Pomagamy Zrozumieć i Wdrażać Bezpieczeństwo
Wyobraź sobie, że przez kilka miesięcy budujesz proces bezpieczeństwa wokół konkretnego modelu AI.
Nie kolejne demo dla zarządu. Nie chatbota, który poprawia styl polityki bezpieczeństwa albo przygotowuje podsumowanie publicznego raportu. Model zaczyna wykonywać prawdziwą pracę.
Czytaj dalej „Fable 5 Wrócił. Problem Nie Zniknął. AI Lock-In W Cyberbezpieczeństwie”
Kampania HelloNet pokazuje, że nawet zaufane oprogramowanie do bezpiecznej komunikacji i ochrony sieci może zostać wykorzystane jako element łańcucha ataku. W opisywanym przypadku napastnicy nie musieli publicznie przełamywać infrastruktury producenta, lecz nadużyli lokalnego mechanizmu aktualizacji, podstawiając złośliwą bibliotekę DLL ładowaną przez legalny komponent ViPNet.
To podejście wpisuje się w dobrze znaną technikę DLL sideloading, w której prawidłowy proces uruchamia spreparowany plik zamiast oczekiwanego komponentu. W środowiskach korzystających z narzędzi bezpieczeństwa taki scenariusz jest szczególnie groźny, ponieważ zaufane procesy często działają z wysokimi uprawnieniami i mają stałą obecność w systemie.
wtsapi32.dll.itcsrvup64.exe.svchost.exe.ViPNet to rosyjska rodzina produktów wykorzystywana do bezpiecznej komunikacji, VPN oraz ochrony dostępu sieciowego. Z racji zastosowania w środowiskach administracyjnych i regulowanych rozwiązania tej klasy są szczególnie atrakcyjnym celem dla operatorów kampanii szpiegowskich oraz aktorów APT.
Systemy bezpieczeństwa i oprogramowanie komunikacyjne od dawna pozostają łakomym kąskiem dla napastników. Ich przewaga operacyjna polega na tym, że takie komponenty są zazwyczaj uruchamiane automatycznie, posiadają szerokie uprawnienia i rzadziej wzbudzają podejrzenia użytkowników oraz części narzędzi ochronnych.
HelloNet wpisuje się więc w szerszy trend nadużywania zaufanych procesów i ścieżek aktualizacji. Nawet jeśli źródłowa infrastruktura dostawcy nie została naruszona, atak na lokalny mechanizm uruchamiania może dać przeciwnikowi podobne korzyści: trwałość, ukrycie aktywności i dostęp do newralgicznych hostów.
Łańcuch infekcji rozpoczynał się od umieszczenia pliku wtsapi32.dll w lokalnym katalogu ViPNet Update System. Następnie legalny proces itcsrvup64.exe ładował tę bibliotekę podczas startu systemu. Taki schemat odpowiada technice DLL sideloading, w której zaufana aplikacja uruchamia podstawiony komponent złośliwy.
Pierwszy etap, HelloInjector, pełnił rolę loadera. Jego zadaniem było uruchomienie osadzonego ładunku w pamięci oraz iniekcja do procesu svchost.exe. Dla napastnika oznacza to lepsze ukrycie aktywności, utrudnienie analizy oraz możliwość działania pod przykryciem legalnego procesu systemowego.
Kolejny komponent, HelloProxy, odpowiadał za komunikację z infrastrukturą C2 i odbieranie dalszych modułów. Taka architektura modularna zwiększa elastyczność operacji, ponieważ umożliwia dobieranie funkcji do konkretnej ofiary bez rozbudowywania początkowego ładunku.
W arsenale znajdował się także HelloExecutor, czyli backdoor przeznaczony do wykonywania poleceń i rekonesansu sieciowego. Dzięki temu operatorzy mogli zbierać informacje o hostach, usługach, segmentacji środowiska i potencjalnych ścieżkach ruchu bocznego.
Dodatkowo badacze wskazali komponent HelloCleaner, którego zadaniem było usuwanie logów ViPNet. To wyraźny sygnał, że napastnicy chcieli utrudnić detekcję oraz analizę powłamaniową. Osobnym modułem był HelloBackdoor, zaimplementowany w języku Rust, wspierający wykonywanie poleceń i transfer plików w obu kierunkach.
Atrybucja kampanii pozostaje ostrożna. W analizie pojawiły się przesłanki sugerujące możliwego aktora chińskojęzycznego, ale poziom pewności takiego przypisania oceniono jako niski. Z perspektywy obrony znacznie ważniejsze pozostaje zrozumienie technik, taktyk i procedur zastosowanych w ataku.
Największe ryzyko w podobnej kampanii wynika z kompromitacji hosta pełniącego rolę zaufanego elementu bezpieczeństwa lub komunikacji. Jeżeli taki system działa w administracji, energetyce czy transporcie, skutki incydentu mogą obejmować nie tylko pojedynczą stację roboczą, ale też szerszy dostęp do sieci wewnętrznej i danych operacyjnych.
Szczególnie niebezpieczne jest połączenie kilku elementów: użycia legalnego procesu, wykonywania kodu w pamięci, czyszczenia logów oraz możliwości pobierania kolejnych modułów. Taki zestaw utrudnia klasyczne wykrywanie sygnaturowe i podnosi znaczenie telemetrii EDR, monitoringu integralności plików oraz analizy behawioralnej.
Dla organizacji korzystających z rozwiązań kryptograficznych i sieciowych problemem jest również utrata zaufania do kanałów administracyjnych i aktualizacyjnych. Nawet jeśli producent nie został bezpośrednio naruszony, sam fakt wykorzystania lokalnego procesu aktualizacji może opóźnić triage i komplikować reakcję na incydent.
Organizacje korzystające z ViPNet lub podobnych platform powinny wdrożyć ścisły monitoring integralności katalogów aktualizacji oraz wszystkich bibliotek DLL ładowanych przez zaufane komponenty. Każda nieautoryzowana zmiana w ścieżkach aktualizacyjnych powinna być traktowana jako zdarzenie wysokiego ryzyka.
W środowiskach Windows warto rozszerzyć logowanie uruchomień procesów, ładowania bibliotek oraz zdarzeń związanych z iniekcją kodu. Szczególną uwagę należy poświęcić uruchomieniom itcsrvup64.exe, nietypowemu ładowaniu wtsapi32.dll z katalogów aplikacyjnych oraz anomaliom dotyczącym procesu svchost.exe.
W przypadku podejrzenia kompromitacji warto przeanalizować historyczne zmiany plików, zadania startowe oraz telemetrię sieciową hostów pełniących funkcje administracyjne. Kluczowe jest również sprawdzenie obecności nieautoryzowanych bibliotek w katalogach ViPNet.
Kampania HelloNet potwierdza, że zaufane oprogramowanie bezpieczeństwa może stać się skutecznym nośnikiem ataku, jeśli przeciwnik wykorzysta lokalny mechanizm aktualizacji lub uruchamiania. DLL sideloading, iniekcja do svchost.exe, modularne payloady i usuwanie logów tworzą dojrzały zestaw technik charakterystyczny dla operacji ukierunkowanych.
Dla zespołów bezpieczeństwa najważniejsza lekcja jest jasna: samo aktualizowanie oprogramowania nie wystarcza. Równie istotne pozostaje monitorowanie integralności komponentów, zachowania procesów oraz anomalii w komunikacji sieciowej wokół systemów uznawanych za zaufane.
Ukryty tekst w wiadomościach e-mail, określany często jako text salting, to technika polegająca na dodawaniu do treści wiadomości niewidocznych lub trudnych do zauważenia fragmentów tekstu, które mają zmylić mechanizmy analizy bezpieczeństwa. W praktyce atakujący modyfikują warstwę HTML i CSS wiadomości tak, aby silniki filtrowania — w tym systemy oparte na sztucznej inteligencji — interpretowały zawartość inaczej niż człowiek widzący finalny wygląd wiadomości w skrzynce odbiorczej.
Badacze zaobserwowali ponad milion phishingowych wiadomości stylizowanych na komunikację handlową, które od kwietnia wykorzystywały ukryty tekst do obchodzenia zabezpieczeń poczty. Kampanie bazowały na prostych przynętach, takich jak punkty lojalnościowe, nagrody czy karty podarunkowe, a ich skuteczność wynikała nie tyle z jakości socjotechniki, co z manipulacji treścią źródłową wiadomości. Problem dotyczy zarówno klasycznych bram bezpieczeństwa poczty, jak i nowszych mechanizmów analizy treści wspieranych przez modele językowe.
Technika ukrywania lub „solenia” tekstu nie jest nowa. Przez lata była wykorzystywana do omijania filtrów antyspamowych opartych na prostych regułach i dopasowaniu słów kluczowych. Współcześnie wraca jednak w odświeżonej formie, ponieważ środowisko obronne zmieniło się szybciej niż same podstawy ataku.
Nowoczesne systemy ochrony poczty coraz częściej łączą klasyczne kontrole reputacyjne, analizę nagłówków, weryfikację domen nadawcy i mechanizmy uwierzytelniania z analizą semantyczną treści. To właśnie w tym obszarze pojawiła się nowa asymetria: napastnicy mogą automatycznie generować dużą liczbę wariantów wiadomości i modyfikacji kodu, podczas gdy systemy obronne nadal mają trudność z poprawnym odtworzeniem rzeczywistego znaczenia wiadomości ukrytego pod warstwą prezentacji.
W opisywanych kampaniach wykorzystywano wiadomości podszywające się pod znane marki detaliczne. Część z nich używała domen podobnych do legalnych, a część była wysyłana z przejętych, prawidłowo działających domen, co dodatkowo utrudniało detekcję na podstawie reputacji i sygnałów infrastrukturalnych.
Sedno problemu polega na rozbieżności między tym, co widzi użytkownik, a tym, co analizuje system bezpieczeństwa. Bramy pocztowe i silniki klasyfikujące nie oceniają jedynie „obrazu” wiadomości. W pierwszej kolejności przetwarzają kod źródłowy, strukturę MIME, HTML, style oraz tekst możliwy do odczytu maszynowego.
Atakujący wstrzykują do wiadomości neutralne, nieszkodliwe fragmenty tekstu, które rozbijają wzorce charakterystyczne dla phishingu. Przykładowo słowa sugerujące presję czasową, nagrodę lub korzyść finansową mogą zostać przeplatane losowymi wyrazami albo dłuższymi, pozornie niegroźnymi akapitami. Dzięki temu model lub filtr oparty na analizie tekstu otrzymuje mniej jednoznaczny sygnał ryzyka.
Kluczowe jest jednak ukrycie tych fragmentów przed odbiorcą. W tym celu wykorzystywane są typowe techniki manipulacji warstwą prezentacji:
To właśnie wielowarstwowość techniki zwiększa jej skuteczność. Wiele narzędzi ochronnych potrafi wykrywać pojedyncze formy ukrytego tekstu, ale ma większy problem, gdy jedna wiadomość łączy kilka sposobów maskowania jednocześnie. Jeśli mechanizm „odwinie” tylko część treści, pozostałe elementy nadal mogą zaburzyć klasyfikację.
Dodatkowym czynnikiem wzmacniającym atak jest wykorzystanie modeli językowych przez przestępców. LLM-y pozwalają szybko generować warianty neutralnych wstawek tekstowych, modyfikować komunikaty phishingowe i automatycznie przygotowywać różne wersje kodu HTML. Oznacza to niższy koszt przygotowania kampanii i łatwiejsze testowanie, które kombinacje najlepiej przechodzą przez filtry.
Dla organizacji ryzyko jest wielowymiarowe. Po pierwsze, wzrasta prawdopodobieństwo dostarczenia phishingu bezpośrednio do skrzynki odbiorczej użytkownika, mimo wdrożonych zabezpieczeń pocztowych. Po drugie, kampanie tego typu obniżają skuteczność narzędzi, które zbyt mocno polegają na analizie semantycznej lub pojedynczych cechach wiadomości.
Najważniejsze konsekwencje praktyczne to:
Szczególnie narażone są organizacje, które traktują wdrożenie „AI w ochronie poczty” jako zamiennik dla pełnej, wielowarstwowej architektury bezpieczeństwa. Sama obecność modeli analitycznych nie eliminuje problemu, jeśli system nie porównuje wersji widocznej dla użytkownika z pełną treścią techniczną wiadomości i nie analizuje relacji między nadawcą, linkami, zachowaniem oraz intencją wiadomości.
Z perspektywy operacyjnej obrona przed tego typu kampaniami wymaga podejścia wielowarstwowego.
Po stronie technologicznej warto:
Po stronie procesów bezpieczeństwa zalecane jest:
Po stronie użytkowników końcowych nadal istotne pozostają:
Opisana kampania pokazuje, że skuteczne ataki phishingowe nie muszą być technicznie skomplikowane. Wystarczy umiejętne wykorzystanie różnicy między tym, co interpretuje system bezpieczeństwa, a tym, co widzi człowiek. Ukryty tekst pozostaje zaskakująco efektywnym sposobem omijania filtrów, także tych wspieranych przez sztuczną inteligencję.
Dla zespołów bezpieczeństwa to wyraźny sygnał, że ochrona poczty nie może opierać się wyłącznie na słowach kluczowych, reputacji ani deklaratywnej „analizie AI”. Potrzebna jest pełna analiza kontekstu wiadomości, renderowania treści oraz intencji ataku. W przeciwnym razie nawet proste kampanie phishingowe będą nadal skutecznie trafiać do skrzynek odbiorczych.
Agencja CISA opublikowała pilne ostrzeżenie dotyczące dwóch krytycznych podatności w platformie Fortinet FortiSandbox, wykorzystywanej do analizy plików i wykrywania zagrożeń. Problem dotyczy luk umożliwiających zdalne wykonanie nieautoryzowanego kodu bez uwierzytelnienia, co czyni podatne instancje szczególnie niebezpiecznymi, zwłaszcza jeśli interfejs zarządzający jest dostępny z sieci publicznej.
W praktyce oznacza to, że narzędzie zaprojektowane do wzmacniania bezpieczeństwa może samo stać się punktem wejścia dla atakującego. To scenariusz szczególnie groźny dla organizacji, które integrują FortiSandbox z innymi elementami ekosystemu ochronnego.
CISA potwierdziła aktywne wykorzystywanie podatności CVE-2026-39808 oraz CVE-2026-25089 i dodała je do katalogu Known Exploited Vulnerabilities. Oznacza to, że istnieją dowody na ich wykorzystanie w rzeczywistych kampaniach ataków.
FortiSandbox pełni ważną rolę w infrastrukturze bezpieczeństwa, ponieważ analizuje podejrzane pliki, identyfikuje złośliwe zachowania i współpracuje z innymi rozwiązaniami ochronnymi. Z tego powodu przejęcie takiego systemu może dać napastnikowi nie tylko dostęp do samego urządzenia, ale również wgląd w architekturę obronną organizacji.
Choć poprawki zostały opublikowane przez Fortinet wcześniej, zainteresowanie cyberprzestępców nie osłabło po ich wydaniu. Telemetria i doniesienia z branży wskazywały już wcześniej, że podatności FortiSandbox znajdują się w polu zainteresowania operatorów ataków ukierunkowanych oraz grup nastawionych na szybkie przejęcie infrastruktury.
Dodanie CVE-2026-39808 i CVE-2026-25089 do katalogu KEV podnosi ich priorytet operacyjny. Dla wielu zespołów bezpieczeństwa to wyraźny sygnał, że standardowy cykl aktualizacji może być niewystarczający i konieczne jest traktowanie tych luk jako incydentu wysokiego ryzyka.
Obie podatności zostały sklasyfikowane jako krytyczne i są powiązane z mechanizmami wstrzykiwania komend po stronie systemu. Ich charakter sugeruje niski poziom złożoności ataku, brak konieczności interakcji użytkownika oraz możliwość zdalnej eksploatacji przez nieautoryzowanego napastnika.
CVE-2026-25089 została opisana jako luka typu OS command injection. Tego rodzaju błąd zwykle wynika z niewłaściwej walidacji danych wejściowych, przez co atakujący może dostarczyć spreparowane dane, które następnie zostaną wykonane przez system operacyjny urządzenia. W konsekwencji możliwe staje się uruchamianie własnych poleceń, uzyskanie trwałego dostępu oraz dalsza kompromitacja środowiska.
CVE-2026-39808 również wiąże się ze zdalnym wykonaniem nieautoryzowanego kodu poprzez mechanizm wstrzykiwania komend. Z perspektywy obrońców istotne jest to, że takie błędy bywają wykorzystywane bardzo szybko po publikacji poprawek, a czasem nawet wcześniej, jeśli atakujący pozyskają wiedzę o wektorze ataku z analizy firmware, porównania wersji lub prywatnego obrotu exploitami.
Przykładowy łańcuch ataku może obejmować rozpoznanie publicznie wystawionych instancji, identyfikację wersji, wysłanie spreparowanego żądania do podatnego interfejsu, wykonanie poleceń systemowych, a następnie utrwalenie dostępu i wykorzystanie urządzenia do dalszego ruchu bocznego. Jeśli FortiSandbox jest zintegrowany z innymi narzędziami bezpieczeństwa, skutki kompromitacji mogą wykraczać daleko poza pojedynczy host.
Najpoważniejszym skutkiem jest pełne przejęcie systemu odpowiedzialnego za analizę zagrożeń. Taki incydent może osłabić zdolność organizacji do wykrywania ataków i jednocześnie dać napastnikowi nowe możliwości działania wewnątrz infrastruktury.
Ryzyko rośnie szczególnie wtedy, gdy interfejsy administracyjne są dostępne z Internetu, segmentacja sieci jest ograniczona, a proces aktualizacji nie nadąża za publikacją krytycznych łatek. W środowiskach enterprise i administracji publicznej dodatkowym problemem jest szeroki zakres integracji takich systemów z innymi komponentami bezpieczeństwa.
Organizacje korzystające z FortiSandbox powinny potraktować tę sytuację jako priorytet krytyczny i wdrożyć działania zarówno naprawcze, jak i śledcze.
Dla zespołów SOC i administratorów ważne jest założenie, że samo załatanie luki nie zawsze usuwa skutki wcześniejszego włamania. Jeśli system był wystawiony do Internetu, konieczna może być pełna analiza śledcza, a w niektórych przypadkach nawet odbudowa urządzenia z zaufanego obrazu.
Ostrzeżenie CISA dotyczące CVE-2026-39808 i CVE-2026-25089 potwierdza rosnący trend aktywnego atakowania urządzeń i platform bezpieczeństwa. FortiSandbox, jako element infrastruktury detekcyjnej, stanowi cel o wysokiej wartości, ponieważ jego kompromitacja może osłabić ochronę całej organizacji.
Priorytetem powinno być szybkie wdrożenie poprawek, ograniczenie ekspozycji interfejsów zarządzających oraz sprawdzenie, czy podatne instancje nie zostały już wykorzystane w ataku. W obecnym krajobrazie zagrożeń nawet systemy ochronne muszą być traktowane jak zasoby wymagające ciągłej weryfikacji i twardego zarządzania ryzykiem.
Trojanizowane instalatory legalnego oprogramowania pozostają jedną z najskuteczniejszych metod dostarczania malware do środowisk firmowych i domowych. W najnowszej kampanii napastnicy podszywają się pod znane aplikacje, takie jak Zoom, Webex, MobaXterm, DBeaver czy FaceIT, aby uruchomić wieloetapowy łańcuch infekcji kończący się wdrożeniem backdoora Starland RAT.
Operacja przypisywana grupie UAT-11795 łączy funkcje zdalnego dostępu, kradzieży danych oraz pobierania kolejnych ładunków. To sprawia, że zagrożenie wykracza poza klasyczny model infostealera i może prowadzić do pełnej kompromitacji stacji roboczej.
Badacze opisali kampanię aktywną co najmniej od czerwca 2025 roku, wymierzoną głównie w użytkowników w Stanach Zjednoczonych, ale obejmującą także ofiary w Europie i Ameryce Południowej. Atak wykorzystuje spreparowane instalatory popularnych programów, które uruchamiają loader napisany w Pythonie, ukryty jako nieszkodliwy plik tekstowy.
Po odszyfrowaniu właściwego ładunku uruchamiany jest Starland RAT, zdolny do zbierania danych z przeglądarek, informacji systemowych, danych środowiska Active Directory oraz aktywów z portfeli kryptowalut. W części incydentów kampania dostarczała również CastleStealer oraz Remcos RAT.
Wykorzystywanie zaufanych aplikacji jako nośnika malware nie jest nową techniką, ale jej skuteczność rośnie wraz z popularyzacją pracy zdalnej i narzędzi administracyjnych pobieranych poza kontrolowanym obiegiem IT. Użytkownik, który instaluje znany program z niezweryfikowanego źródła, często nie zakłada, że pakiet został zmodyfikowany.
W analizowanej kampanii badacze powiązali aktywność z rosyjskojęzycznym, finansowo motywowanym podmiotem oznaczonym jako UAT-11795. Celem operacji jest jednoczesne pozyskiwanie poświadczeń, danych z komunikatorów i przeglądarek, informacji domenowych oraz dostępu do portfeli kryptowalut, co wskazuje na szerokie możliwości monetyzacji po uzyskaniu dostępu.
Łańcuch infekcji rozpoczyna się od pliku HTA, który pobiera trojanizowany instalator NSIS. Wewnątrz pakietu umieszczony jest loader w Pythonie, ukryty pod pozorem pliku tekstowego, na przykład LICENSE.txt. Taki zabieg ma ograniczyć podejrzenia użytkownika i utrudnić szybką analizę zawartości instalatora.
Po uruchomieniu loader modyfikuje rejestr Windows w celu uzyskania trwałości, a następnie odszyfrowuje i ładuje właściwy komponent Starland RAT. Malware wykonuje także kontrolę środowiska pod kątem sandboxów, dodaje zadania harmonogramu i wpisy autostartu oraz próbuje podnieść swoje uprawnienia.
Zakres pozyskiwanych informacji jest szeroki i obejmuje dane przeglądarek, zapisane poświadczenia, konfigurację systemu, publiczny adres IP, region, listę zainstalowanego oprogramowania ochronnego oraz informacje o środowisku domenowym. Starland RAT potrafi również wykonywać zrzuty ekranu, uruchamiać polecenia powłoki, wstrzykiwać shellcode w wariantach 32- i 64-bitowych oraz pobierać kolejne pliki wykonywalne, biblioteki DLL, pakiety MSI i archiwa ZIP.
Istotną cechą kampanii jest jej modułowość. W zaobserwowanych przypadkach 64-bitowy łańcuch shellcode prowadził do wdrożenia CastleStealer, natomiast 32-bitowy uruchamiał Remcos RAT. Oznacza to, że operatorzy mogą elastycznie rozszerzać zestaw narzędzi w zależności od celu, architektury systemu i oczekiwanego efektu operacyjnego.
Na uwagę zasługuje również infrastruktura sterująca. Jeśli połączenie z zakodowanym adresem C2 kończy się niepowodzeniem, malware może pozyskać domenę zapasową pośrednio z kontraktu smart contract w sieci Polygon i odszyfrować ją metodą XOR. Badacze wskazali też na framework PowerShell o nazwie WLDR, działający w pamięci i wykorzystujący szyfrowaną komunikację, co dodatkowo utrudnia analizę i detekcję.
Dla organizacji kampania stanowi zagrożenie wielowarstwowe. Kradzież poświadczeń i sesji aplikacyjnych może prowadzić do przejęcia kont użytkowników, a dane o domenie i uprawnieniach mogą ułatwić ruch boczny oraz dalszą eskalację wewnątrz sieci.
Obecność komponentów takich jak Remcos RAT oznacza także ryzyko pełnego nadzoru nad zainfekowaną stacją końcową. W praktyce może to obejmować zdalne wykonywanie poleceń, monitorowanie aktywności użytkownika, przechwytywanie obrazu i schowka oraz dalsze dostarczanie kolejnych narzędzi przestępczych.
Szczególnie narażone są środowiska, w których użytkownicy samodzielnie instalują aplikacje spoza oficjalnych źródeł lub poza centralnie zarządzanym repozytorium. Dodatkowym czynnikiem ryzyka jest zainteresowanie operatorów portfelami kryptowalut i danymi finansowymi, co może prowadzić do szybkich i bezpośrednich strat materialnych.
Podstawowym środkiem ochrony powinno być ograniczenie instalowania oprogramowania wyłącznie do zatwierdzonych, oficjalnych źródeł oraz wdrożenie polityki allowlistingu aplikacji. Narzędzia do wideokonferencji i administracji powinny być pobierane tylko z portali producentów lub z wewnętrznych repozytoriów IT.
W warstwie detekcji warto monitorować uruchamianie plików HTA, nietypowych instalatorów NSIS, procesów Pythona inicjowanych przez instalatory oraz modyfikacje rejestru odpowiedzialne za trwałość. Istotne jest również wykrywanie nowych zadań harmonogramu, anomalii w folderach autostartu oraz nietypowych łańcuchów pobierania kolejnych payloadów.
Po stronie użytkowników kluczowe pozostaje unikanie uruchamiania plików instalacyjnych spoza oficjalnych kanałów, ostrożność wobec poleceń kopiowanych z internetu oraz szybkie zgłaszanie nietypowych komunikatów instalacyjnych i zachowań systemu.
Kampania UAT-11795 pokazuje, że trojanizacja popularnych aplikacji nadal skutecznie omija czujność użytkowników i otwiera drogę do wieloetapowej kompromitacji. Starland RAT pełni w tym modelu rolę nie tylko narzędzia do kradzieży danych, ale także platformy do utrzymania dostępu, rekonesansu i dostarczania kolejnych ładunków.
Dla organizacji oznacza to konieczność połączenia kontroli źródeł oprogramowania, monitoringu zachowań na endpointach oraz aktywnego threat huntingu. Szczególnie ważne staje się wykrywanie nietypowych instalatorów, pamięciowych frameworków C2 i prób uzyskania trwałości w systemie.
Tożsamość stała się jednym z najważniejszych obszarów cyberbezpieczeństwa. Coraz więcej kampanii ransomware nie zaczyna się dziś od wykorzystania podatności w oprogramowaniu, ale od przejęcia legalnych danych uwierzytelniających i nadużycia prawidłowych sesji użytkowników. W praktyce oznacza to zmianę modelu ryzyka: obrona nie może już opierać się wyłącznie na łatkach, firewallach i ochronie punktów końcowych, lecz musi obejmować także konta, metody logowania oraz całą infrastrukturę IAM.
Dla organizacji jest to istotny sygnał ostrzegawczy. Jeżeli napastnik loguje się poprawnym loginem i hasłem, jego aktywność może początkowo wyglądać jak zwykłe działanie pracownika, administratora lub konta technicznego. Taki scenariusz utrudnia wykrycie incydentu i daje przestępcom więcej czasu na rekonesans, eskalację uprawnień i przygotowanie ataku szyfrującego.
Analizy incydentów ransomware z 2026 roku wskazują, że najczęstszym wektorem wejścia są skompromitowane loginy oraz ataki oparte na tożsamości. Według danych przywoływanych w raportach Sophos, 79% badanych przypadków ransomware można powiązać z początkowym dostępem uzyskanym przez przejęte tożsamości i legalne dane logowania.
Wśród najważniejszych źródeł dostępu znalazły się:
Jednocześnie udział ataków rozpoczynających się od wykorzystania znanych podatności spadł względem poprzedniego roku. To wyraźnie pokazuje, że cyberprzestępcy coraz częściej wybierają prostsze, szybsze i trudniejsze do wykrycia ścieżki wejścia.
Przez lata dominującym sposobem rozpoczęcia ataku ransomware było wykorzystanie niezałatanych luk w publicznie dostępnych usługach i urządzeniach brzegowych. Napastnicy skanowali internet w poszukiwaniu podatnych serwerów VPN, firewalli, systemów pocztowych, bram dostępowych i usług zdalnego pulpitu, a następnie budowali przyczółek w środowisku ofiary.
W 2026 roku ten obraz wyraźnie się zmienia. Zamiast inwestować zasoby w tworzenie lub kupowanie exploitów, operatorzy ransomware coraz częściej sięgają po skradzione hasła, przejęte sesje, tokeny uwierzytelniające oraz słabo zabezpieczone konta. Z ich perspektywy jest to podejście bardziej efektywne: legalne konto pozwala ominąć część tradycyjnych mechanizmów detekcji i ułatwia poruszanie się po środowisku bez wzbudzania natychmiastowych podejrzeń.
Na tę zmianę wpływa kilka czynników jednocześnie. Rosnąca liczba wycieków poświadczeń, aktywność infostealerów, ponowne używanie tych samych haseł przez użytkowników, coraz bardziej wiarygodne kampanie phishingowe oraz niedojrzałe procesy zarządzania tożsamością sprawiają, że atak oparty na przejętym loginie stał się dla przestępców wyjątkowo atrakcyjny.
Z technicznego punktu widzenia przejęty login daje napastnikowi przewagę już na starcie. Umożliwia wejście do środowiska przez legalny kanał dostępu, bez konieczności uruchamiania exploita na poziomie systemu lub aplikacji. Jeśli konto ma uprawnienia do VPN, RDP, usług SaaS, poczty, paneli administracyjnych albo urządzeń sieciowych, atakujący może stosunkowo szybko uzyskać trwały i dyskretny dostęp.
W opisywanych analizach złośliwe e-maile odpowiadały za 26% początkowych punktów wejścia w incydentach ransomware, phishing za 24%, a brute force za 23%. W tym samym czasie udział ataków rozpoczynających się od wykorzystania znanych podatności spadł z 32% w 2025 roku do 18% w 2026 roku. Dla zespołów SOC i administratorów to ważna wskazówka: patch management pozostaje krytyczny, ale nie jest już jedynym ani głównym polem walki.
Typowy łańcuch ataku opartego na tożsamości może wyglądać następująco:
Co ważne, problem nie dotyczy wyłącznie zwykłych kont użytkowników. Coraz większe znaczenie mają także konta serwisowe, tożsamości maszynowe, integracje API, sekrety aplikacyjne oraz inne nieludzkie tożsamości, które często pozostają poza standardowym monitoringiem bezpieczeństwa.
Najpoważniejszą konsekwencją tego trendu jest obniżenie progu wejścia dla atakujących. Kradzież lub zakup poprawnych danych logowania bywa łatwiejszy, tańszy i mniej ryzykowny niż przygotowanie skutecznego exploita. Dla obrońców oznacza to wzrost liczby incydentów, które formalnie wykorzystują poprawną autoryzację i nie łamią klasycznych reguł dostępu.
Ryzyko operacyjne obejmuje kilka kluczowych obszarów:
Dodatkowym problemem jest opóźnione wykrywanie incydentów. Jeżeli logowanie odbywa się z użyciem poprawnych poświadczeń lub przejętej sesji, organizacja potrzebuje bardziej zaawansowanej analizy behawioralnej, korelacji zdarzeń i oceny kontekstu ryzyka, aby odróżnić legalną aktywność od działań napastnika.
W obliczu tego trendu organizacje powinny rozszerzyć podejście do ochrony przed ransomware o silny komponent identity security. Ochrona tożsamości musi stać się równorzędna wobec ochrony systemów, danych i sieci.
Ransomware w 2026 roku coraz częściej zaczyna się od legalnie wyglądającego logowania, a nie od spektakularnego wykorzystania luki. To fundamentalna zmiana, która wymusza przesunięcie uwagi z samego patch managementu na ochronę tożsamości, monitoring dostępu i analizę zachowań użytkowników.
Dla zespołów bezpieczeństwa najważniejszy wniosek jest jednoznaczny: konto użytkownika, konto administratora i konto techniczne są dziś równie ważnym zasobem do ochrony jak serwer, stacja robocza czy aplikacja. Organizacje, które potraktują tożsamość jako podstawową warstwę bezpieczeństwa, będą znacznie lepiej przygotowane na nową falę ataków ransomware.
Agencja CISA rozszerzyła katalog Known Exploited Vulnerabilities o cztery nowe pozycje dotyczące produktów SonicWall i Microsoft. Umieszczenie podatności w tym zestawieniu oznacza, że luki są nie tylko znane społeczności bezpieczeństwa, ale również wykorzystywane w realnych atakach, co znacząco podnosi ich priorytet dla zespołów IT i SOC.
Dla organizacji wpis do katalogu KEV jest praktycznym sygnałem alarmowym. Oznacza konieczność pilnej oceny ekspozycji, wdrożenia poprawek oraz sprawdzenia, czy dane systemy nie zostały już wykorzystane jako punkt wejścia do środowiska.
Do katalogu KEV trafiły dwie podatności w urządzeniach SonicWall SMA1000 oraz dwie luki dotyczące rozwiązań Microsoft. Chodzi o błąd SSRF, podatność umożliwiającą wstrzyknięcie kodu, problem z kontrolą dostępu w Active Directory Federation Services oraz krytyczną lukę braku uwierzytelnienia w SharePoint Server.
Fakt aktywnego wykorzystania tych luk oznacza, że organizacje powinny traktować je priorytetowo i nie ograniczać się wyłącznie do planowania aktualizacji w standardowym cyklu utrzymaniowym.
Katalog Known Exploited Vulnerabilities pełni rolę operacyjnej listy podatności, których użycie zostało potwierdzone w rzeczywistych kampaniach i incydentach. W praktyce oznacza to, że wpis do KEV często wyprzedza falę masowych prób skanowania i ataków oportunistycznych, zwłaszcza gdy podatne systemy są dostępne z Internetu.
W tym przypadku szczególną uwagę zwracają urządzenia SonicWall SMA1000, wykorzystywane do zdalnego dostępu i publikacji usług. Tego typu rozwiązania od lat pozostają atrakcyjnym celem, ponieważ łączą sieć wewnętrzną z użytkownikami zewnętrznymi. Z kolei Microsoft ADFS i SharePoint Server to elementy kluczowe dla zarządzania tożsamością oraz współpracy nad dokumentami, a ich kompromitacja może otworzyć napastnikowi drogę do dalszej eskalacji działań.
Najbardziej alarmująca wśród opisanych luk jest CVE-2026-15409 w SonicWall SMA1000, oceniona maksymalnie w skali CVSS na 10.0. Jest to podatność typu Server-Side Request Forgery w interfejsie Work Place. Taki błąd może umożliwić atakującemu wymuszanie żądań do wewnętrznych lub zaufanych zasobów z poziomu samego urządzenia, co sprzyja omijaniu segmentacji, rozpoznaniu sieci i przygotowaniu kolejnych etapów ataku.
Druga luka SonicWall, CVE-2026-15410, dotyczy Appliance Management Console i umożliwia wstrzyknięcie kodu po uwierzytelnieniu. W praktyce oznacza to, że przejęcie lub nadużycie konta o odpowiednich uprawnieniach może doprowadzić do wykonania poleceń systemowych i pełnej kompromitacji urządzenia.
W przypadku Microsoft ADFS podatność CVE-2026-56155 dotyczy zbyt mało precyzyjnej kontroli dostępu. Błędy tego typu są szczególnie groźne w systemach federacji tożsamości, ponieważ mogą wpływać na sposób przyznawania uprawnień i dostęp do chronionych usług. Nawet przy ograniczonej liczbie publicznych szczegółów technicznych sam status aktywnego wykorzystania wskazuje na wysoką wartość tej luki dla atakujących.
Jeszcze bardziej niepokojąco z perspektywy systemów wystawionych do Internetu wygląda CVE-2026-56164 w Microsoft SharePoint Server. Brak uwierzytelnienia dla krytycznej funkcji oznacza, że określone operacje mogą być dostępne bez poprawnego logowania. Taka klasa błędów bywa wykorzystywana do nieautoryzowanego dostępu do danych, nadużywania funkcji administracyjnych lub budowania ścieżki do dalszej kompromitacji środowiska.
Ryzyko dla organizacji jest wysokie, ponieważ mowa o podatnościach już wykorzystywanych przez napastników, a nie wyłącznie o scenariuszach teoretycznych. Dodatkowo dotyczą one systemów o dużym znaczeniu operacyjnym: zdalnego dostępu, zarządzania tożsamością i współdzielenia informacji.
Skutki skutecznego ataku mogą obejmować zarówno lokalną kompromitację pojedynczej usługi, jak i pełne naruszenie infrastruktury. W szczególności należy brać pod uwagę:
Ważne jest również to, że sama instalacja poprawek nie zawsze rozwiązuje problem. Jeżeli luka była aktywnie wykorzystywana wcześniej, organizacja może mieć już do czynienia z ukrytym dostępem, web shellem, zmodyfikowaną konfiguracją lub przejętymi poświadczeniami.
Organizacje powinny nadać wskazanym podatnościom najwyższy priorytet remediacyjny i potraktować je jako potencjalny wektor wejścia do poważniejszego incydentu. Dobre praktyki w tym przypadku obejmują:
W środowiskach szczególnie krytycznych warto dodatkowo ograniczyć funkcje administracyjne wyłącznie do sieci zaufanych, zastosować silniejsze mechanizmy uwierzytelniania oraz przeprowadzić pełny przegląd powłamaniowy, jeśli system był publicznie dostępny.
Dodanie luk SonicWall i Microsoft do katalogu KEV to wyraźny sygnał, że zagrożenie ma charakter bieżący i praktyczny. Szczególnie istotne są tutaj urządzenia dostępu zdalnego, systemy federacji tożsamości i platformy współpracy, ponieważ ich kompromitacja może szybko przełożyć się na szerokie naruszenie środowiska.
Z perspektywy obrony kluczowe są szybkie aktualizacje, ograniczenie ekspozycji, monitoring oznak nadużycia oraz założenie, że część ataków mogła nastąpić jeszcze przed wdrożeniem poprawek. Właśnie dlatego reakcja powinna obejmować nie tylko remediację, ale także aktywne poszukiwanie śladów kompromitacji.