to klasyczny model podwójnego wymuszenia, w którym nawet skuteczne odtworzenie systemów z kopii zapasowych nie eliminuje ryzyka naruszenia poufności informacji.

Konsekwencje / ryzyko

Najpoważniejszym ryzykiem związanym ze Spirals jest bardzo krótki czas realizacji całego ataku. Jeśli organizacja nie wykryje naruszenia na etapie web shella, pozyskiwania poświadczeń lub wyłączania zabezpieczeń, późniejsze fazy mogą rozwinąć się błyskawicznie. W praktyce oznacza to jednoczesne zagrożenie dla dostępności, integralności i poufności danych.

Szczególnie groźne jest zatrzymywanie usług backupowych, bazodanowych i wirtualizacyjnych. Taki scenariusz może prowadzić do przestoju kluczowych procesów biznesowych, utraty dostępu do danych operacyjnych, problemów w środowiskach produkcyjnych oraz znaczącego wydłużenia czasu przywracania działania po incydencie.

Ryzyko dodatkowo zwiększa wykorzystanie wielu technik zdalnego dostępu i ruchu bocznego. Nawet częściowe wykrycie ataku może nie wystarczyć do jego zatrzymania, jeśli napastnik utrzyma alternatywne kanały komunikacji lub przejęte konta uprzywilejowane. Presja związana z groźbą ujawnienia danych rozszerza też skutki incydentu na obszar zgodności, reputacji i odpowiedzialności kontraktowej.

Rekomendacje

Organizacje powinny przede wszystkim ograniczyć powierzchnię ataku usług brzegowych. Publicznie dostępne serwery IIS i inne systemy wystawione do internetu muszą być objęte rygorystyczną polityką aktualizacji, monitoringu i minimalizacji funkcji. Jeśli dana usługa nie musi być publiczna, warto ukryć ją za VPN, reverse proxy z dodatkowymi kontrolami dostępu lub całkowicie usunąć ekspozycję.

Niezbędne jest także wdrożenie skutecznej detekcji działań poeksploatacyjnych. Szczególną uwagę należy zwrócić na uruchamianie web shelli, zrzuty LSASS, dostęp do SAM, nietypowe użycie WMI, PsExec i PowerShella oraz nagłe zmiany w konfiguracji Defendera. Wysoką wartość mają również alerty dotyczące tworzenia nowych lokalnych kont administracyjnych i włączania RDP na hostach, gdzie nie jest to standardem.

W obszarze ochrony przed ransomware kluczowe jest zabezpieczenie kopii zapasowych przed modyfikacją i usunięciem. Obejmuje to kopie offline, mechanizmy immutable storage, separację tożsamości administracyjnych oraz regularne testy odtwarzania. Równie istotne są segmentacja sieci i ograniczanie możliwości ruchu bocznego między serwerami aplikacyjnymi, infrastrukturą backupową, systemami zarządzania i bazami danych.

Zalecane jest również wdrożenie kontroli aplikacyjnych oraz polityk ograniczających uruchamianie nieautoryzowanych binariów i skryptów. Rozwiązania EDR lub XDR powinny być skonfigurowane tak, aby utrudniać masowe wyłączanie zabezpieczeń i umożliwiać szybkie izolowanie hostów. W środowiskach Windows warto ograniczyć użycie narzędzi administracyjnych często nadużywanych przez operatorów ransomware.

Na poziomie organizacyjnym konieczne są procedury reagowania na szybkie incydenty ransomware. Plan powinien obejmować natychmiastową izolację systemów, blokadę kont, odcięcie kanałów zdalnego dostępu, zabezpieczenie artefaktów śledczych oraz sprawną współpracę zespołów bezpieczeństwa, operacji i działu prawnego. Przy atakach rozwijających się w mniej niż 24 godziny kluczowe znaczenie ma automatyzacja i gotowe playbooki.

Podsumowanie

Spirals pokazuje, że nowoczesny ransomware nie musi być powszechnie znany, aby stanowić poważne zagrożenie dla organizacji. Wystarczy skuteczny dostęp początkowy, szybka eskalacja uprawnień, przejęcie poświadczeń, wyłączenie mechanizmów ochronnych i sprawne wdrożenie ładunku, aby w ciągu jednej doby doprowadzić do pełnoskalowego incydentu.

Dla obrońców najważniejszy wniosek jest jednoznaczny: ochrona usług publicznych, wykrywanie aktywności poeksploatacyjnej, odporne kopie zapasowe oraz gotowość do natychmiastowej reakcji pozostają kluczowymi elementami obrony przed coraz szybszymi operacjami ransomware.

Źródła

BleepingComputer — New Spirals ransomware encrypts victim network in under 24 hours — https://www.bleepingcomputer.com/news/security/new-spirals-ransomware-encrypts-victim-network-in-under-24-hours/
Symantec Enterprise Blog — Spirals Ransomware Encrypts Corporate Network in Less Than a Day — https://security.com/threat-intelligence/spirals-ransomware-fast-attack

Starland RAT w fałszywych instalatorach Zoom i Webex: kampania UAT-11795 atakuje dane i portfele kryptowalut

Wprowadzenie do problemu / definicja

Trojanizowane instalatory legalnego oprogramowania pozostają jedną z najskuteczniejszych metod dostarczania malware do środowisk firmowych i domowych. W najnowszej kampanii napastnicy podszywają się pod znane aplikacje, takie jak Zoom, Webex, MobaXterm, DBeaver czy FaceIT, aby uruchomić wieloetapowy łańcuch infekcji kończący się wdrożeniem backdoora Starland RAT.

Operacja przypisywana grupie UAT-11795 łączy funkcje zdalnego dostępu, kradzieży danych oraz pobierania kolejnych ładunków. To sprawia, że zagrożenie wykracza poza klasyczny model infostealera i może prowadzić do pełnej kompromitacji stacji roboczej.

W skrócie

Badacze opisali kampanię aktywną co najmniej od czerwca 2025 roku, wymierzoną głównie w użytkowników w Stanach Zjednoczonych, ale obejmującą także ofiary w Europie i Ameryce Południowej. Atak wykorzystuje spreparowane instalatory popularnych programów, które uruchamiają loader napisany w Pythonie, ukryty jako nieszkodliwy plik tekstowy.

Po odszyfrowaniu właściwego ładunku uruchamiany jest Starland RAT, zdolny do zbierania danych z przeglądarek, informacji systemowych, danych środowiska Active Directory oraz aktywów z portfeli kryptowalut. W części incydentów kampania dostarczała również CastleStealer oraz Remcos RAT.

Kontekst / historia

Wykorzystywanie zaufanych aplikacji jako nośnika malware nie jest nową techniką, ale jej skuteczność rośnie wraz z popularyzacją pracy zdalnej i narzędzi administracyjnych pobieranych poza kontrolowanym obiegiem IT. Użytkownik, który instaluje znany program z niezweryfikowanego źródła, często nie zakłada, że pakiet został zmodyfikowany.

W analizowanej kampanii badacze powiązali aktywność z rosyjskojęzycznym, finansowo motywowanym podmiotem oznaczonym jako UAT-11795. Celem operacji jest jednoczesne pozyskiwanie poświadczeń, danych z komunikatorów i przeglądarek, informacji domenowych oraz dostępu do portfeli kryptowalut, co wskazuje na szerokie możliwości monetyzacji po uzyskaniu dostępu.

Analiza techniczna

Łańcuch infekcji rozpoczyna się od pliku HTA, który pobiera trojanizowany instalator NSIS. Wewnątrz pakietu umieszczony jest loader w Pythonie, ukryty pod pozorem pliku tekstowego, na przykład LICENSE.txt. Taki zabieg ma ograniczyć podejrzenia użytkownika i utrudnić szybką analizę zawartości instalatora.

Po uruchomieniu loader modyfikuje rejestr Windows w celu uzyskania trwałości, a następnie odszyfrowuje i ładuje właściwy komponent Starland RAT. Malware wykonuje także kontrolę środowiska pod kątem sandboxów, dodaje zadania harmonogramu i wpisy autostartu oraz próbuje podnieść swoje uprawnienia.

Zakres pozyskiwanych informacji jest szeroki i obejmuje dane przeglądarek, zapisane poświadczenia, konfigurację systemu, publiczny adres IP, region, listę zainstalowanego oprogramowania ochronnego oraz informacje o środowisku domenowym. Starland RAT potrafi również wykonywać zrzuty ekranu, uruchamiać polecenia powłoki, wstrzykiwać shellcode w wariantach 32- i 64-bitowych oraz pobierać kolejne pliki wykonywalne, biblioteki DLL, pakiety MSI i archiwa ZIP.

Istotną cechą kampanii jest jej modułowość. W zaobserwowanych przypadkach 64-bitowy łańcuch shellcode prowadził do wdrożenia CastleStealer, natomiast 32-bitowy uruchamiał Remcos RAT. Oznacza to, że operatorzy mogą elastycznie rozszerzać zestaw narzędzi w zależności od celu, architektury systemu i oczekiwanego efektu operacyjnego.

Na uwagę zasługuje również infrastruktura sterująca. Jeśli połączenie z zakodowanym adresem C2 kończy się niepowodzeniem, malware może pozyskać domenę zapasową pośrednio z kontraktu smart contract w sieci Polygon i odszyfrować ją metodą XOR. Badacze wskazali też na framework PowerShell o nazwie WLDR, działający w pamięci i wykorzystujący szyfrowaną komunikację, co dodatkowo utrudnia analizę i detekcję.

Konsekwencje / ryzyko

Dla organizacji kampania stanowi zagrożenie wielowarstwowe. Kradzież poświadczeń i sesji aplikacyjnych może prowadzić do przejęcia kont użytkowników, a dane o domenie i uprawnieniach mogą ułatwić ruch boczny oraz dalszą eskalację wewnątrz sieci.

Obecność komponentów takich jak Remcos RAT oznacza także ryzyko pełnego nadzoru nad zainfekowaną stacją końcową. W praktyce może to obejmować zdalne wykonywanie poleceń, monitorowanie aktywności użytkownika, przechwytywanie obrazu i schowka oraz dalsze dostarczanie kolejnych narzędzi przestępczych.

Szczególnie narażone są środowiska, w których użytkownicy samodzielnie instalują aplikacje spoza oficjalnych źródeł lub poza centralnie zarządzanym repozytorium. Dodatkowym czynnikiem ryzyka jest zainteresowanie operatorów portfelami kryptowalut i danymi finansowymi, co może prowadzić do szybkich i bezpośrednich strat materialnych.

Rekomendacje

Podstawowym środkiem ochrony powinno być ograniczenie instalowania oprogramowania wyłącznie do zatwierdzonych, oficjalnych źródeł oraz wdrożenie polityki allowlistingu aplikacji. Narzędzia do wideokonferencji i administracji powinny być pobierane tylko z portali producentów lub z wewnętrznych repozytoriów IT.

W warstwie detekcji warto monitorować uruchamianie plików HTA, nietypowych instalatorów NSIS, procesów Pythona inicjowanych przez instalatory oraz modyfikacje rejestru odpowiedzialne za trwałość. Istotne jest również wykrywanie nowych zadań harmonogramu, anomalii w folderach autostartu oraz nietypowych łańcuchów pobierania kolejnych payloadów.

wdrożyć reguły EDR i SIEM pod kątem zachowań charakterystycznych dla RAT-ów i infostealerów,
blokować lub ściśle nadzorować wykonywanie skryptów PowerShell działających wyłącznie w pamięci,
analizować ruch wychodzący pod kątem niestandardowych mechanizmów C2 i domen zapasowych,
przeprowadzić threat hunting na artefakty związane z CastleStealer, Remcos i Starland RAT,
wykorzystać opublikowane wskaźniki kompromitacji do retrospektywnego przeszukania logów.

Po stronie użytkowników kluczowe pozostaje unikanie uruchamiania plików instalacyjnych spoza oficjalnych kanałów, ostrożność wobec poleceń kopiowanych z internetu oraz szybkie zgłaszanie nietypowych komunikatów instalacyjnych i zachowań systemu.

Podsumowanie

Kampania UAT-11795 pokazuje, że trojanizacja popularnych aplikacji nadal skutecznie omija czujność użytkowników i otwiera drogę do wieloetapowej kompromitacji. Starland RAT pełni w tym modelu rolę nie tylko narzędzia do kradzieży danych, ale także platformy do utrzymania dostępu, rekonesansu i dostarczania kolejnych ładunków.

Dla organizacji oznacza to konieczność połączenia kontroli źródeł oprogramowania, monitoringu zachowań na endpointach oraz aktywnego threat huntingu. Szczególnie ważne staje się wykrywanie nietypowych instalatorów, pamięciowych frameworków C2 i prób uzyskania trwałości w systemie.

Źródła

https://www.bleepingcomputer.com/news/security/russian-hackers-trojanize-webex-zoom-apps-to-push-starland-malware/
https://blog.talosintelligence.com/

OkoBot atakuje użytkowników Ledger i Trezor, wyłudzając seed phrase z poziomu legalnych aplikacji

Wprowadzenie do problemu / definicja

OkoBot to zaawansowany framework malware dla systemu Windows, którego jednym z najgroźniejszych modułów jest komponent nastawiony na wyłudzanie fraz odzyskiwania portfeli kryptowalutowych. Zamiast przełamywać zabezpieczenia samego portfela sprzętowego, zagrożenie kompromituje komputer ofiary i manipuluje zaufanymi aplikacjami, takimi jak Ledger Live czy Trezor Suite.

To szczególnie niebezpieczny model ataku, ponieważ użytkownik widzi fałszywy formularz wewnątrz prawdziwej aplikacji. W praktyce oznacza to phishing na poziomie endpointu połączony z iniekcją do legalnego procesu.

W skrócie

OkoBot działa na Windows i składa się z ponad 20 komponentów.
Moduł SeedHunter wykrywa aplikacje Ledger i Trezor oraz osadza w nich fałszywe ekrany odzyskiwania portfela.
W niektórych przypadkach malware czeka na fizyczne podłączenie urządzenia USB, by zwiększyć wiarygodność oszustwa.
Celem ataku nie jest złamanie portfela sprzętowego, lecz skłonienie ofiary do samodzielnego ujawnienia seed phrase.
Po przejęciu frazy odzyskiwania napastnicy mogą całkowicie przejąć kontrolę nad aktywami kryptowalutowymi.

Kontekst / historia

Kampania z użyciem OkoBot wpisuje się w rosnący trend ataków wymierzonych w użytkowników kryptowalut, w których cyberprzestępcy odchodzą od prób łamania kryptografii czy firmware’u urządzeń. Zamiast tego koncentrują się na kompromitacji systemu operacyjnego, socjotechnice oraz przejęciu środowiska pracy użytkownika.

W analizowanych przypadkach operatorzy korzystali z przynęt typu ClickFix oraz trojanizowanych pakietów oprogramowania rozpowszechnianych przez złośliwe repozytoria. Jednym z przykładów było oprogramowanie podszywające się pod narzędzia administracyjne, które w rzeczywistości dostarczało implant umożliwiający dalszą eksploatację hosta.

To podejście jest szczególnie groźne, ponieważ łączy klasyczne dostarczenie malware z elementami ataku na łańcuch dostaw. Użytkownik uruchamia pozornie legalny instalator, a w efekcie otrzymuje środowisko przygotowane do szpiegowania, utrwalania dostępu i kradzieży danych.

Analiza techniczna

Najważniejszym komponentem kampanii jest moduł SeedHunter. Po uruchomieniu na stacji roboczej monitoruje on obecność aplikacji związanych z portfelami sprzętowymi i wstrzykuje się do ich procesów. Następnie wykorzystuje mechanizmy interfejsu aplikacji opartych na Electronie, aby wyświetlić fałszywy ekran proszący o podanie seed phrase.

Z punktu widzenia ofiary komunikat nie wygląda jak zewnętrzne okno ani prymitywna nakładka. Jest prezentowany w obrębie autentycznego interfejsu, co znacząco utrudnia wykrycie oszustwa i podnosi skuteczność ataku.

Badacze opisali dwa główne warianty działania. W pierwszym fałszywy ekran pojawia się od razu po wykryciu odpowiedniej aplikacji. W drugim malware czeka na podłączenie prawdziwego urządzenia Ledger lub Trezor i identyfikuje je na podstawie identyfikatorów USB producenta oraz produktu. Dzięki temu komunikat pojawia się dokładnie wtedy, gdy użytkownik spodziewa się legalnej interakcji z portfelem.

Po przechwyceniu danych malware eksportuje je do infrastruktury C2, a część informacji może być tymczasowo buforowana lokalnie. W analizie wskazano również użycie szyfrowania RC4 na jednym z etapów zapisu. Kluczowe jest jednak to, że sam portfel sprzętowy nie zostaje technicznie złamany — naruszone zostaje zaufanie do komputera i aplikacji towarzyszącej.

Łańcuch infekcji jest szerszy niż sam komponent phishingowy. OkoBot wykorzystuje downloader PowerShell, ustanawia zdalny dostęp przez tunel SSH, zbiera informacje o systemie i jego zabezpieczeniach oraz przygotowuje środowisko do dalszej eksploatacji. Zaobserwowano także modyfikacje zapory, dodawanie kont do grupy Remote Desktop Users, podmianę biblioteki termsrv.dll w celu obsługi równoległych sesji RDP oraz tworzenie zadania Apple Sync odpowiedzialnego za odnawianie tunelu zwrotnego.

Dodatkowe moduły mogą odpowiadać za keylogging, przechwytywanie schowka, wykonywanie zrzutów ekranu, monitorowanie aktywności okien oraz instalację ukrytych rozszerzeń Chromium. Oznacza to, że zagrożone są nie tylko aktywa kryptowalutowe, ale również szeroki zakres danych uwierzytelniających i informacji operacyjnych użytkownika.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem ataku jest całkowita utrata środków po ujawnieniu frazy odzyskiwania. Seed phrase stanowi nadrzędny klucz dostępu do portfela, dlatego jej przejęcie niweluje bezpieczeństwo zapewniane przez urządzenie sprzętowe.

Ryzyko jest wysokie również dlatego, że oszustwo odbywa się wewnątrz prawdziwej aplikacji. Użytkownik może uznać komunikat za legalny element procesu odzyskiwania lub konfiguracji, zwłaszcza jeśli pojawia się w chwili podłączenia urządzenia.

Znaczenie ma też trwały dostęp uzyskiwany przez operatorów malware. Po skutecznej infekcji zagrożone stają się przeglądarki, zapisane poświadczenia, sesje webowe, menedżery haseł oraz inne wrażliwe dane znajdujące się na stacji roboczej. To sprawia, że incydent może szybko wyjść poza obszar pojedynczego portfela kryptowalutowego.

Dodatkowo kampania nie opiera się na jednej luce CVE, którą można po prostu załatać. Problem dotyczy kompromitacji endpointu, nadużycia zaufania i skutecznej socjotechniki, dlatego wymaga szerszego podejścia do ochrony stacji końcowych.

Rekomendacje

Najważniejsza zasada brzmi: fraza odzyskiwania nie powinna być wpisywana w aplikacji desktopowej, przeglądarce ani w żadnym wyskakującym formularzu, jeśli nie jest to jednoznacznie potwierdzone przez samo urządzenie i oficjalny, znany użytkownikowi proces odzyskiwania.

pobierać oprogramowanie wyłącznie z oficjalnych źródeł i weryfikować integralność pakietów instalacyjnych;
traktować każde żądanie podania seed phrase jako potencjalny incydent bezpieczeństwa;
monitorować stacje robocze pod kątem nietypowego ruchu SSH oraz oznak zdalnego dostępu;
sprawdzać obecność artefaktów takich jak zadanie Apple Sync, zmodyfikowany termsrv.dll czy nieautoryzowane konta w grupie Remote Desktop Users;
wdrożyć EDR lub XDR z detekcją iniekcji do procesów Electron, nietypowych tuneli oraz mechanizmów utrwalania dostępu;
ograniczać uprawnienia lokalne użytkowników i blokować nieautoryzowane narzędzia zdalnego dostępu;
stosować allowlisting aplikacji, kontrolę uruchamiania skryptów PowerShell oraz segmentację środowiska;
prowadzić szkolenia uświadamiające dotyczące phishingu seed phrase i fałszywych aktualizacji narzędzi kryptowalutowych.

W organizacjach posiadających zespoły SOC warto przygotować procedurę obejmującą izolację hosta, analizę pamięci, przegląd aktywnych tuneli SSH, kontrolę rozszerzeń Chromium oraz szybkie działania związane z migracją aktywów na nowy seed w razie podejrzenia ujawnienia frazy.

Podsumowanie

OkoBot pokazuje, że nowoczesne kampanie malware przeciwko użytkownikom kryptowalut coraz częściej atakują nie samo urządzenie, lecz warstwę zaufania między użytkownikiem, systemem operacyjnym i legalną aplikacją. SeedHunter nie przełamuje zabezpieczeń Ledgera ani Trezora, ale wykorzystuje kompromitację Windowsa i precyzyjnie zaprojektowany phishing osadzony w autentycznym interfejsie.

To czyni zagrożenie szczególnie podstępnym i trudnym do zauważenia. W praktyce najskuteczniejszą obroną pozostaje połączenie higieny operacyjnej, monitorowania anomalii na endpointach oraz bezwzględnego przestrzegania zasady, że seed phrase nigdy nie może trafić do niezaufanego środowiska.