Archiwa: Ransomware - Strona 48 z 121

ThrottleStop Kernel Driver: lokalna eskalacja uprawnień w Windows przez zapis poza zakresem pamięci jądra

Wprowadzenie do problemu / definicja

Publicznie opisany exploit dotyczący sterownika jądra powiązanego z narzędziem ThrottleStop ujawnia groźną podatność umożliwiającą lokalną eskalację uprawnień w systemie Windows. Problem wynika z niebezpiecznej obsługi żądań IOCTL, która pozwala na dostęp do mapowanej pamięci fizycznej, a następnie na wykonanie zapisu w przestrzeni pamięci jądra.

W praktyce oznacza to, że atakujący posiadający już możliwość uruchomienia kodu na hoście może wykorzystać sterownik do obejścia zabezpieczeń systemowych, przejęcia kontroli nad uprzywilejowanymi procesami i uzyskania bardzo wysokich uprawnień. To klasyczny przykład zagrożenia z obszaru BYOVD, czyli wykorzystywania podatnych sterowników do działań post-exploitation.

W skrócie

Opisywana podatność ma charakter lokalnego błędu typu kernel out-of-bounds write i prowadzi do podniesienia uprawnień w Windows. Publicznie dostępny kod PoC pokazuje, że sterownik może zostać użyty do odczytu i zapisu pamięci jądra poprzez operacje na adresach fizycznych.

atak wymaga wcześniejszego lokalnego dostępu do systemu,
exploit zapewnia silne prymitywy odczytu i zapisu w pamięci jądra,
możliwa jest modyfikacja struktur procesów chronionych, w tym LSASS,
skutkiem może być kradzież poświadczeń, obejście EDR i pełna kompromitacja hosta.

Kontekst / historia

Podatne sterowniki od lat pozostają jednym z najważniejszych wektorów eskalacji uprawnień w środowiskach Windows. W wielu przypadkach atak nie polega na zdalnym wykonaniu kodu, lecz na wykorzystaniu zaufanego lub możliwego do załadowania sterownika, który udostępnia zbyt szeroki dostęp do pamięci, rejestrów lub przestrzeni I/O.

W analizowanym przypadku publiczne materiały wskazują na sterownik ThrottleStop dla Windows oraz wersję 3.0.0.0. Podatność została powiązana z identyfikatorem CVE-2025-7771 i wpisuje się w dobrze znany scenariusz, w którym napastnik po uzyskaniu przyczółka na systemie poszukuje szybkiej ścieżki do praw SYSTEM lub do wyłączenia ochrony kluczowych procesów bezpieczeństwa.

Tego rodzaju błędy są szczególnie niebezpieczne w realnych incydentach, ponieważ często stanowią pomost między początkowym dostępem a pełnym przejęciem kontroli nad stacją roboczą lub serwerem. Z perspektywy obrońców oznacza to konieczność traktowania sterowników jako elementu krytycznego dla powierzchni ataku.

Analiza techniczna

Z technicznego punktu widzenia exploit korzysta z interfejsu sterownika udostępnianego przez urządzenie \\.\ThrottleStop oraz z określonego kodu IOCTL 0x8000645C. Kod PoC definiuje strukturę wejściową zawierającą adres fizyczny i rozmiar operacji, a następnie wykorzystuje mechanizm translacji adresów do odczytu i zapisu wybranych obszarów pamięci jądra.

Kluczowy problem polega na tym, że sterownik zwraca wskaźnik do mapowanej pamięci, co umożliwia procesowi użytkownika wykonanie bezpośredniego zapisu wskazanej wartości. W efekcie powstaje bardzo niebezpieczny prymityw zapisu do pamięci jądra, wystarczający do modyfikowania krytycznych struktur systemowych odpowiedzialnych za integralność i bezpieczeństwo systemu operacyjnego.

Publiczny PoC demonstruje pełny łańcuch ataku. Najpierw sterownik jest ładowany jako usługa typu sterownika jądra, następnie otwierany jest uchwyt do urządzenia, po czym kod lokalizuje bazę jądra systemowego oraz strukturę procesu systemowego. W dalszej kolejności exploit przechodzi po liście aktywnych procesów, odnajduje strukturę EPROCESS procesu lsass.exe i modyfikuje pola odpowiedzialne za jego ochronę.

Najbardziej istotnym elementem demonstracji jest wyłączenie mechanizmów ochronnych procesu LSASS, w tym pól związanych z ochroną typu PPL oraz poziomem podpisu. To sprawia, że proces zaprojektowany do przechowywania wrażliwych danych uwierzytelniających przestaje być odpowiednio chroniony przed narzędziami post-exploitation działającymi z wysokimi uprawnieniami.

Z punktu widzenia atakującego taki wektor jest wyjątkowo wartościowy. Pozwala nie tylko na obejście zabezpieczeń lokalnych, ale również na przygotowanie środowiska do dalszego dumpingu poświadczeń, omijania narzędzi EDR czy utrwalania obecności w systemie na poziomie trudniejszym do wykrycia.

Konsekwencje / ryzyko

Najpoważniejszą konsekwencją podatności jest możliwość szybkiej eskalacji uprawnień do poziomu, który umożliwia pełną kontrolę nad systemem Windows. W środowiskach firmowych oznacza to ryzyko przejęcia poświadczeń, wyłączenia mechanizmów ochronnych i ułatwienia dalszego ruchu bocznego w sieci.

Ryzyko operacyjne rośnie z kilku powodów. Po pierwsze, publiczny PoC obniża próg wejścia dla przestępców i operatorów ransomware. Po drugie, wykorzystanie podatnych sterowników często bywa mniej oczywiste z punktu widzenia klasycznych mechanizmów detekcji niż typowe działania malware w przestrzeni użytkownika. Po trzecie, wiele organizacji nadal nie posiada dojrzałej polityki blokowania sterowników podatnych lub niepożądanych.

Choć podatność nie zapewnia początkowego dostępu, w praktyce może odegrać kluczową rolę w fazie post-compromise. To właśnie lokalna eskalacja uprawnień bardzo często decyduje o tym, czy napastnik z ograniczonego konta użytkownika przejdzie do pełnej dominacji nad hostem i krytycznymi procesami systemowymi.

Rekomendacje

Organizacje powinny rozpocząć od ustalenia, czy podatny sterownik lub powiązane z nim oprogramowanie znajdują się w środowisku. Dotyczy to nie tylko stacji roboczych użytkowników technicznych, lecz także systemów administracyjnych, laboratoriów testowych i maszyn wykorzystywanych do diagnostyki sprzętowej.

Jeżeli komponent nie jest niezbędny biznesowo, najbezpieczniejszym działaniem pozostaje jego usunięcie. Równolegle warto wdrożyć polityki ograniczające możliwość ładowania podatnych sterowników oraz egzekwować reguły integralności kodu i kontroli aplikacji.

zidentyfikować obecność sterownika ThrottleStop i podobnych komponentów niskopoziomowych,
włączyć listy blokowania znanych podatnych sterowników,
monitorować tworzenie i uruchamianie usług typu kernel driver,
analizować nietypowe wywołania DeviceIoControl kierowane do sterowników,
śledzić anomalie związane z ochroną procesu LSASS i dostępem do jego pamięci,
ograniczać lokalnym użytkownikom możliwość uruchamiania nieautoryzowanego kodu.

W środowiskach o wyższym poziomie wymagań bezpieczeństwa wskazane jest także okresowe przeglądanie listy dozwolonych sterowników, testowanie odporności na scenariusze BYOVD oraz stosowanie zasady najmniejszych uprawnień dla kont użytkowników i administratorów.

Podsumowanie

Przypadek sterownika ThrottleStop pokazuje, jak groźne mogą być błędy w sterownikach jądra udostępniających zbyt szerokie możliwości operacji na pamięci. Nawet jeśli atak wymaga wcześniejszego lokalnego dostępu, publiczny exploit dowodzi, że taki przyczółek może zostać szybko przekształcony w niemal pełną kontrolę nad systemem.

Dla zespołów bezpieczeństwa to kolejny sygnał, że skuteczna ochrona Windows nie może ograniczać się wyłącznie do warstwy user-mode. Zarządzanie sterownikami, blokowanie podatnych komponentów i monitoring aktywności w jądrze powinny stanowić integralny element strategii hardeningu i detekcji.

Źródła

Exploit Database – Throttlestop Kernel Driver – Kernel Out-of-Bounds Write Privilege Escalation
https://www.exploit-db.com/exploits/52512
NVD – CVE-2025-7771
https://nvd.nist.gov/vuln/detail/CVE-2025-7771
TechPowerUp – ThrottleStop
https://www.techpowerup.com/download/techpowerup-throttlestop/
Xavi Beltran – Using vulnerable drivers in red team exercises
https://xavibel.com/2025/12/22/using-vulnerable-drivers-in-red-team-exercises/
Microsoft Learn – Driver Security Guidance
https://learn.microsoft.com/windows/security/application-security/application-control/app-control-for-business/design/microsoft-recommended-driver-block-rules

The Gentlemen: nowa grupa ransomware błyskawicznie rośnie w siłę

Wprowadzenie do problemu / definicja

The Gentlemen to nowa operacja ransomware-as-a-service, która w bardzo krótkim czasie zyskała znaczącą pozycję w krajobrazie cyberzagrożeń. Mimo nazwy sugerującej łagodność grupa prowadzi klasyczne kampanie podwójnego wymuszenia, łącząc szyfrowanie systemów z kradzieżą danych oraz groźbą ich publikacji. Szczególny niepokój budzi tempo rozwoju zaplecza technicznego i wysoki poziom dojrzałości operacyjnej widoczny już na wczesnym etapie działalności.

W skrócie

The Gentlemen pojawiło się w połowie 2025 roku i szybko awansowało do grona najbardziej aktywnych grup RaaS.
Atakujący wykorzystują m.in. SystemBC, tunele SOCKS5, Cobalt Strike i mechanizmy wyłączania zabezpieczeń Windows.
W kampaniach obserwowano masowe wdrażanie ransomware za pomocą Active Directory Group Policy.
Grupa rozwija także warianty przeznaczone dla środowisk VMware ESXi.
Najbardziej narażone są organizacje korporacyjne z rozbudowaną domeną Windows i scentralizowaną administracją.

Kontekst / historia

Model ransomware-as-a-service od lat obniża próg wejścia dla cyberprzestępców. Twórcy dostarczają oprogramowanie, infrastrukturę oraz kanały negocjacyjne, natomiast afilianci odpowiadają za uzyskanie dostępu do ofiary, ruch boczny i uruchomienie ładunku szyfrującego. Skuteczność takich operacji zależy od jakości narzędzi, atrakcyjności programu partnerskiego oraz zdolności do utrzymania ciągłości działania mimo presji ze strony organów ścigania i branży bezpieczeństwa.

Na tym tle The Gentlemen wyróżnia się wyjątkowo szybkim tempem wzrostu. W krótkim czasie grupa osiągnęła poziom aktywności porównywalny z bardziej ugruntowanymi markami ransomware. Jej rosnąca obecność w raportach branżowych sugeruje, że ma skuteczny model afiliacyjny oraz ofertę atrakcyjną dla operatorów szukających dojrzałego zaplecza technicznego.

Analiza techniczna

W analizowanych incydentach po uzyskaniu dostępu do środowiska atakujący uruchamiali malware SystemBC. To komponent pośredniczący, wykorzystywany do zestawiania tuneli SOCKS5, ukrywania komunikacji z infrastrukturą dowodzenia i kontroli oraz pobierania kolejnych narzędzi. W praktyce stanowi on wygodną warstwę transportową dla dalszych etapów ręcznie prowadzonych operacji.

Następnie operatorzy rozszerzali obecność w sieci, koncentrując się na zasobach o wysokiej wartości, zwłaszcza na kontrolerach domeny. Uzyskanie uprzywilejowanego dostępu do takiego systemu znacząco przyspiesza eskalację ataku, umożliwiając rekonesans, modyfikację polityk bezpieczeństwa, dystrybucję narzędzi oraz przygotowanie masowego wdrożenia ransomware.

Jednym z najbardziej niebezpiecznych elementów działania The Gentlemen jest wykorzystanie natywnej infrastruktury Active Directory. Operatorzy mogą używać Group Policy do jednoczesnego uruchamiania ładunku na wielu hostach domenowych. Dla obrońców oznacza to, że przejęcie jednego kluczowego systemu administracyjnego może bardzo szybko doprowadzić do szyfrowania dużej części środowiska Windows.

Sam ransomware rozwijany jest w języku Go, co wpisuje się w trend tworzenia przenośnych i łatwych do adaptacji binariów. Zaobserwowano funkcje pozwalające wyłączać Microsoft Defender, zaporę systemową oraz wybrane mechanizmy monitorowania i skanowania. Grupa korzysta również z narzędzi zdalnego dostępu oraz komponentów wspierających utrzymanie trwałości w środowisku ofiary.

Istotnym elementem operacji jest także wariant przeznaczony dla VMware ESXi. Wskazuje to na dążenie do skutecznego paraliżowania infrastruktury wirtualnej i zwiększania presji na ofiary. Dodatkowo operatorzy podejmują działania przygotowawcze, takie jak kontrolowane wyłączanie maszyn wirtualnych czy ograniczanie mechanizmów automatycznego odzyskiwania, co zwiększa skuteczność szyfrowania i utrudnia szybkie odtworzenie usług.

Na uwagę zasługuje również dojrzałość modelu afiliacyjnego. Pakiet oferowany przez grupę obejmuje eksfiltrację danych, szyfrowanie, ruch boczny, techniki unikania detekcji i obsługę wielu platform. Dzięki temu nawet mniej doświadczeni afilianci mogą realizować ataki o skali typowej dla bardziej zaawansowanych operatorów.

Konsekwencje / ryzyko

Największe ryzyko dla organizacji wynika z bardzo krótkiego czasu przejścia od początkowej kompromitacji do pełnoskalowego incydentu. Jeśli napastnicy przejmą system brzegowy, a następnie uzyskają dostęp do kontrolera domeny, rozpropagowanie ładunku może nastąpić błyskawicznie. Skutkiem może być jednoczesna niedostępność usług, utrata danych, przerwanie procesów biznesowych, szkody reputacyjne oraz presja negocjacyjna wynikająca z podwójnego wymuszenia.

Szczególnie zagrożone są organizacje z rozbudowanymi domenami Windows, wysokim stopniem centralizacji administracji, niewystarczającą segmentacją sieci i krytycznymi usługami utrzymywanymi na hostach ESXi. Dodatkowym problemem jest wykorzystywanie legalnych narzędzi administracyjnych i popularnych frameworków ofensywnych, co może utrudniać wykrycie anomalii na wczesnym etapie ataku.

Rekomendacje

W pierwszej kolejności organizacje powinny ograniczyć ryzyko kompromitacji systemów wystawionych do Internetu. Niezbędne są regularne przeglądy zasobów publicznych, szybkie usuwanie podatności, wyłączanie nieużywanych usług zdalnych oraz wdrażanie wieloskładnikowego uwierzytelniania tam, gdzie jest to możliwe.

Kluczowe znaczenie ma ochrona warstwy tożsamości i infrastruktury domenowej. Kontrolery domeny powinny być objęte wzmocnionym monitoringiem, segmentacją i ścisłą kontrolą dostępu uprzywilejowanego. Każda nietypowa modyfikacja Group Policy, nagłe wdrożenia skryptów PowerShell czy nieoczekiwana dystrybucja binariów powinny uruchamiać alerty bezpieczeństwa.

Warto również wdrożyć detekcję zachowań charakterystycznych dla etapów poprzedzających szyfrowanie. Dotyczy to w szczególności tuneli SOCKS5, komunikacji z serwerami C2, wyłączania Defendera i zapory, nietypowego użycia narzędzi zdalnego dostępu, aktywności Cobalt Strike oraz gwałtownego wzrostu operacji administracyjnych na wielu hostach. Istotna jest także telemetria z hostów ESXi i monitorowanie zdarzeń związanych z masowym wyłączaniem maszyn wirtualnych.

Z perspektywy odporności operacyjnej niezbędne są odseparowane kopie zapasowe, regularne testy odtwarzania, procedury izolacji segmentów sieci oraz gotowy plan reagowania na incydenty ransomware. Program szkoleniowy dla pracowników i administratorów powinien obejmować rozpoznawanie oznak kompromitacji, zasady pracy z uprzywilejowanymi kontami oraz właściwą reakcję na incydenty z użyciem narzędzi zdalnego dostępu.

Podsumowanie

The Gentlemen to przykład nowej generacji operacji RaaS, która bardzo szybko osiągnęła skalę zwykle zarezerwowaną dla bardziej dojrzałych grup ransomware. Połączenie SystemBC, tunelowania sieciowego, aktywnego ruchu bocznego, wyłączania zabezpieczeń, wykorzystania Group Policy oraz wariantów dla środowisk ESXi sprawia, że zagrożenie ma charakter wysoce operacyjny i stanowi realne ryzyko dla dużych organizacji. Dla zespołów bezpieczeństwa najważniejsze pozostają dziś trzy priorytety: ochrona systemów brzegowych, twarde zabezpieczenie Active Directory oraz szybkie wykrywanie działań przygotowawczych poprzedzających detonację ransomware.

Źródła

Dark Reading — „The Gentlemen’ Rapidly Rises to Ransomware Prominence” — https://www.darkreading.com/threat-intelligence/gentlemen-rapidly-rise-ransomware
Comparitech — „Ransomware roundup: Q1 2026” — https://www.comparitech.com/news/ransomware-roundup-q1-2026/
NCC Group — „Monthly Threat Pulse – Review of February 2026” — https://www.nccgroup.com/newsroom/ncc-group-monthly-threat-pulse-review-of-february-2026/
GuidePoint Security — „Q1 2026 Ransomware and Cyber Threat Insights” — https://www.guidepointsecurity.com/wp-content/uploads/2026/04/Q1-2026_Ransomware_and-Cyber_Threat_Insights.pdf
Silent Push — „No Place to Hide: Following a Serial Ransomware Affiliate from LockBit, Black Basta, and Qilin to The Gentlemen” — https://www.silentpush.com/blog/gentlemen-ransomware/

Eksploity przeciw Microsoft Defender pozwalają eskalować uprawnienia i osłabiać ochronę systemów Windows

Wprowadzenie do problemu / definicja

Microsoft Defender jest domyślnym mechanizmem ochronnym w wielu środowiskach Windows, dlatego wszelkie błędy w jego uprzywilejowanych komponentach mają szczególnie wysoką wartość dla atakujących. Najnowsze analizy pokazują, że określone techniki eksploatacji mogą odwrócić rolę tego rozwiązania i wykorzystać jego zaufane procesy do przejęcia wyższych uprawnień lub osłabienia skuteczności ochrony.

Problem dotyczy trzech publicznie opisanych metod: BlueHammer, RedSun oraz UnDefend. Dwie pierwsze są kojarzone z eskalacją uprawnień do poziomu SYSTEM, natomiast trzecia pozwala na stopniowe pogarszanie zdolności Defendera do skutecznego aktualizowania i egzekwowania ochrony.

W skrócie

BlueHammer wykorzystuje warunek wyścigu w mechanizmie aktualizacji sygnatur i został powiązany z CVE-2026-33825.
RedSun ma umożliwiać eskalację uprawnień poprzez nadużycie procesu klasyfikacji i remediacji plików.
UnDefend nie służy bezpośrednio do podniesienia uprawnień, ale może cicho osłabiać skuteczność ochrony endpointu.
Zaobserwowane użycie tych technik dotyczy głównie działań po uzyskaniu wstępnego dostępu do systemu.
Dla organizacji kluczowe znaczenie mają szybkie aktualizacje, kontrola wykonywania plików i niezależne mechanizmy monitoringu.

Kontekst / historia

Publiczne informacje wskazują, że zestaw exploitów został udostępniony po nieudanej próbie odpowiedzialnego ujawnienia. W krótkim czasie po publikacji techniki zaczęły być analizowane nie tylko w środowiskach testowych, ale również w realnych incydentach bezpieczeństwa.

Charakter tych incydentów sugeruje raczej działania ukierunkowane niż masowe kampanie automatyczne. Operatorzy po uzyskaniu dostępu do zwykłego konta użytkownika prowadzili rozpoznanie lokalne, sprawdzali kontekst uprawnień i uruchamiali potrzebne narzędzia z katalogów użytkownika, aby ograniczyć widoczność operacyjną. Taki model działania wskazuje na wykorzystanie exploitów głównie na etapie post-compromise.

Analiza techniczna

BlueHammer jest opisywany jako podatność typu TOCTOU, czyli time-of-check to time-of-use. W praktyce oznacza to sytuację, w której system najpierw sprawdza obiekt lub ścieżkę, a następnie wykonuje operację w późniejszym momencie, pozostawiając krótkie okno czasowe na manipulację. Jeśli atakujący wygra taki wyścig, może przekierować zapis lub modyfikację do kontrolowanej lokalizacji i doprowadzić do wykonania operacji z uprawnieniami SYSTEM.

RedSun ma działać według podobnego schematu, ale koncentruje się na procesie odpowiedzialnym za klasyfikację i priorytetyzację wykrytych plików oraz zagrożeń. Według opublikowanych analiz aktywacja ścieżki podatnej może nastąpić nawet z użyciem testowego ciągu EICAR, powszechnie wykorzystywanego do sprawdzania działania silników antywirusowych. Następnie exploit ponownie wykorzystuje warunek wyścigu, aby podstawić obiekt kontrolowany przez napastnika i doprowadzić do wykonania własnego kodu z wysokimi uprawnieniami.

UnDefend różni się celem operacyjnym. Nie koncentruje się na natychmiastowej eskalacji uprawnień, lecz na obniżeniu skuteczności warstwy ochronnej po wcześniejszym przejęciu systemu. Technika ingeruje w proces aktualizacji sygnatur i mechanizmy raportowania, przez co endpoint może wyglądać na poprawnie chroniony, mimo że bieżąca inteligencja o zagrożeniach nie jest skutecznie dostarczana.

Wspólnym elementem wszystkich trzech scenariuszy jest nadużycie zaufania do uprzywilejowanych operacji wejścia/wyjścia wykonywanych przez komponent bezpieczeństwa. Gdy zaufany proces operuje z wysokimi uprawnieniami bez pełnej walidacji ścieżek, blokad i kontekstu wykonania, sam staje się atrakcyjnym wektorem ataku.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem jest możliwość uzyskania uprawnień SYSTEM bez konieczności sięgania po exploit jądra czy klasyczne błędy korupcji pamięci. To znacząco upraszcza działania napastnika po kompromitacji, umożliwiając trwałe osadzenie się w systemie, dostęp do wrażliwych zasobów, obchodzenie zabezpieczeń i przygotowanie gruntu pod dalszy ruch boczny.

Ryzyko szczególnie rośnie tam, gdzie atakujący może najpierw zdobyć lokalny dostęp do zwykłego konta użytkownika, na przykład przez przejęte dane logowania, słabo chroniony zdalny dostęp lub brak uwierzytelniania wieloskładnikowego. W takim scenariuszu publicznie dostępne proof-of-concepty obniżają próg wejścia także dla mniej zaawansowanych operatorów.

Dodatkowym zagrożeniem jest cicha degradacja detekcji. Jeśli organizacja polega wyłącznie na natywnych wskaźnikach stanu, może przez pewien czas funkcjonować w błędnym przekonaniu, że ochrona działa prawidłowo. To zwiększa szansę powodzenia kolejnych etapów ataku, w tym kradzieży danych, wdrożenia ransomware lub długotrwałej obecności intruza w środowisku.

Rekomendacje

Priorytetem powinno być niezwłoczne wdrożenie dostępnych aktualizacji bezpieczeństwa oraz potwierdzenie rzeczywistej wersji platformy antymalware na stacjach roboczych i serwerach. Nie należy opierać oceny wyłącznie na widoku kondycji prezentowanym przez konsolę zarządzającą.

Organizacje powinny założyć, że problem ma szerszy charakter niż pojedyncza poprawka. RedSun i UnDefend wskazują na klasę słabości związaną z walidacją ścieżek, warunkami wyścigu oraz nadmiernym zaufaniem do operacji wykonywanych przez uprzywilejowane procesy ochronne.

Wymusić MFA dla wszystkich kanałów zdalnego dostępu, zwłaszcza VPN i interfejsów administracyjnych.
Zablokować wykonywanie plików z katalogów zapisywalnych przez użytkownika, takich jak Downloads, Pictures i Temp.
Monitorować nietypowe procesy potomne oraz uruchamianie binariów z profili użytkowników.
Objąć krytyczne pliki i usługi ochronne monitoringiem integralności.
Wdrożyć niezależną warstwę detekcji, która nie współdzieli tej samej granicy zaufania co lokalny agent ochronny.
Analizować oznaki ręcznej aktywności po kompromitacji, w tym enumerację uprawnień i próby manipulacji komponentami Defendera.

Podsumowanie

BlueHammer, RedSun i UnDefend pokazują, że nawet natywne mechanizmy bezpieczeństwa mogą stać się narzędziem ataku, jeśli intruz potrafi przejąć kontrolę nad uprzywilejowanymi workflowami plikowymi i aktualizacyjnymi. Nie chodzi więc wyłącznie o pojedynczy błąd, ale o szerszy problem architektoniczny związany z bezpieczeństwem zaufanych procesów działających z wysokimi uprawnieniami.

Dla zespołów bezpieczeństwa najważniejsze pozostają trzy filary: szybkie aktualizowanie środowiska, ograniczanie możliwości uzyskania wstępnego dostępu oraz stosowanie niezależnych mechanizmów detekcji i kontroli integralności. W realiach, w których publiczny exploit może szybko przejść z laboratorium do prawdziwych włamań, tempo reakcji i wielowarstwowa obrona pozostają kluczowe.

Źródła

Dark Reading — Exploits Turn Windows Defender Into Attacker Tool — https://www.darkreading.com/cyberattacks-data-breaches/exploits-turn-windows-defender-attacker-tool
Huntress — Nightmare-Eclipse Tooling Seen in Real-World Intrusion — https://www.huntress.com/blog/nightmare-eclipse-intrusion
National Vulnerability Database — CVE-2026-33825 — https://nvd.nist.gov/vuln/detail/CVE-2026-33825

Phishing znów dominuje w initial access w Q1 2026. AI przyspiesza tworzenie kampanii

Wprowadzenie do problemu / definicja

Phishing ponownie stał się najważniejszym wektorem uzyskiwania dostępu początkowego do środowisk organizacji. To technika oparta na socjotechnice, fałszywych stronach logowania i przechwytywaniu poświadczeń, której celem jest obejście zabezpieczeń oraz przejęcie kont użytkowników. W pierwszym kwartale 2026 roku zjawisko to zyskało dodatkowy impuls w postaci narzędzi AI, które upraszczają przygotowanie wiarygodnych kampanii.

Najważniejszy wniosek jest prosty: phishing nie tylko nie traci skuteczności, ale znów wyprzedza inne metody wejścia do organizacji. Dla zespołów bezpieczeństwa oznacza to konieczność ponownego skupienia uwagi na ochronie tożsamości, konfiguracji MFA oraz widoczności zdarzeń w całym środowisku.

W skrócie

W analizowanych incydentach z Q1 2026 phishing był najczęściej identyfikowaną metodą initial access. Odpowiadał za ponad jedną trzecią przypadków, w których udało się ustalić wektor wejścia. Szczególnie istotne jest to, że w części działań wykorzystano narzędzia AI do budowy stron wyłudzających poświadczenia.

Phishing wrócił na pierwsze miejsce wśród metod initial access.
Rosnąca rola AI obniża próg wejścia dla operatorów kampanii.
Problemy z MFA pozostają jedną z najczęstszych słabości obrony.
Nadal duże znaczenie mają podatne usługi internetowe i braki w logowaniu.
Najczęściej atakowanymi sektorami były administracja publiczna i ochrona zdrowia.

Kontekst / historia

W poprzednich kwartałach dominującym sposobem uzyskiwania dostępu bywało wykorzystywanie podatności w systemach wystawionych do internetu. Dotyczyło to zwłaszcza aplikacji korporacyjnych i usług utrzymywanych lokalnie, które stawały się celem masowej eksploatacji. W Q1 2026 widoczny był jednak powrót do klasycznego modelu ataku, w którym najważniejszą rolę znów odgrywa przejęcie danych logowania.

Zmiana ta nie oznacza, że ataki na podatne systemy przestały być groźne. Pokazuje raczej, że socjotechnika i kradzież poświadczeń nadal zapewniają atakującym bardzo wysoki zwrot przy relatywnie niskim koszcie operacyjnym. Gdy dodatkowo wsparcie zapewniają narzędzia automatyzujące budowę fałszywych stron, przygotowanie kampanii staje się szybsze i bardziej dostępne.

Raportowane incydenty częściej dotyczyły administracji publicznej i ochrony zdrowia. To sektory operujące na danych wrażliwych, często pod presją ciągłości działania i niekiedy na starszej infrastrukturze. Z punktu widzenia przeciwnika są więc atrakcyjnym celem zarówno dla działań nastawionych na zysk, jak i dla operacji o charakterze szpiegowskim.

Warto również odnotować, że udział incydentów typu pre-ransomware był niższy niż w pierwszej połowie 2025 roku. Nie należy jednak interpretować tego jako trwałego spadku zagrożenia ransomware, lecz raczej jako sygnał, że część kampanii mogła być skuteczniej wykrywana lub przerywana na wcześniejszych etapach.

Analiza techniczna

Jednym z najbardziej interesujących elementów trendu było wykorzystanie platformy Softr do stworzenia fałszywej strony logowania imitującej Microsoft Exchange oraz Outlook Web Access. To ważny sygnał dla obrońców, ponieważ pokazuje, że operator kampanii nie musi już samodzielnie przygotowywać kompletnego kodu strony, formularzy i mechanizmów zaplecza do zapisu danych.

W praktyce narzędzie AI może pomóc zbudować funkcjonalną stronę phishingową na podstawie krótkich poleceń. Dalej taka strona może zostać połączona z prostym backendem lub repozytorium danych, które automatycznie zapisuje przechwycone loginy i hasła. Dzięki temu cały proces tworzenia infrastruktury phishingowej staje się bardziej zautomatyzowany, szybszy i tańszy.

Technicznie szczególnie istotne jest zestawienie dwóch obserwacji: phishing był najczęściej wykrywanym wektorem initial access, a legalne konta stanowiły drugi z najczęstszych mechanizmów używanych w incydentach. Te dwa zjawiska są ze sobą bezpośrednio powiązane, ponieważ celem phishingu bardzo często jest właśnie zdobycie prawidłowych danych uwierzytelniających i wykorzystanie ich do logowania wyglądającego na zgodne z normalnym ruchem użytkownika.

Raport zwraca też uwagę na problemy związane z MFA. W części organizacji uwierzytelnianie wieloskładnikowe nie było włączone, w innych wdrożono je niepełnie albo z błędami. Atakujący potrafili obchodzić te mechanizmy między innymi przez rejestrację nowych urządzeń do wcześniej przejętych kont lub przez takie konfigurowanie klientów pocztowych, aby łączyły się bezpośrednio z serwerami Exchange poza standardowym przepływem logowania objętym MFA.

To bardzo ważna lekcja: samo włączenie MFA nie daje pełnej ochrony, jeśli organizacja nie kontroluje polityk dostępu, rejestracji urządzeń i wyjątków dla starszych protokołów lub klientów. Każda niespójność między polityką tożsamości a rzeczywistymi ścieżkami logowania może zostać wykorzystana jako obejście.

Dodatkowym problemem pozostają podatne lub nadmiernie eksponowane usługi internetowe oraz niedostateczne logowanie zdarzeń. Nawet gdy początkowe wejście następuje przez phishing, kolejne etapy ataku są ułatwiane przez otwarte interfejsy administracyjne, zbyt szerokie uprawnienia kont i brak centralnej telemetryki.

Konsekwencje / ryzyko

Powrót phishingu na pozycję dominującego wektora initial access zwiększa ryzyko prowadzenia masowych kampanii o niskim koszcie i dużej skali. Automatyzacja tworzenia stron phishingowych umożliwia szybkie generowanie kolejnych wariantów dopasowanych do konkretnych marek, portali logowania czy grup użytkowników.

Dla organizacji oznacza to większe prawdopodobieństwo skutecznego przejęcia kont, zwłaszcza tam, gdzie nadal występują luki w konfiguracji MFA, zbyt liberalne zasady rejestracji urządzeń lub brak segmentacji dostępu. Przejęte konto może zostać następnie wykorzystane do eskalacji uprawnień, dostępu do poczty, środowisk SaaS, usług chmurowych i danych wrażliwych.

Ryzyko operacyjne jest szczególnie wysokie w sektorach o niskiej tolerancji przestojów. W administracji publicznej i ochronie zdrowia kompromitacja tożsamości użytkownika może szybko przełożyć się na zakłócenie usług, wyciek informacji, nadużycia finansowe albo przygotowanie gruntu pod dalszy etap wymuszenia lub ransomware.

Z perspektywy strategicznej niepokoi także industrializacja phishingu. Nawet jeśli AI nie tworzy jeszcze całkowicie przełomowych technik, już dziś przyspiesza produkcję wiarygodnych przynęt i obniża wymagany poziom kompetencji technicznych. To zwiększa liczbę potencjalnych przeciwników zdolnych do prowadzenia skutecznych kampanii.

Rekomendacje

Organizacje powinny potraktować ochronę tożsamości jako jeden z głównych filarów cyberbezpieczeństwa. W pierwszej kolejności należy zweryfikować, czy MFA jest wymuszane dla wszystkich usług zdalnych, poczty, aplikacji SaaS i kont uprzywilejowanych. Równie ważne jest ograniczenie samodzielnej rejestracji nowych urządzeń oraz ścisła kontrola wyjątków od standardowych polityk logowania.

Wymusić MFA dla wszystkich krytycznych usług i kont uprzywilejowanych.
Ograniczyć lub centralnie zatwierdzać rejestrację nowych urządzeń.
Wyłączyć niepotrzebne starsze protokoły i niestandardowe ścieżki logowania.
Wdrożyć dostęp warunkowy oraz ocenę ryzyka logowania.
Monitorować nietypowe logowania z nowych lokalizacji, adresów IP i urządzeń.

Konieczne jest również dalsze wzmacnianie ochrony przed phishingiem. Obejmuje to filtrację poczty, detekcję stron wyłudzających poświadczenia oraz regularne szkolenia zwiększające świadomość użytkowników. Coraz większe znaczenie ma przy tym analiza zachowania po zalogowaniu, ponieważ użycie poprawnych poświadczeń często pozwala atakującemu ominąć klasyczne wskaźniki podejrzanego ruchu.

Nie mniej istotne pozostaje zarządzanie podatnościami i ograniczanie ekspozycji usług administracyjnych do internetu. Organizacje powinny szybko wdrażać poprawki, przeglądać zdalne interfejsy zarządzania i usuwać zbędnie wystawione usługi. Publicznie dostępna infrastruktura nadal stanowi bowiem ważny punkt zaczepienia dla napastników.

Z perspektywy wykrywania i reagowania kluczowa jest centralizacja logów w systemie SIEM lub równoważnej platformie telemetrycznej. Brak pełnych zapisów utrudnia odtworzenie przebiegu incydentu, potwierdzenie skali kompromitacji i ocenę, czy doszło do eksfiltracji danych.

Centralizować logi z poczty, systemów tożsamości, endpointów i usług chmurowych.
Wdrożyć monitoring anomalii logowania i aktywności po uwierzytelnieniu.
Stosować zasadę najmniejszych uprawnień dla kont użytkowników i serwisów.
Segmentować dostęp między użytkownikami, administracją i systemami krytycznymi.
Przygotować playbooki IR dla phishingu, przejęcia konta i obejścia MFA.

Podsumowanie

Pierwszy kwartał 2026 roku potwierdził, że phishing pozostaje jednym z najgroźniejszych i najbardziej opłacalnych sposobów uzyskiwania dostępu do organizacji. Kluczową zmianą jest rosnąca rola AI, która upraszcza budowę fałszywych stron logowania i przyspiesza przygotowanie kampanii.

W połączeniu z błędami we wdrożeniach MFA, podatną infrastrukturą internetową i brakami w logowaniu tworzy to środowisko sprzyjające skutecznym naruszeniom. Odporność na phishing zależy dziś nie tylko od świadomości użytkowników, ale przede wszystkim od jakości architektury tożsamości, egzekwowania polityk bezpieczeństwa oraz zdolności do szybkiego wykrywania i reagowania.

Źródła

Cisco Talos: IR Trends Q1 2026: Phishing reemerges as top initial access vector, as attacks targeting public administration persist — https://blog.talosintelligence.com/ir-trends-q1-2026/
Cybersecurity Dive: Phishing — sometimes with AI’s help — topped initial-access methods in Q1, Cisco says — https://www.cybersecuritydive.com/news/phishing-initial-access-ai-cisco/818185/

Były negocjator ransomware przyznał się do współpracy z grupą BlackCat

Wprowadzenie do problemu / definicja

Incydenty ransomware od lat angażują nie tylko zespoły techniczne odpowiedzialne za reagowanie, lecz także wyspecjalizowanych negocjatorów wspierających ofiary w kontakcie z cyberprzestępcami. Taki model opiera się na zaufaniu, poufności oraz ścisłej ochronie informacji dotyczących skali szkód, limitów ubezpieczeniowych i strategii negocjacyjnej.

Najnowsza sprawa karna w Stanach Zjednoczonych pokazuje jednak, że ten mechanizm może zostać wykorzystany przeciwko ofiarom. Były negocjator ransomware przyznał się do współpracy z operatorami BlackCat/ALPHV, co stawia w centrum uwagi ryzyko insider threat po stronie dostawców usług cyberbezpieczeństwa.

W skrócie

Były negocjator ransomware przyznał się do współpracy z grupą BlackCat/ALPHV.
Miał przekazywać przestępcom poufne informacje pozyskane podczas obsługi rzeczywistych incydentów.
Sprawa ujawnia ryzyko nadużycia pozycji zaufania w sektorze incident response.
Organizacje powinny zaostrzyć kontrolę dostępu, audyt działań partnerów i nadzór nad negocjacjami.

Kontekst / historia

BlackCat, znany również jako ALPHV, należał do najgłośniejszych operacji ransomware-as-a-service ostatnich lat. Grupa była kojarzona z atakami na przedsiębiorstwa i instytucje, wykorzystując model podwójnego wymuszenia: szyfrowanie danych oraz groźbę ich publikacji.

W odpowiedzi na wzrost liczby ataków rozwinął się szeroki rynek usług wspierających ofiary ransomware. Firmy incident response, kancelarie prawne, brokerzy cyberubezpieczeń i negocjatorzy stali się stałym elementem zarządzania kryzysowego. Właśnie w tym obszarze doszło do szczególnie niepokojącej anomalii: osoba mająca ograniczać skutki incydentu miała jednocześnie wzmacniać pozycję przestępców.

Sprawa wpisuje się w szerszy trend działań organów ścigania, które coraz częściej analizują nie tylko samych operatorów ransomware, ale także pośredników, insiderów i osoby dostarczające cyberprzestępcom informacji operacyjnych. Dla rynku cyberbezpieczeństwa to wyraźny sygnał, że zaufanie do partnerów zewnętrznych musi być wsparte realnymi mechanizmami kontroli.

Analiza techniczna

Z techniczno-operacyjnego punktu widzenia kluczowym elementem tej sprawy nie był nowy malware ani nietypowy wektor dostępu, lecz kompromitacja procesu negocjacyjnego. Według ujawnionych informacji były negocjator miał przekazywać grupie ransomware dane pozyskane podczas obsługi incydentów.

Tego typu informacje mogły obejmować:

limity polis cyberubezpieczeniowych,
wewnętrzną ocenę gotowości ofiary do zapłaty,
priorytety biznesowe i presję czasową,
stan prac nad odtwarzaniem środowiska,
szczegóły strategii komunikacyjnej po stronie ofiary.

Dla operatorów ransomware są to dane o bardzo wysokiej wartości. Pozwalają precyzyjniej dobrać wysokość żądania, lepiej sterować przebiegiem negocjacji, identyfikować moment największej presji i ograniczać szanse na odzyskanie systemów bez zapłaty okupu.

W praktyce taki scenariusz całkowicie zmienia układ sił podczas incydentu. Standardowo negocjator stara się obniżyć kwotę żądania, zyskać czas na analizę techniczną i ograniczyć ryzyko eskalacji. Jeśli jednak przekazuje przestępcom informacje o sytuacji ofiary, grupa ransomware uzyskuje przewagę wywiadowczą i może skuteczniej dopasować taktykę wymuszenia.

Sprawa uwidacznia także problem nadmiernej centralizacji wiedzy po stronie zewnętrznych usługodawców. Partnerzy wspierający obsługę incydentu często uzyskują szeroki dostęp do dokumentacji technicznej, komunikacji prawnej, danych finansowych i planów ciągłości działania. Bez rygorystycznego modelu need-to-know taki zakres dostępu sam w sobie staje się istotnym ryzykiem.

Konsekwencje / ryzyko

Najpoważniejszą konsekwencją tej sprawy jest erozja zaufania do procesów obsługi incydentów ransomware. Organizacje zakładają, że podmiot wspierający negocjacje działa wyłącznie w ich interesie. Jeżeli ten warunek przestaje być pewny, rośnie ryzyko błędnych decyzji biznesowych, ujawnienia wrażliwych danych i zwiększenia całkowitych kosztów incydentu.

Ryzyko można analizować na kilku poziomach:

Finansowym – ujawnienie limitów ubezpieczenia lub skłonności do zapłaty może podnieść wartość okupu.
Operacyjnym – przestępcy znający status odtwarzania systemów mogą lepiej dopasować presję i utrudniać recovery.
Prawnym i regulacyjnym – przekazanie nieuprawnionym podmiotom informacji o incydencie może rodzić dodatkowe obowiązki i odpowiedzialność.
Reputacyjnym – podobne przypadki podważają wiarygodność całego segmentu usług cyberbezpieczeństwa.

Insider threat w cyberbezpieczeństwie jest szczególnie groźny, ponieważ dotyczy osób posiadających ekspercką wiedzę, dostęp do krytycznych danych oraz znajomość procedur dochodzeniowych i operacyjnych.

Rekomendacje

Organizacje korzystające z usług incident response i negocjacji ransomware powinny zaostrzyć wymagania wobec partnerów zewnętrznych oraz ograniczyć zakres informacji przekazywanych pojedynczym osobom.

Najważniejsze działania obejmują:

stosowanie zasady minimalnych uprawnień do danych incydentowych,
segmentację informacji między zespołem technicznym, prawnym, ubezpieczeniowym i negocjacyjnym,
ograniczenie dostępu do danych o limitach polis i akceptowalnym pułapie płatności,
rejestrowanie oraz audyt dostępu do dokumentacji incydentu,
wymaganie od dostawców udokumentowanych procedur background screening i kontroli etycznych,
wprowadzenie zasady wieloosobowej autoryzacji dla kluczowych etapów negocjacji,
utrzymywanie niezależnego nadzoru prawnego i menedżerskiego nad komunikacją z przestępcami,
okresową weryfikację konfliktów interesów po stronie partnerów zewnętrznych.

Warto również przygotować playbooki ransomware zakładające scenariusz kompromitacji zaufanego partnera. Taki plan powinien obejmować szybką zmianę dostawcy, rotację kanałów komunikacji, przegląd zakresu ujawnionych danych oraz ponowną ocenę strategii negocjacyjnej.

Z perspektywy dostawców usług cyberbezpieczeństwa niezbędne są silniejsze mechanizmy kontroli wewnętrznej, w tym monitoring działań uprzywilejowanych pracowników, separacja obowiązków, analiza anomalii w dostępie do danych klientów i regularne przeglądy zgodności operacyjnej.

Podsumowanie

Sprawa byłego negocjatora ransomware pokazuje, że jednym z najpoważniejszych zagrożeń w obsłudze incydentów może być nie tylko sam operator malware, ale także osoba działająca wewnątrz łańcucha zaufania. Współpraca insidera z grupą ransomware znacząco wzmacnia zdolność przestępców do prowadzenia skutecznego wymuszenia, ponieważ dostarcza im precyzyjnych danych o ofierze, jej ograniczeniach i gotowości do zapłaty.

Dla rynku cyberbezpieczeństwa to wyraźny sygnał, że procesy response, negocjacji i współpracy z partnerami zewnętrznymi wymagają równie silnych zabezpieczeń jak sama infrastruktura techniczna. Zaufanie do dostawcy nie może opierać się wyłącznie na reputacji, lecz musi być wsparte audytem, ograniczaniem dostępu, monitorowaniem działań i formalnymi kontrolami operacyjnymi.

Źródła

Office of Public Affairs | Florida Man Working as a Ransomware Negotiator Pleads Guilty to Conspiracy to Deploy Ransomware and Extort U.S. Victims — https://www.justice.gov/opa/pr/florida-man-working-ransomware-negotiator-pleads-guilty-conspiracy-deploy-ransomware-and
Infosecurity Magazine | Former Ransomware Negotiator Charged Over Extortion Conspiracy — https://www.infosecurity-magazine.com/news/former-ransomware-negotiator/
TechRadar | Ransomware negotiator recruited by BlackCat ransomware gang pleads guilty to 2023 attacks, faces 20 years in prison — https://www.techradar.com/pro/security/ransomware-negotiator-recruited-by-blackcat-ransomware-gang-pleads-guilty-to-2023-attacks-faces-20-years-in-prison
HIPAA Journal | Ransomware Negotiator Pleads Guilty to Conducting U.S. Ransomware Attacks — https://www.hipaajournal.com/u-s-nationals-indicted-blackcat-ransomware-attacks/
PC Gamer | Cybersecurity expert turns cybercriminal, pleading guilty to conspiracy to deploy ransomware — https://www.pcgamer.com/hardware/cybersecurity-expert-turns-cybercriminal-pleading-guilty-to-conspiracy-to-deploy-ransomware/

Najpoważniejsze cyberataki na Wielką Brytanię pochodzą dziś od Rosji, Iranu i Chin

Wprowadzenie do problemu / definicja

Cyberataki sponsorowane przez państwa to odrębna kategoria zagrożeń niż typowa cyberprzestępczość nastawiona na szybki zysk. Takie operacje są zwykle prowadzone przez służby wywiadowcze, struktury wojskowe lub podmioty działające na ich zlecenie, a ich celem jest długotrwały dostęp do systemów, zbieranie informacji oraz możliwość zakłócania działania kluczowych usług.

W praktyce oznacza to zagrożenie dla infrastruktury krytycznej, administracji publicznej, sektora przemysłowego, logistyki i dużych przedsiębiorstw o znaczeniu strategicznym. Skala ryzyka wykracza więc poza pojedynczy incydent IT i dotyczy również stabilności gospodarczej oraz bezpieczeństwa państwa.

W skrócie

Brytyjskie władze cyberbezpieczeństwa oceniają, że najpoważniejsze cyberataki wymierzone obecnie w Wielką Brytanię są powiązane z Rosją, Iranem i Chinami. Choć ransomware oraz cyberprzestępczość nadal pozostają istotnym problemem operacyjnym, to największe ryzyko strategiczne wiąże się dziś z kampaniami prowadzonymi przez państwa lub ich pełnomocników.

Rosja, Iran i Chiny są wskazywane jako główne źródła najpoważniejszych zagrożeń.
Na celowniku znajdują się m.in. infrastruktura krytyczna, logistyka i systemy przemysłowe.
Ryzyko rośnie wraz z napięciami geopolitycznymi oraz możliwością prowadzenia ataków na dużą skalę.
Sztuczna inteligencja może przyspieszać rozpoznanie, eksploatację podatności i kampanie socjotechniczne.

Kontekst / historia

Ostrzeżenia pojawiają się w okresie rosnącej niestabilności geopolitycznej i zwiększonej liczby incydentów cybernetycznych w Europie. W ostatnim czasie państwa regionu zwracały uwagę na działania wymierzone w systemy energetyczne, wodne, grzewcze oraz inne elementy infrastruktury o kluczowym znaczeniu dla funkcjonowania społeczeństwa.

To ważna zmiana perspektywy. Coraz częściej celem ataku nie jest wyłącznie kradzież danych, ale także zakłócenie działania usług, destabilizacja procesów przemysłowych i wywołanie skutków gospodarczych lub społecznych. Cyberatak staje się w tym modelu narzędziem presji strategicznej, obok dezinformacji, sabotażu i aktywności wywiadowczej.

Analiza techniczna

Z technicznego punktu widzenia operacje przypisywane Rosji, Iranowi i Chinom różnią się charakterem, ale łączy je wysoki poziom przygotowania, długofalowość oraz koncentracja na celach o znaczeniu strategicznym.

W przypadku Chin podkreślany jest bardzo wysoki poziom dojrzałości operacyjnej. Takie kampanie często obejmują zaawansowane rozpoznanie, wykorzystanie łańcuchów podatności, ciche utrzymywanie obecności w sieci ofiary i działania ukierunkowane na dostęp do danych, procesów oraz systemów krytycznych.

Iran bywa opisywany jako aktor, który wykorzystuje cyberprzestrzeń nie tylko do klasycznych działań ofensywnych, lecz także do monitorowania i wywierania presji na osoby lub środowiska uznawane za zagrożenie dla reżimu. Oznacza to możliwość prowadzenia kampanii ukierunkowanych na konkretne osoby, organizacje polityczne, środowiska emigracyjne czy podmioty uczestniczące w debacie publicznej.

Rosja ma z kolei korzystać z doświadczeń rozwijanych i testowanych w kontekście wojny przeciwko Ukrainie, a następnie adaptować te techniki do działań wymierzonych w państwa trzecie, operatorów usług krytycznych i sektor prywatny. Taki scenariusz może obejmować zakłócenia systemów przemysłowych, transportowych, logistycznych, wodnych i energetycznych.

Dodatkowym czynnikiem ryzyka jest wykorzystanie sztucznej inteligencji do przyspieszenia cyklu ataku. AI może wspierać analizę powierzchni ataku, identyfikację błędnych konfiguracji, wyszukiwanie podatności oraz zwiększanie skuteczności socjotechniki. W praktyce skraca to czas między wykryciem słabości a próbą jej wykorzystania.

Konsekwencje / ryzyko

Najważniejszą konsekwencją obecnego trendu jest przesunięcie ciężaru z incydentów czysto finansowych na ryzyko systemowe. W przypadku operacji sponsorowanych przez państwa stawką nie jest jedynie okup czy wyciek danych, ale także destabilizacja procesów biznesowych, utrata integralności danych, sabotaż operacyjny oraz długotrwała obecność intruza w środowisku ofiary.

Szczególnie narażone pozostają sektory krytyczne, takie jak energetyka, wodociągi, ogrzewanie, transport, telekomunikacja, logistyka i przemysł. Zakłócenie ich działania może uruchomić efekt domina w gospodarce, prowadząc do opóźnień w łańcuchach dostaw, ograniczenia dostępności usług publicznych oraz spadku zaufania do operatorów i instytucji państwowych.

Ryzyko wzrasta również dlatego, że w scenariuszu konfliktowym ataki mogą być prowadzone równolegle, na szeroką skalę i bez zamiaru negocjacji. W odróżnieniu od wielu kampanii kryminalnych celem nie musi być zysk finansowy, lecz maksymalizacja skutku operacyjnego i osłabienie odporności państwa lub gospodarki.

Rekomendacje

Organizacje powinny traktować zagrożenia państwowe jako element strategicznego planowania odporności, a nie wyłącznie zagadnienie techniczne pozostawione zespołom bezpieczeństwa. Kluczowe znaczenie ma połączenie klasycznej ochrony IT z przygotowaniem do działania w warunkach kryzysu.

Przeprowadzenie pełnej identyfikacji zasobów krytycznych oraz zależności biznesowych.
Segmentacja sieci i ograniczanie możliwości ruchu lateralnego między środowiskami.
Rygorystyczne zarządzanie podatnościami, ekspozycją usług i priorytetyzacją poprawek.
Wdrożenie monitoringu telemetrycznego, detekcji anomalii i działań threat hunting.
Rozwijanie odporności operacyjnej poprzez testy odtwarzania, ćwiczenia tabletop i kopie zapasowe odseparowane od środowiska produkcyjnego.
Wzmocnienie ochrony tożsamości dzięki MFA odpornemu na phishing, zasadzie najmniejszych uprawnień i kontroli kont uprzywilejowanych.
Ścisła współpraca z zespołami reagowania, regulatorami, partnerami branżowymi i dostawcami technologii.

Podsumowanie

Brytyjskie ostrzeżenie pokazuje, że krajobraz zagrożeń cybernetycznych coraz wyraźniej przesuwa się w stronę operacji strategicznych prowadzonych przez państwa lub podmioty działające w ich interesie. Rosja, Iran i Chiny są wskazywane jako główne źródła najpoważniejszych cyberataków wymierzonych w Wielką Brytanię.

Dla organizacji to wyraźny sygnał, że nie wystarczy już koncentrować się wyłącznie na cyberprzestępczości i ochronie przed ransomware. Konieczne jest uwzględnienie scenariuszy zakłóceń na dużą skalę, obejmujących infrastrukturę krytyczną, logistykę i kluczowe procesy gospodarcze, a także budowanie odporności pozwalającej działać mimo częściowej utraty usług.

Źródła

Serwer C2 SystemBC ujawnił ponad 1570 ofiar operacji ransomware The Gentlemen

Wprowadzenie do problemu / definicja

SystemBC to złośliwe oprogramowanie typu proxy i backdoor, od lat wykorzystywane przez cyberprzestępców do utrzymywania ukrytej komunikacji z zainfekowanymi środowiskami. Jego rola nie ogranicza się do prostego zdalnego dostępu — malware umożliwia tunelowanie ruchu, przekazywanie poleceń oraz dostarczanie kolejnych ładunków, co czyni je istotnym elementem nowoczesnych operacji ransomware.

Najnowsza analiza infrastruktury command-and-control powiązanej z SystemBC wskazuje, że narzędzie zostało użyte w działaniach afilianta programu ransomware-as-a-service The Gentlemen. W efekcie badacze zidentyfikowali ponad 1570 ofiar, co znacząco poszerza obraz rzeczywistej skali tej kampanii.

W skrócie

Ujawniony serwer C2 powiązany z SystemBC pozwolił badaczom spojrzeć szerzej na aktywność grupy The Gentlemen niż tylko przez pryzmat publicznych stron wycieków danych. Zidentyfikowanie ponad 1570 środowisk sugeruje, że liczba organizacji dotkniętych operacją mogła być znacznie wyższa niż wcześniej zakładano.

SystemBC pełnił rolę pośrednika komunikacyjnego i narzędzia wspierającego dalszą eksploatację sieci.
The Gentlemen działa w modelu ransomware-as-a-service z udziałem afiliantów.
Ataki obejmują środowiska Windows, Linux, NAS, VMware ESXi oraz BSD.
Łańcuch ataku wskazuje na działania typowe dla modelu podwójnego wymuszenia.

Kontekst / historia

The Gentlemen to stosunkowo nowa operacja ransomware, która zaczęła być szerzej obserwowana w połowie 2025 roku. Grupa szybko zwróciła na siebie uwagę elastycznym podejściem do ataków oraz zdolnością do działania przeciwko zróżnicowanym środowiskom, od klasycznych stacji i serwerów Windows po infrastrukturę wirtualizacyjną i systemy uniksowe.

Model działania wpisuje się w znany schemat RaaS, w którym operatorzy udostępniają zaplecze techniczne i mechanizmy monetyzacji, a afilianci odpowiadają za uzyskanie dostępu początkowego oraz przeprowadzenie właściwej kompromitacji. W tym przypadku szczególnie cenne okazało się to, że analiza infrastruktury SystemBC pozwoliła ujawnić nie tylko pojedyncze incydenty kończące się publikacją na stronie wycieków, ale także szerszy ekosystem ofiar znajdujących się na różnych etapach ataku.

Analiza techniczna

SystemBC jest od lat kojarzony z operacjami ransomware jako narzędzie pośredniczące między napastnikiem a przejętym środowiskiem. Jego kluczową funkcją jest tworzenie tuneli SOCKS5 i zapewnianie zaszyfrowanego kanału komunikacji z serwerem C2. Dzięki temu operatorzy zyskują bardziej dyskretny dostęp, mogą przekierowywać ruch oraz uruchamiać kolejne komponenty bez natychmiastowego wdrażania finalnego szyfratora.

W przypadku The Gentlemen obserwowany łańcuch ataku wskazuje na klasyczny scenariusz wieloetapowy. Choć dokładny punkt wejścia nie został jednoznacznie potwierdzony, najbardziej prawdopodobne pozostają nadużycia usług dostępnych z internetu lub wykorzystanie przejętych poświadczeń. Po uzyskaniu dostępu napastnicy przechodzą do rekonesansu, identyfikacji zasobów, ruchu bocznego oraz przygotowania środowiska pod wdrożenie takich narzędzi jak Cobalt Strike, SystemBC i właściwy ransomware.

Istotną rolę odgrywa wykorzystanie obiektów zasad grupowych GPO do szerokiego rozprzestrzeniania działań w domenie. Taki mechanizm pozwala centralnie uruchamiać skrypty i binaria na wielu hostach jednocześnie, znacząco przyspieszając kompromitację. Dodatkowo napastnicy modyfikują ustawienia ochrony, w tym Windows Defender, przy użyciu skryptów PowerShell, wyłączają wybrane mechanizmy monitorowania, dodają wyjątki, osłabiają zaporę, przywracają SMBv1 oraz poluzowują część ustawień związanych z dostępem anonimowym.

Wariant wymierzony w ESXi ma prostszą funkcjonalność niż odpowiednik dla Windows, ale pozostaje bardzo groźny. Jego zadaniem jest przede wszystkim wyłączanie maszyn wirtualnych i przygotowanie hosta do zaszyfrowania datastore’ów, co w środowiskach wirtualizacyjnych może przełożyć się na jednoczesne zakłócenie wielu usług biznesowych.

Z perspektywy obrońców kluczowe znaczenie ma nie tylko obecność samego SystemBC, lecz także jego funkcja operacyjna. Wykrycie takiego malware może oznaczać, że organizacja znajduje się już na wcześniejszym etapie pełnoskalowego ataku ransomware, obejmującym utrzymanie dostępu, eksfiltrację danych oraz przygotowanie do destrukcyjnego uderzenia.

Konsekwencje / ryzyko

Ujawnienie ponad 1570 ofiar pokazuje, że publiczne statystyki ransomware mogą istotnie zaniżać rzeczywisty obraz zagrożenia. Brak nazwy organizacji na stronie wycieku nie oznacza, że nie doszło do kompromitacji — wiele podmiotów może pozostawać w fazie rozpoznania, eksfiltracji lub przygotowania do szyfrowania.

The Gentlemen prezentuje model działania charakterystyczny dla dojrzalszych grup ransomware: specjalizację afiliantów, wykorzystanie dodatkowych narzędzi pośrednich, dopasowanie technik do typu środowiska oraz nacisk na szybkie przejście od dostępu początkowego do etapu wymuszenia. Największe ryzyko dotyczy organizacji z rozproszoną infrastrukturą hybrydową, niewystarczającą segmentacją sieci, słabo chronionymi systemami brzegowymi i nadmiernymi uprawnieniami administracyjnymi.

utrata dostępności systemów i usług,
eksfiltracja danych przed szyfrowaniem,
wymuszenie finansowe i presja publikacji danych,
zakłócenie działania usług krytycznych,
straty reputacyjne i potencjalne skutki regulacyjne.

Rekomendacje

Organizacje powinny traktować obecność SystemBC, Cobalt Strike lub podobnych narzędzi jako silny sygnał ostrzegawczy wskazujący na możliwą operację ransomware w toku. Oznacza to konieczność natychmiastowego uruchomienia procedur reagowania, izolacji podejrzanych hostów, analizy ruchu wychodzącego oraz weryfikacji, czy w domenie nie doszło do nadużycia GPO.

ograniczyć powierzchnię ataku przez wyłączenie lub odpowiednie zabezpieczenie usług wystawionych do internetu,
wymusić MFA dla dostępu zdalnego i kont uprzywilejowanych,
monitorować użycie PowerShell, PsExec, WMI, zadań zdalnych i zmian w GPO,
wykrywać nietypowe tunele SOCKS5 oraz niestandardową komunikację C2,
utwardzić Microsoft Defender i rozwiązania EDR przed próbami wyłączenia,
wyłączyć przestarzałe protokoły, takie jak SMBv1, jeśli nie są niezbędne,
segmentować środowiska serwerowe, backupowe i wirtualizacyjne,
chronić hosty ESXi i ograniczać dostęp administracyjny do platform VMware,
regularnie testować kopie zapasowe w scenariuszu pełnego odtworzenia,
prowadzić threat hunting ukierunkowany na artefakty poprzedzające uruchomienie szyfratora.

Podsumowanie

Przypadek The Gentlemen i infrastruktury SystemBC potwierdza, że współczesne operacje ransomware są coraz bardziej zindustrializowane, wielowarstwowe i trudniejsze do oszacowania wyłącznie na podstawie publicznych wycieków. Ujawnienie ponad 1570 ofiar sugeruje, że rzeczywista skala kompromitacji może być znacząco większa niż oficjalnie znane statystyki.

Dla zespołów bezpieczeństwa najważniejszy wniosek jest jednoznaczny: wykrycie malware pośredniczącego, takiego jak SystemBC, nie powinno być traktowane jako incydent niskiego poziomu. To potencjalny sygnał przygotowania do ataku destrukcyjnego, który wymaga szybkiej korelacji zdarzeń, analizy ruchu bocznego i zdecydowanej reakcji zanim dojdzie do szyfrowania zasobów.

Źródła

The Hacker News — https://thehackernews.com/2026/04/systembc-c2-server-reveals-1570-victims.html
Check Point Research — Cracking Open The Gentlemen: Inside a Ransomware Affiliate Program — https://research.checkpoint.com/2026/cracking-open-the-gentlemen-inside-a-ransomware-affiliate-program/
Trend Micro — The Gentlemen Targets Enterprises With Tailored Ransomware Tradecraft — https://www.trendmicro.com/en_us/research/25/i/the-gentlemen-ransomware-analysis.html
Rapid7 — Kyber Ransomware Analysis — https://www.rapid7.com/blog/post/2026/04/21/kyber-ransomware-analysis/
ZeroFox — Ransomware and Digital Extortion Q1 2026 Report — https://www.zerofox.com/resources/reports/ransomware-digital-extortion-q1-2026/