Pomagamy Zrozumieć i Wdrażać Bezpieczeństwo
W codziennej pracy analityka bezpieczeństwa (SOC) umiejętność szybkiego korzystania z wbudowanych poleceń Windows bywa bezcenna. Gdy liczy się czas – na przykład podczas triage incydentu lub szybkiego forensics – dostęp do graficznych narzędzi może być ograniczony, a instalacja dodatkowego oprogramowania niemożliwa.
Czytaj dalej „Windows Commands Dla Analityków Bezpieczeństwa – Pełny Przewodnik Z Przykładami”
Grupa demokratycznych ustawodawców z senatorem Ronem Wydenem i kongresmenem Rają Krishnamoorthim wezwała Federalną Komisję Handlu (FTC) do wszczęcia postępowania wobec Flock Safety — dostawcy sieci kamer do automatycznego odczytu tablic rejestracyjnych (ALPR). Powód: rzekomo niedostateczne zabezpieczenia, w tym brak wymogu stosowania wieloskładnikowego uwierzytelniania (MFA) dla klientów z organów ścigania, co ma narażać wrażliwe dane o przemieszczaniu się obywateli na dostęp hakerów i obcych służb.
Flock Safety jest jednym z największych operatorów ALPR w USA; jego platforma umożliwia zapytania m.in. po numerze tablicy, marce/modelu auta, a nawet atrybutach wizualnych. W ostatnich miesiącach firma znalazła się pod ostrzałem za udostępnianie (w ramach pilotaży) dostępu agencjom federalnym oraz za praktyki, które – zdaniem krytyków – ułatwiają nadużycia w obszarach imigracji czy egzekwowania restrykcyjnych przepisów stanowych. Po medialnych doniesieniach i audytach stanowych Flock deklarował zmiany polityk i ograniczenia zapytań federalnych.
Słabe wymuszanie kontroli dostępu
Ryzyko „przejęcia sesji przez sąsiada” i lateralne nadużycia
Domyślne konfiguracje i spójność egzekwowania
Łańcuch zaufania i międzyjurysdykcyjny dostęp do danych
Dla CISO/CIO w sektorze publicznym i prywatnym korzystającym z ALPR lub podobnych platform:
W piśmie do FTC parlamentarzyści wskazują na wcześniejsze sprawy, w których Komisja egzekwowała odpowiedzialność za brak MFA (m.in. Uber, Drizly, Blackbaud i inne wymienione w liście). Wspólny mianownik: brak wymuszenia podstawowych kontroli dostępu i niedostateczne zarządzanie ryzykiem kont skompromitowanych. Różnica na niekorzyść ALPR polega na skali wrażliwości danych ruchowych oraz na międzyinstytucyjnym modelu wymiany – co amplifikuje skutki pojedynczego przejęcia konta.
3 listopada 2025 r. media branżowe ujawniły akt oskarżenia wobec trzech obywateli USA — w tym dwóch byłych negocjatorów ds. ransomware i menedżera IR — którym zarzucono działanie jako afilianci gangu ALPHV/BlackCat oraz przeprowadzenie serii ataków na co najmniej pięć firm w USA (służba zdrowia, farmacja, inżynieria, UAV). Według śledczych sprawcy włamali się do sieci, wykradli dane, wdrożyli szyfrator BlackCat i żądali okupu w kryptowalutach. Jedna z ofiar — producent urządzeń medycznych z Tampy — miała zapłacić ok. 1,27 mln USD.
ALPHV/BlackCat to jedna z najaktywniejszych rodzin ransomware od końca 2021 r., znana z ataków na podmioty ochrony zdrowia i infrastrukturę krytyczną oraz z podwójnego (a czasem potrójnego) wymuszania. W 2024 r. FBI, CISA i HHS publikowały wspólne ostrzeżenia techniczne z aktualnymi IOC i TTP.
Wejście do sieci i eskalacja: Z aktu oskarżenia i doniesień wynika, że sprawcy uzyskiwali nieuprawniony dostęp do środowisk ofiar, eksfiltrowali wrażliwe dane, a następnie wdrażali szyfrator BlackCat. Ofiary obejmowały m.in. firmę medtech z Florydy (Tampa), producenta farmaceutycznego z Maryland, praktykę lekarską i biuro inżynieryjne w Kalifornii oraz wytwórcę dronów w Wirginii. Kwoty żądań mieściły się od 300 tys. do 10 mln USD.
Rola „insiderów branżowych”: Szczególnie alarmujący jest fakt, że oskarżeni pracowali w firmach świadczących usługi IR i negocjacji okupów. Według sądu i materiałów prasowych co najmniej jeden z podejrzanych miał pozostać w areszcie, a drugi nie przyznał się do winy; firmy, w których pracowali, podkreśliły współpracę z organami ścigania i brak wiedzy o przestępstwach.
Model RaaS w praktyce: Zgodnie z opisem TechCrunch, ALPHV/BlackCat funkcjonuje w modelu RaaS: operatorzy tworzą malware i infrastrukturę, a afilianci prowadzą penetrację i eskalację, dzieląc się okupem z operatorem. To klasyczny układ, który obniża barierę wejścia dla atakujących i utrudnia atrybucję.
Zarządzanie dostawcami i personelem:
Higiena techniczna:
Proces i prawo:
Wcześniej głośne były sprawy „pośredników” i firm odzysku danych ukrywających płatności dla gangów. Tu jednak rdzeniem jest aktywna afiliacja RaaS przez osoby z branży IR/negocjacji, co stanowi jakościowo bardziej niebezpieczny precedens — wprost podważa to model zaufania do dostawców reagowania na incydenty.
Microsoft Incident Response (DART) opisał nowy backdoor SesameOp, który wykorzystuje OpenAI Assistants API jako kanał command-and-control (C2). To nie jest podatność w OpenAI ani błąd konfiguracji — to nadużycie legalnego interfejsu API w celu ukrycia komunikacji atakujących w „szumie” ruchu do popularnej usługi chmurowej. OpenAI wraz z Microsoftem zidentyfikowali i wyłączyli klucz oraz powiązane konto wykorzystywane przez sprawcę; funkcja Assistants API i tak ma zostać wycofana w sierpniu 2026 r.
Nadużywanie legalnych usług (tzw. LOLBAS/LOLCLOUD) do C2 to trend widoczny od lat (GitHub, Slack, Telegram, Pastebin). W 2025 r. ENISA raportuje nasilenie wykorzystywania narzędzi AI przez grupy APT i cyberprzestępców (od inżynierii społecznej, przez rozwój malware, po ukrywanie operacji). To raczej „turbo-doładowanie” starych technik niż zupełnie nowe zdolności ofensywne.
Składniki i uruchomienie
Netapi64.dll (obfuskacja Eazfuscator.NET), znacznik uruchomienia C:\Windows\Temp\Netapi64.start, mutex jednosesyjny; dekoduje i uruchamia właściwy moduł z pliku kończącego się na .Netapi64..NET OpenAIAgent.Netapi64 — wbrew nazwie nie używa SDK agentów ani modeli, tylko Assistants API do pobierania poleceń i wysyłki wyników jako wiadomości. Konfiguracja z zasobów: OpenAI_API_Key|Dictionary_Key_Name|Proxy; obsługa proxy systemowego, B64 hostnamen. Mutex: „OpenAI APIS”. Protokół C2 przez Assistants API
timeSLEEP z wiadomości (po thread_id|message_id) i pauza wątku,thread_id|message_id, wykonaj w osobnym wątku, usuń wiadomość i assistanta,Wejście do procesu i utrwalenie
.config; w środowisku ofiary działała dodatkowo siatka internal web shelli wspierających orkiestrację. Detekcje Microsoft
api.openai.com. Monitoring & hunting (SOC)
api.openai.com: koreluj proces → host → częstotliwość; zacznij od kwerendy Microsoft (lub odpowiednika w SIEM/NDR). Ustal listę dozwolonych procesów/serwerów korzystających z API OpenAI. C:\Windows\Temp\*Netapi64*. Kontrola dostępu i „egress governance” (IT/SecOps)
IR / odzyskiwanie
C:\Windows\Temp\Netapi64.*, wpisów konfiguracyjnych .config wskazujących AppDomainManager.SesameOp pokazuje, że governance nad ruchem do usług AI i bezpieczeństwo tożsamości API to nowe „must-have” w SOC. Należy inwentaryzować legalne użycia api.openai.com, egzekwować egress allowlisty, szukać behawioralnych anomalii .NET oraz artefaktów na hostach. Dobra współpraca z dostawcami (tu: Microsoft & OpenAI) przyspiesza neutralizację takich nadużyć.
CVE (Common Vulnerabilities and Exposures) to międzynarodowy standard nazewnictwa publicznie znanych luk bezpieczeństwa w oprogramowaniu i sprzęcie. Mówiąc prościej, jest to lista unikatowych identyfikatorów podatności oraz związany z nią system ich katalogowania. Dzięki CVE specjaliści ds. cyberbezpieczeństwa na całym świecie mogą mówić jednym językiem o konkretnych lukach – niezależnie od platformy czy producenta.
Czytaj dalej „CVE – Kompleksowy Przewodnik Po Lukach Bezpieczeństwa”Rosyjskie Ministerstwo Spraw Wewnętrznych poinformowało o zatrzymaniu trzech „młodych specjalistów IT” w Moskwie i okolicach. Według władz, mieli oni rozwijać i sprzedawać Meduza Stealer – infostealera kradnącego dane logowania, informacje o portfelach krypto oraz inne wrażliwe dane z przeglądarek. Sprawa ma tło krajowe: śledczy łączą grupę z włamaniem do instytucji w obwodzie astrachańskim w maju 2025 r. oraz z dystrybucją płatnego narzędzia w modelu MaaS.
Meduza pojawiła się w połowie 2023 r. i szybko dołączyła do grona popularnych infostealerów obok Lumma czy RedLine. Narzędzie obserwowano w kampaniach przeciw Ukrainie i Polsce, ale także ofiarom w Rosji. Aresztowania wpisują się w szersze – choć wciąż sporadyczne – działania rosyjskich służb przeciw grupom, które „zahaczają” o lokalne cele.
Media branżowe wskazują, że dystrybucja Meduzy była prowadzona w modelu malware-as-a-service (abonament). Władze mówią też o drugim komponencie (narzędziu do wyłączania ochrony AV i budowy botnetów), co sugeruje pakietowe „oferty” dla klientów.
Badania techniczne (m.in. Splunk TR) pokazują, że Meduza:
Wejście/rozprzestrzenianie: phishing, złośliwe pobrania oraz kampanie wykorzystujące exploity; ekosystem reklamował buildery i panele operatorskie dostępne przez Telegram/fora.
Dla zespołów Blue/IT Sec:
Dla użytkowników/zarządów:
Australijskie służby (ASD/ACSC) ostrzegają, że implant webshell BadCandy nadal aktywnie infekuje niezałatane urządzenia Cisco IOS XE wystawione do Internetu. Wg najnowszych danych, od lipca 2025 r. w Australii potencjalnie naruszono ponad 400 urządzeń, a ponad 150 nadal pozostaje zainfekowanych – mimo dostępnych od 2023 r. poprawek eliminujących pierwotny wektor ataku w interfejsie Web UI (CVE-2023-20198).
Pierwsze szerokie wykorzystanie luki w IOS XE Web UI odnotowano w październiku 2023 r. – badacze Cisco Talos opisali wtedy kolejne wersje implantu BadCandy rozmieszczanego po uzyskaniu nieautoryzowanego dostępu. Od tego czasu operatorzy zagrożenia iteracyjnie modyfikują webshell, co ułatwia im przetrwanie i unikanie detekcji.
Rejestracja webshella. BadCandy jest dostarczany jako plik konfiguracyjny (np. cisco_service.conf), który dodaje nowy endpoint URI w serwerze www urządzenia. Zapytania pod ten endpoint przyjmują parametry umożliwiające wykonywanie dowolnych komend na urządzeniu (system/IOS).
Ewolucja i protokół. Talos opisał co najmniej trzy wersje BadCandy; jedna z nich weryfikuje obecność nagłówka X-Csrf-Token w żądaniach – to mechanizm zaciemniania/zabezpieczenia kanału C2.
Artefakty/detekcja. Publicznie dostępne procedury detekcyjne (Fox-IT) wskazują, że implant może zdradzać obecność m.in. poprzez nietypowe odpowiedzi HTTP (np. różnice w odpowiedziach 404 przy specyficznym kodowaniu %25 w ścieżce) oraz obecność charakterystycznych wpisów konfiguracyjnych. Repo zawiera skrypty do skanowania i IOC.
Wektor wejścia. Historycznie ataki zaczynały się od nadużycia podatności CVE-2023-20198 (przywileje w Web UI), co pozwalało napastnikowi przejąć kontrolę, wgrać webshell i utrzymać się w systemie. Cisco opublikowało poprawki i szczegóły ograniczające ekspozycję Web UI.
Priorytet 0: reakcja na incydent
*.conf rejestrujące usługi www oraz różnice odpowiedzi HTTP opisane przez Fox-IT. Priorytet 1: usunięcie wektora wejścia
3. Zainstaluj poprawki dla podatności Web UI (m.in. CVE-2023-20198) na wszystkich instancjach IOS XE; wyłącz lub ogranicz Web UI do zarządzania wyłącznie z zaufanych adresów (MGMNT/VPN), stosuj ACL i AAA.
Priorytet 2: hardening i monitorowanie
4. Minimalizacja powierzchni ataku: wyłącz zbędne usługi HTTP/HTTPS, telemetry, legacy protokoły; wymuś MFA i RBAC dla administratorów.
5. Monitoruj wskaźniki naruszenia (IOC) i anomalie ruchu do/ze zdefiniowanego endpointu webshella; ustaw alerty na niestandardowe ścieżki URI i nagłówki żądań (np. X-Csrf-Token).
6. Logowanie i forensyka: eksportuj logi poza urządzenie (syslog/SIEM); pamiętaj, że sprawcy często modyfikują/wyłączają logowanie, dlatego artefaktów możesz szukać również w konfiguracji i ruchu.
Na tle innych kampanii przeciwko infrastrukturze sieciowej BadCandy wyróżnia lekki, „konfiguracyjny” sposób wpięcia webshella w serwer www IOS XE, bez ciężkiego binarnego implantu. W praktyce utrudnia to detekcję (artefakty przypominają „normalną” konfigurację usług), a napastnik może szybko zmieniać endpointy i parametry bez ingerencji w obraz systemu.