Archiwa: VPN - Strona 26 z 156

Nowy malware na macOS kradnie dane z przeglądarek i portfeli kryptowalut

Wprowadzenie do problemu / definicja

Nowe kampanie malware wymierzone w macOS pokazują, że komputery Apple są dziś pełnoprawnym celem operatorów infostealerów. Tego typu złośliwe oprogramowanie koncentruje się na kradzieży danych uwierzytelniających, plików cookie, informacji zapisanych w przeglądarkach oraz artefaktów powiązanych z portfelami kryptowalutowymi.

W praktyce oznacza to zagrożenie nie tylko dla haseł, ale również dla aktywnych sesji, danych finansowych i dostępu do usług chmurowych. Współczesne stealerowe kampanie dla macOS są projektowane tak, aby utrudniać analizę, wykorzystywać zaufanie użytkownika i zwiększać skuteczność eksfiltracji danych.

W skrócie

Nowo opisywany malware dla macOS został zaprojektowany do wykradania informacji z przeglądarek, poświadczeń oraz zasobów związanych z kryptowalutami. Zagrożenie wpisuje się w szerszy trend rozwoju infostealerów na platformie Apple, gdzie atakujący łączą pozornie legalne aplikacje, socjotechnikę i techniki ukrywania działania.

celem są loginy, hasła, cookies i tokeny sesyjne,
atakujący interesują się danymi z przeglądarek opartych na Chromium,
szczególnie wysokie ryzyko dotyczy portfeli kryptowalutowych i rozszerzeń przeglądarkowych,
pojedyncza infekcja może prowadzić do dalszego przejęcia kont lub zasobów firmowych.

Kontekst / historia

Przez lata macOS był postrzegany jako mniej atrakcyjny cel niż Windows, jednak wzrost popularności komputerów Apple w biznesie, środowiskach deweloperskich i wśród użytkowników aktywów cyfrowych zmienił ten obraz. Cyberprzestępcy coraz częściej rozwijają wyspecjalizowane infostealery przeznaczone właśnie dla tego ekosystemu.

Obecna fala zagrożeń pokazuje utrwalony schemat działania. Malware jest dostarczany jako aplikacja wyglądająca wiarygodnie, fałszywa aktualizacja lub narzędzie użytkowe, a następnie koncentruje się na przejęciu danych zapisanych lokalnie. Szczególnym celem pozostają przeglądarki, dane dostępowe do usług internetowych oraz elementy powiązane z kryptowalutami.

Nowa kampania nie jest odosobnionym przypadkiem, lecz częścią szerszego rynku złośliwego oprogramowania dla macOS. Wspólnym mianownikiem takich operacji pozostaje szybka monetyzacja poprzez sprzedaż skradzionych logów, przejmowanie kont i bezpośrednią kradzież środków cyfrowych.

Analiza techniczna

Technicznie malware należy do kategorii infostealerów. Jego podstawowym zadaniem jest zebranie danych przechowywanych na urządzeniu ofiary, spakowanie ich i przesłanie na infrastrukturę kontrolowaną przez napastnika. W zależności od wariantu zakres kradzieży może obejmować zarówno dane przeglądarek, jak i wybrane informacje systemowe.

zapisane loginy i hasła,
profile użytkownika w przeglądarkach,
cookies i tokeny sesyjne,
historię przeglądania i wybrane pliki lokalne,
dane rozszerzeń przeglądarkowych,
artefakty powiązane z portfelami kryptowalutowymi.

Szczególnie atrakcyjne dla operatorów są przeglądarki oparte na Chromium, ponieważ wiele cennych danych znajduje się tam w przewidywalnych lokalizacjach. Dzięki temu malware może automatycznie pozyskać bazy danych logowania, pliki cookie, informacje o zapisanych kartach i dane rozszerzeń używanych do obsługi giełd lub portfeli.

Coraz częściej podobne zagrożenia są tworzone z użyciem nowoczesnych frameworków i technologii wieloplatformowych. Ułatwia to szybkie rozwijanie kolejnych wariantów, a obrońcom utrudnia analizę. Dodatkowo część rodzin malware stosuje etapowanie ładunku, komponenty pośrednie, szyfrowanie komunikacji lub kamuflaż pod legalne procesy i aplikacje.

O skuteczności takich kampanii decyduje jednak nie tylko sam kod. Kluczową rolę odgrywa socjotechnika, czyli nakłonienie użytkownika do uruchomienia pliku, zaakceptowania instalacji lub nadania uprawnień. W ten sposób atakujący może obejść część naturalnych zabezpieczeń platformy Apple.

Konsekwencje / ryzyko

Dla użytkowników indywidualnych skutki infekcji mogą oznaczać przejęcie kont pocztowych, komunikatorów, serwisów finansowych i utratę środków kryptowalutowych. Kradzież cookies lub tokenów sesyjnych bywa szczególnie groźna, ponieważ pozwala ominąć tradycyjne logowanie i uzyskać dostęp do już aktywnych sesji.

W środowisku firmowym ryzyko jest jeszcze większe. Infostealer uruchomiony na komputerze pracownika może doprowadzić do wycieku poświadczeń do poczty, VPN, repozytoriów kodu, paneli administracyjnych i usług chmurowych. Takie dane są później wykorzystywane do dalszych etapów ataku, w tym eskalacji uprawnień, phishingu wewnętrznego czy wdrożenia ransomware.

Szczególnie narażone pozostają zespoły deweloperskie, administratorzy, pracownicy finansowi i osoby zarządzające aktywami cyfrowymi. W ich przypadku pojedyncza infekcja może skutkować zarówno poważnymi stratami finansowymi, jak i kompromitacją całej organizacji.

Rekomendacje

Podstawowym założeniem obronnym powinno być traktowanie macOS tak samo poważnie jak środowisk Windows i Linux. Ochrona stacji końcowej Apple wymaga kontroli źródeł oprogramowania, monitorowania zachowań procesów oraz odpowiedniego zarządzania tożsamością i sesjami.

instalować aplikacje wyłącznie z zaufanych źródeł,
weryfikować podpisy deweloperskie i pochodzenie pakietów,
wdrożyć EDR lub XDR obsługujący macOS,
monitorować dostęp do katalogów przeglądarek i danych aplikacji,
stosować zasadę najmniejszych uprawnień,
włączyć MFA tam, gdzie to możliwe,
ograniczać liczbę rozszerzeń przeglądarkowych,
resetować hasła i unieważniać sesje po wykryciu incydentu,
szkolić użytkowników z rozpoznawania fałszywych aktualizacji i aplikacji.

W organizacjach warto dodatkowo wdrożyć polityki MDM, kontrolę uruchamianych aplikacji i alertowanie na nietypowe procesy odczytujące dane profili użytkowników. Reakcja na incydent powinna obejmować izolację hosta, rotację tokenów, przegląd dostępu do usług oraz analizę możliwych działań następczych napastnika.

Użytkownicy kryptowalut powinni rozważyć separację codziennej pracy od operacji finansowych, korzystanie z portfeli sprzętowych oraz minimalizowanie liczby aplikacji i rozszerzeń mających dostęp do kluczy, seedów lub kont giełdowych.

Podsumowanie

Nowy malware dla macOS potwierdza, że infostealery stały się jednym z najważniejszych zagrożeń dla użytkowników komputerów Apple. Kradzież danych z przeglądarek, poświadczeń i zasobów kryptowalutowych daje przestępcom szybki zysk, a jednocześnie otwiera drogę do dalszej kompromitacji kont, urządzeń i środowisk firmowych.

Z perspektywy obrony kluczowe znaczenie mają kontrola źródeł oprogramowania, monitoring behawioralny, ochrona sesji oraz szybka reakcja po wykryciu oznak wycieku. macOS nie jest już wyjątkiem w krajobrazie zagrożeń, lecz coraz ważniejszym celem nowoczesnych kampanii malware.

Źródła

Prywatny APN jako nowy wektor ataku na infrastrukturę energetyczną w Polsce

Wprowadzenie do problemu / definicja

Ataki na systemy OT i ICS coraz częściej wykorzystują nie tylko podatności w usługach zdalnego dostępu, ale również błędne założenia architektoniczne dotyczące zaufanych sieci operatorskich. Opisany incydent pokazuje, że prywatny APN, zwykle postrzegany jako odseparowany i bezpieczny kanał komunikacji, może zostać użyty jako skuteczny wektor pivotingu do środowiska sterowania przemysłowego.

W praktyce oznacza to, że przejęcie pojedynczego urządzenia brzegowego lub telekomunikacyjnego może otworzyć drogę do systemów SCADA, sterowników PLC oraz innych kluczowych komponentów infrastruktury krytycznej. To istotna zmiana perspektywy dla operatorów energetycznych, którzy dotąd często traktowali prywatne APN jako warstwę zaufaną.

W skrócie

Drugi ujawniony incydent z grudnia 2025 roku dotyczył mniejszej elektrociepłowni obsługującej około 50 tys. mieszkańców. Atakujący uzyskali dostęp do środowiska OT poprzez łańcuch obejmujący urządzenie Fortinet, router komórkowy Teltonika oraz prywatny APN wykorzystywany do komunikacji operatorskiej.

Po rozpoznaniu infrastruktury napastnicy uzyskali dostęp do sterowników PLC, przełączyli wybrane kontrolery Siemens w tryb stop i zabezpieczyli je hasłem. Doprowadziło to do zatrzymania turbiny parowej oraz systemu uzdatniania wody. Dostawy ciepła i energii nie zostały przerwane, jednak część urządzeń ICS została trwale uszkodzona.

wejście przez urządzenie Fortinet dostępne z internetu,
pivoting przez router Teltonika i prywatny APN,
dostęp do Wago PLC i dalsza penetracja OT,
manipulacja sterownikami Siemens,
uszkodzenie części komponentów ICS.

Kontekst / historia

Incydent był prowadzony równolegle do wcześniej opisywanej kampanii wymierzonej w polski sektor energetyczny pod koniec grudnia 2025 roku. W tamtych działaniach celem były dziesiątki lokalizacji, w tym elektrociepłownie oraz centra dyspozytorskie związane z odnawialnymi źródłami energii. Choć nie odnotowano wyłączeń dostaw energii, potwierdzono przypadki trwałego uszkodzenia części komponentów ICS.

Drugi przypadek wyróżnia się tym, że pokazuje praktyczne wykorzystanie prywatnego APN jako elementu ścieżki ataku. Tego typu rozwiązania są powszechnie używane w energetyce, telemetrii i automatyce przemysłowej jako wygodny mechanizm wydzielonej komunikacji z obiektami terenowymi. Problem polega na tym, że prywatny charakter takiej sieci bywa mylony z realną odpornością na nadużycia i lateral movement.

Analiza techniczna

Początkowy punkt wejścia znajdował się w urządzeniu Fortinet pełniącym funkcję VPN i zapory sieciowej w farmie wiatrowej podłączonej do internetu. Po uzyskaniu obecności w tej sieci atakujący zidentyfikowali router komórkowy Teltonika i uzyskali dostęp do jego interfejsu administracyjnego. Następnie wykorzystali aktywną usługę SSH do zestawienia tunelu umożliwiającego komunikację z prywatną siecią APN zarządzaną przez operatora systemu dystrybucyjnego.

To właśnie ten etap jest najważniejszym elementem technicznym całego incydentu. Prywatny APN, z perspektywy obrońcy traktowany jako wydzielona warstwa transportowa dla komunikacji SCADA, z perspektywy napastnika okazał się zaufaną magistralą umożliwiającą poruszanie się między odległymi elementami infrastruktury. Jeśli na jednym z końców znajdują się słabo zabezpieczone urządzenia, taka sieć może zostać wykorzystana do przejścia w głąb środowiska OT.

Po przeskanowaniu prywatnej sieci APN napastnicy zidentyfikowali sterownik Wago PLC działający w elektrociepłowni. Aktywna usługa SSH na tym urządzeniu umożliwiła im wejście do sieci OT zakładu. Przez około tydzień prowadzili rozpoznanie, a następnie uzyskali dostęp do sterowników Siemens PLC. Kontrolery przełączono w tryb stop oraz ustawiono hasło uniemożliwiające operatorom przywrócenie normalnego trybu pracy i zmiany logiki sterowania.

Dodatkowym celem działań były serwery urządzeń szeregowych Moxa oraz przełączniki sieciowe Moxa, które skonfigurowano w sposób utrudniający legalnym administratorom dostęp. Zidentyfikowano też działania wobec przemienników częstotliwości ABB i Schneider Electric, choć pełny zakres operacji wobec tych komponentów nie został ostatecznie jednoznacznie ustalony.

Szczególnie niepokojący był wymiar destrukcyjny ataku. Jeden z kontrolerów Wago użytych jako brama do dalszej penetracji został uszkodzony przez modyfikację tablicy partycji, co uniemożliwiło jego uruchomienie i utrudniło odzyskanie danych oraz logów. Takie działanie sugeruje nie tylko intencję sabotażu, ale również próbę ograniczenia możliwości przeprowadzenia pełnej analizy powłamaniowej.

Konsekwencje / ryzyko

Najważniejszy wniosek z tego zdarzenia jest prosty: separacja telekomunikacyjna nie zastępuje segmentacji bezpieczeństwa. Prywatny APN może ograniczyć ekspozycję na przypadkowy ruch z internetu, ale nie eliminuje ryzyka, jeśli napastnik przejmie urządzenie posiadające dostęp do tej sieci. W środowiskach krytycznych oznacza to realną możliwość przeskoku z warstwy IT lub urządzeń brzegowych bezpośrednio do OT.

Ryzyko operacyjne obejmuje kilka poziomów. Atakujący mogą zatrzymać proces technologiczny przez manipulację stanem PLC, zablokować operatorów poprzez zmianę haseł i konfiguracji, a także uszkodzić urządzenia w sposób wydłużający czas przywracania działania. Dodatkowo incydenty tego typu mogą początkowo wyglądać jak zwykła awaria techniczna lub błąd popełniony podczas prac serwisowych.

możliwość zatrzymania procesu technologicznego,
utrata dostępu administracyjnego do krytycznych urządzeń,
trwałe uszkodzenie komponentów ICS,
utrudniona analiza śledcza i odzyskiwanie logów,
ryzyko błędnej klasyfikacji incydentu jako awarii operacyjnej.

W wymiarze strategicznym zagrożenie jest jeszcze poważniejsze. Sektor energetyczny działa w oparciu o rozproszoną infrastrukturę, liczne łącza operatorskie oraz heterogeniczne środowiska OT. Każde niewłaściwie zabezpieczone urządzenie dostępowe i każda niekontrolowana relacja zaufania mogą stać się punktem wejścia do krytycznych systemów sterowania.

Rekomendacje

Organizacje korzystające z prywatnych APN w środowiskach przemysłowych powinny traktować je jak pełnoprawne sieci operacyjne wymagające wielowarstwowego modelu bezpieczeństwa. Sam fakt, że dana komunikacja nie przebiega publicznie przez internet, nie może być uznawany za wystarczającą kontrolę ochronną.

przeprowadzić pełną inwentaryzację urządzeń mających dostęp do prywatnych APN,
wyłączyć zbędne usługi administracyjne, zwłaszcza SSH, jeśli nie są niezbędne,
ograniczyć dostęp administracyjny listami kontroli dostępu i silnym uwierzytelnianiem,
wdrożyć ścisłą segmentację między transportem, SCADA, strefami PLC i systemami wykonawczymi,
monitorować lateral movement, skanowanie adresów, nietypowe tunele SSH oraz zmiany konfiguracji PLC,
regularnie testować procedury odtworzeniowe dla sterowników, przełączników i serwerów urządzeń szeregowych,
weryfikować offline kopie zapasowe logiki sterowników i konfiguracji sieciowej,
traktować nieplanowane zatrzymania procesu i niespodziewane zmiany stanu PLC jako potencjalne incydenty bezpieczeństwa.

Szczególnie ważne jest korelowanie zdarzeń cybernetycznych z anomaliami procesu technologicznego. W środowiskach OT samo wykrycie nietypowej sesji administracyjnej nie zawsze wystarcza. Kluczowe jest szybkie powiązanie takich sygnałów z zachowaniem instalacji przemysłowej, aby ograniczyć skutki ewentualnego sabotażu.

Podsumowanie

Opisany incydent stanowi mocny sygnał ostrzegawczy dla operatorów infrastruktury krytycznej w Polsce. Prywatny APN nie jest gwarancją bezpieczeństwa, jeśli po obu stronach połączenia funkcjonują podatne, źle skonfigurowane lub nadmiernie zaufane urządzenia. Atakujący wykorzystali klasyczny łańcuch pivotingu: wejście przez system brzegowy, przejście przez router komórkowy, wykorzystanie prywatnej sieci operatorskiej i manipulację sterownikami PLC w środowisku OT.

Z perspektywy cyberbezpieczeństwa sektora energetycznego najważniejsze lekcje są trzy: nie ufać domyślnie sieciom operatorskim, ograniczać dostęp administracyjny do urządzeń przemysłowych oraz projektować architekturę OT tak, aby przejęcie pojedynczego komponentu nie umożliwiało przejścia do krytycznych systemów sterowania. To właśnie architektura zaufania i segmentacja decydują dziś o realnej odporności infrastruktury przemysłowej.

Źródła

SecurityWeek — Novel Private APN Pivot Let Hackers Sabotage Second Polish Energy Facility — https://www.securityweek.com/novel-private-apn-pivot-let-hackers-sabotage-second-polish-energy-facility/
CERT Polska — raport dotyczący incydentu w sektorze energetycznym — https://cert.pl/

Ataki na systemy wodociągowe w USA rozszerzają się: celem publicznie dostępne sterowniki PLC

Wprowadzenie do problemu

Sektor wodno-kanalizacyjny należy do najbardziej wrażliwych obszarów infrastruktury krytycznej. Ostatnia fala incydentów w Stanach Zjednoczonych pokazuje, że nawet nieskomplikowane technicznie działania mogą prowadzić do realnych zakłóceń operacyjnych, jeśli atakujący uzyskają dostęp do wystawionych do Internetu sterowników PLC i słabo zabezpieczonych środowisk OT.

Nie chodzi wyłącznie o pojedynczą podatność, lecz o szerszy problem architektury i sposobu eksploatacji systemów przemysłowych. W wielu organizacjach rozwiązania te były projektowane przede wszystkim pod kątem ciągłości działania, a nie odporności na współczesne zagrożenia cybernetyczne.

W skrócie

W wielu stanach USA odnotowano serię cyberataków wymierzonych w systemy wodociągowe i oczyszczalnie ścieków. Napastnicy koncentrowali się na publicznie dostępnych sterownikach PLC, zmieniając hasła administracyjne oraz parametry sieciowe urządzeń.

Tego rodzaju działania utrudniały operatorom zdalny dostęp, ograniczały bieżące zarządzanie procesami i zwiększały ryzyko zakłóceń operacyjnych. Według dostępnych informacji część incydentów może być powiązana z aktorami sympatyzującymi z Iranem lub działającymi w jego interesie.

Kontekst i historia

Pierwsze szerzej opisywane przypadki dotyczyły podmiotów ze stanu Minnesota, gdzie potwierdzono ataki na dziesiątki organizacji związanych z gospodarką wodną. Z czasem podobne incydenty zaczęły zgłaszać kolejne lokalizacje, w tym obiekty z Georgii, Michigan, Dakoty Południowej, Alabamy i New Jersey.

Tło tych zdarzeń jest istotne, ponieważ amerykańskie agencje federalne już wcześniej ostrzegały przed aktywnością wymierzoną w urządzenia przemysłowe wykorzystywane w sektorze wody i ścieków. Obecna kampania wpisuje się więc w szerszy trend opportunistycznych ataków na organizacje, które utrzymują bezpośrednio dostępne z Internetu zasoby OT.

To oznacza, że nie mamy do czynienia z odosobnionym incydentem, ale z kolejną fazą narastającego problemu bezpieczeństwa infrastruktury krytycznej. Szczególnie narażone pozostają mniejsze i rozproszone podmioty komunalne, które często dysponują ograniczonym budżetem i skromnymi zasobami kadrowymi.

Analiza techniczna

Z technicznego punktu widzenia kampania nie wymagała szczególnie zaawansowanych narzędzi. Kluczową rolę odegrała bezpośrednia ekspozycja sterowników PLC do Internetu oraz brak podstawowych zabezpieczeń architektonicznych, takich jak segmentacja, kontrolowane strefy dostępu czy silne mechanizmy uwierzytelniania.

Atakujący wykorzystywali możliwość połączenia z urządzeniami sterującymi, a następnie modyfikowali hasła administracyjne lub ustawienia sieciowe, w tym parametry adresacji IP. Taka zmiana mogła skutecznie odciąć operatorów od urządzeń albo znacząco ograniczyć ich zdolność do monitorowania procesów technologicznych.

W środowiskach OT nawet pozornie prosta ingerencja może mieć poważne skutki. Nie jest konieczna zmiana logiki sterowania, aby doprowadzić do problemów operacyjnych. Już samo przejęcie warstwy zarządzania może wymusić przejście na sterowanie ręczne, spowolnić reakcję zespołów technicznych i zwiększyć ryzyko błędów ludzkich.

Dodatkowym czynnikiem ryzyka jest specyfika sektora wodnego. Wiele instalacji jest obsługiwanych przez niewielkie zespoły i wspieranych przez zewnętrznych integratorów. Zdalny dostęp bywa tam realizowany przez prowizoryczne kanały serwisowe, takie jak przekierowania portów, łącza komórkowe czy niestandardowe mechanizmy administracyjne uruchamiane poza centralnym nadzorem bezpieczeństwa.

Konsekwencje i ryzyko

Seria incydentów potwierdza, że zakłócenie działania infrastruktury wodociągowej nie wymaga dziś zaawansowanego malware’u ani skomplikowanych exploitów. Wystarczy wykorzystanie słabo chronionych zasobów OT i podstawowa ingerencja w konfigurację urządzeń.

Ryzyko należy rozpatrywać na kilku poziomach. Najbardziej bezpośrednie jest ryzyko operacyjne, czyli utrata widoczności nad procesem technologicznym i ograniczenie zdolności do szybkiej reakcji. Drugim wymiarem jest ciągłość usług publicznych, w tym potencjalny wpływ na ciśnienie w sieci, pracę oczyszczalni lub jakość dostarczanej wody.

Istotny pozostaje także efekt psychologiczny i strategiczny. Nawet technicznie ograniczony atak na infrastrukturę krytyczną może wywołać nieproporcjonalnie duży efekt społeczny, medialny i polityczny. Podejrzenia dotyczące możliwego związku kampanii z podmiotami prorirańskimi dodatkowo wzmacniają znaczenie tych incydentów, ponieważ mogą one służyć zarówno demonstracji możliwości, jak i rozpoznaniu środowiska pod przyszłe operacje.

Rekomendacje

Najważniejszym krokiem dla operatorów jest natychmiastowe usunięcie publicznej ekspozycji sterowników PLC i innych komponentów OT. Urządzenia sterujące nie powinny być dostępne bezpośrednio z Internetu, a zdalny dostęp musi przebiegać przez kontrolowane strefy pośrednie z pełnym logowaniem aktywności.

Organizacje powinny również przeprowadzić przegląd wszystkich kanałów serwisowych oraz pełną inwentaryzację zasobów OT. Dotyczy to zarówno połączeń VPN, jak i modemów komórkowych, przekierowań portów oraz niestandardowych mechanizmów wdrożonych przez integratorów lub personel utrzymaniowy.

wdrożenie segmentacji IT/OT oraz stref DMZ dla ruchu administracyjnego,
stosowanie silnych i unikalnych haseł oraz eliminacja domyślnych danych dostępowych,
włączenie MFA tam, gdzie jest to technicznie możliwe,
monitorowanie anomalii w sieci przemysłowej,
tworzenie kopii zapasowych konfiguracji PLC i procedur szybkiego odtwarzania,
regularne przeglądy reguł zapór sieciowych i list kontroli dostępu,
ćwiczenia reagowania na incydenty obejmujące utratę widoczności i przejście na sterowanie ręczne.

Nie mniej ważne są działania organizacyjne. Małe i średnie podmioty komunalne często nie mają własnych kompetencji w zakresie OT security, dlatego powinny korzystać ze wsparcia wyspecjalizowanych zespołów, dobrych praktyk sektorowych oraz krajowych wytycznych dla infrastruktury krytycznej.

Podsumowanie

Ataki na systemy wodociągowe w wielu stanach USA pokazują, że realne zagrożenie dla infrastruktury krytycznej nie zawsze wynika z użycia wyrafinowanych narzędzi. Wystarczy połączenie słabej higieny bezpieczeństwa, publicznej ekspozycji urządzeń OT i braku centralnej kontroli nad zdalnym dostępem.

Kampania wymierzona w sterowniki PLC jest kolejnym sygnałem ostrzegawczym dla operatorów sektora wodnego. Ograniczenie ekspozycji, segmentacja sieci oraz ścisła kontrola dostępu do środowisk OT powinny być traktowane jako pilny priorytet bezpieczeństwa operacyjnego.

Źródła

Dark Reading – Multistate Water System Attacks Widen, Iran Suspected
https://www.darkreading.com/ics-ot-security/multistate-water-system-attacks-widen-iran-suspected
FBI IC3 – Iranian Cyber Actors Targeting PLCs in Critical Infrastructure Sectors
https://www.ic3.gov/PSA/2025/PSA250422
CISA – Cyber Threat Actors Targeting PLCs in US Water and Wastewater Systems Sector
https://www.cisa.gov/news-events/alerts/2025/07/30/cyber-threat-actors-targeting-plcs-us-water-and-wastewater-systems-sector
CISA – Iranian-affiliated Cyber Actors Gain Access to US Water and Wastewater Systems Facilities
https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-335a
CISA – Top Cyber Actions for Securing Water Systems
https://www.cisa.gov/resources-tools/resources/top-cyber-actions-securing-water-systems

Luki SonicWall SMA1000 wykorzystywane przez ransomware. Krytyczne zagrożenie dla bram VPN

Wprowadzenie do problemu

SonicWall SMA1000 to korporacyjna platforma zdalnego dostępu, wykorzystywana do bezpiecznego łączenia użytkowników i administratorów z zasobami firmowymi. W sierpniu 2026 roku potwierdzono, że dwie krytyczne podatności tej serii są aktywnie wykorzystywane nie tylko w rzeczywistych atakach, ale również w operacjach powiązanych z grupami ransomware.

To szczególnie niebezpieczny rozwój sytuacji, ponieważ urządzenia tego typu działają na styku internetu i sieci wewnętrznej. Ich kompromitacja może otworzyć napastnikom drogę do dalszej penetracji środowiska, obejścia części zabezpieczeń endpointów oraz uzyskania trwałego dostępu do infrastruktury.

W skrócie

Podatności CVE-2026-15409 i CVE-2026-15410 dotyczą platformy SonicWall SMA1000.
Pierwsza luka to krytyczne SSRF z oceną CVSS 10.0, druga umożliwia wstrzyknięcie kodu.
Obie podatności zostały dodane do katalogu Known Exploited Vulnerabilities prowadzonego przez CISA.
Najnowsze ustalenia wskazują, że błędy są wykorzystywane również przez operatorów ransomware.
Badacze incydentów opisali kampanię, w której kompromitowano urządzenia jeszcze przed publicznym ujawnieniem luk.

Kontekst i historia

SonicWall opublikował poprawki w połowie lipca 2026 roku, jednocześnie ostrzegając, że luki były już aktywnie wykorzystywane. W praktyce oznaczało to, że organizacje nie miały do czynienia z hipotetycznym ryzykiem, lecz z realnym, operacyjnym zagrożeniem wymagającym natychmiastowej reakcji.

Krótko później amerykańska agencja CISA dodała obie podatności do katalogu KEV. Tego rodzaju wpis zazwyczaj podnosi priorytet remediacji, zwłaszcza w administracji publicznej i dużych organizacjach, ponieważ potwierdza praktyczne wykorzystanie błędów przez napastników.

Dodatkowe ustalenia zespołów reagowania na incydenty wskazują, że aktywność atakujących rozpoczęła się co najmniej 22 czerwca 2026 roku, a więc jeszcze przed publicznym disclosure. Kampania została powiązana z podmiotem śledzonym jako UTA0533, który instalował na przejętych appliance’ach własne komponenty malware i backdoory.

Analiza techniczna

CVE-2026-15409 to krytyczna podatność typu SSRF. Taki błąd pozwala wymusić na urządzeniu wykonywanie żądań do wskazanych zasobów z perspektywy samej bramy dostępowej. W praktyce może to umożliwić enumerację usług, dostęp do wewnętrznych interfejsów administracyjnych, obchodzenie segmentacji oraz przygotowanie gruntu pod kolejne etapy ataku.

CVE-2026-15410 dotyczy wstrzyknięcia kodu. Połączenie luki SSRF z możliwością code injection tworzy bardzo groźny łańcuch ataku, prowadzący od wstępnego dostępu do wykonania poleceń i potencjalnego pełnego przejęcia kontroli nad urządzeniem.

Według ujawnionych informacji atakujący wdrażali na przejętych systemach niestandardowe komponenty malware, w tym KNUCKLEBALL, Sou5, ROOTRUN i ORANGETAIL. Obecność wyspecjalizowanych implantów na urządzeniach VPN sugeruje wysoki poziom dojrzałości operacyjnej kampanii oraz nastawienie na trwałość dostępu, tunelowanie ruchu, rekonesans i przygotowanie środowiska pod kolejne działania.

Istotnym czynnikiem pozostaje również ekspozycja tych urządzeń w internecie. Publicznie dostępne appliance’y VPN są atrakcyjnym celem zarówno dla ukierunkowanych grup przestępczych, jak i dla operatorów masowo skanujących sieć w poszukiwaniu podatnych systemów brzegowych.

Konsekwencje i ryzyko

Najpoważniejszym skutkiem skutecznej eksploatacji jest wykorzystanie urządzenia VPN jako punktu wejścia do całej organizacji. Po przejęciu appliance’a napastnik może uzyskać dostęp do konfiguracji, poświadczeń, ruchu tunelowanego, sesji administracyjnych i ścieżek komunikacyjnych prowadzących do systemów wewnętrznych.

Powiązanie tych luk z działalnością grup ransomware podnosi ocenę ryzyka do poziomu krytycznego. Kompromitacja urządzenia może stać się początkiem ruchu lateralnego, eskalacji uprawnień, eksfiltracji danych, a następnie szyfrowania zasobów i zakłócenia działalności operacyjnej.

Szczególnie narażone są duże przedsiębiorstwa, instytucje publiczne oraz dostawcy usług zarządzanych. W środowiskach wielodzierżawczych kompromitacja pojedynczej bramy zdalnego dostępu może mieć skutki kaskadowe i objąć więcej niż jedną organizację.

Rekomendacje

Organizacje korzystające z SonicWall SMA1000 powinny potraktować sprawę priorytetowo i niezwłocznie zastosować poprawki oraz hotfiksy wskazane przez producenta. Jeżeli aktualizacja nie została jeszcze wdrożona, urządzenie należy uznać za potencjalnie skompromitowane do czasu przeprowadzenia pełnej weryfikacji.

Przeanalizować logi administracyjne, VPN, systemowe i sieciowe co najmniej od 22 czerwca 2026 roku.
Sprawdzić obecność wskaźników kompromitacji, nietypowych procesów i nieautoryzowanych zmian w konfiguracji.
Zweryfikować listy kont administracyjnych oraz integralność ustawień bezpieczeństwa.
Przejrzeć nietypowe połączenia wychodzące z appliance’a do zasobów wewnętrznych i zewnętrznych.
Zresetować poświadczenia administracyjne i rozważyć rotację sekretów używanych przez systemy zintegrowane.

Z perspektywy strategicznej warto także ograniczyć ekspozycję interfejsów zarządzających, wdrożyć pełniejszy monitoring urządzeń brzegowych, segmentować ich ruch oraz korelować zdarzenia z systemami EDR, NDR i SIEM. W przypadku potwierdzonej kompromitacji sama instalacja poprawki może być niewystarczająca i konieczna może okazać się pełna odbudowa systemu z zaufanego źródła.

Podsumowanie

Przypadek SonicWall SMA1000 pokazuje, że urządzenia zdalnego dostępu pozostają jednym z najbardziej atrakcyjnych celów dla zaawansowanych grup cyberprzestępczych. Połączenie krytycznej luki SSRF z podatnością umożliwiającą wstrzyknięcie kodu tworzy wyjątkowo niebezpieczny wektor ataku, zwłaszcza gdy eksploatacja rozpoczyna się jeszcze przed publicznym ujawnieniem błędów.

Potwierdzenie wykorzystania tych podatności przez operatorów ransomware oznacza konieczność natychmiastowego działania. Dla organizacji kluczowe są dziś trzy kroki: szybka aktualizacja, weryfikacja śladów kompromitacji oraz przegląd architektury ochrony urządzeń brzegowych.

Źródła

ClickFix na macOS dostarcza stealer zdolny do opróżniania portfeli kryptowalut

Wprowadzenie do problemu / definicja

Kampanie typu ClickFix należą do najskuteczniejszych metod socjotechnicznych, ponieważ skłaniają użytkownika do samodzielnego uruchomienia złośliwego polecenia pod pozorem wykonania naprawy, weryfikacji lub aktywacji systemu. W najnowszym scenariuszu technika ta została wykorzystana do dystrybucji malware dla macOS, które łączy funkcje klasycznego stealera z modułem służącym do opróżniania portfeli kryptowalut.

To istotna zmiana w krajobrazie zagrożeń dla użytkowników komputerów Apple. Atakujący nie ograniczają się już do kradzieży zapisanych haseł i poświadczeń, ale sięgają po mechanizmy bezpośredniej monetyzacji poprzez przejęcie aktywów cyfrowych.

W skrócie

Atak nakłania użytkownika macOS do wklejenia komendy do Terminala.
Uruchomiony skrypt profiluje system i pobiera właściwy ładunek Mach-O zgodny z architekturą urządzenia.
Malware napisane w Go kradnie hasła z przeglądarek, dane z Apple Keychain i poświadczenia z lokalnych cache.
Złośliwe oprogramowanie może próbować wyłudzić hasło administratora przy użyciu fałszywego komunikatu systemowego.
Najgroźniejszy moduł odpowiada za transfer środków z portfeli kryptowalut na adresy kontrolowane przez napastników.

Kontekst / historia

ClickFix zyskał popularność jako prosty, ale wyjątkowo skuteczny model obejścia części tradycyjnych zabezpieczeń. Zamiast wykorzystywać klasyczny exploit, operatorzy kampanii przygotowują stronę lub komunikat instruujący ofiarę, by samodzielnie wkleiła określone polecenie do interpretera systemowego.

Takie podejście przenosi etap wykonania kodu na użytkownika, co utrudnia wykrywanie ataku wyłącznie na podstawie schematów kojarzonych z typowymi kampaniami drive-by download. W ostatnim czasie obserwuje się wzrost liczby kampanii ClickFix wymierzonych zarówno w środowiska Windows, jak i macOS, jednak opisywany przypadek wyróżnia się naciskiem na kradzież kryptowalut.

Analiza techniczna

Łańcuch infekcji rozpoczyna się od nakłonienia ofiary do uruchomienia polecenia w Terminalu. To szczególnie skuteczny wariant na macOS, gdzie część użytkowników jest przyzwyczajona do wykonywania komend ręcznie w ramach rzekomej diagnostyki lub rozwiązywania problemów technicznych.

Po wykonaniu komendy uruchamia się skrypt powłoki pełniący rolę profilera i loadera. Jego zadaniem jest rozpoznanie środowiska, zebranie informacji o hoście, ustalenie architektury procesora oraz pobranie odpowiedniego ładunku malware.

Następnie do systemu dostarczany jest plik binarny Mach-O dopasowany do wykrytej architektury. Sam stealer został napisany w języku Go, co ułatwia operatorom rozwój kampanii i przenoszenie kodu pomiędzy różnymi środowiskami.

Zakres kradzionych danych obejmuje przede wszystkim hasła zapisane w przeglądarkach, dane z Apple iCloud Keychain, poświadczenia z pamięci podręcznej oraz informacje pomocnicze pozwalające na dalszy dostęp do kont i usług.

Malware podejmuje również próbę eskalacji uprawnień. W tym celu wyświetla fałszywe okno podszywające się pod komunikat systemowy informujący o błędzie i konieczności przywrócenia uszkodzonych plików. W praktyce jest to mechanizm wyłudzenia hasła administratora, który może zwiększyć zakres dostępu do systemu i umożliwić kradzież dodatkowych artefaktów.

Najbardziej niebezpiecznym komponentem pozostaje funkcja odpowiedzialna za opróżnianie portfeli kryptowalut. Mechanizm nie tylko sprawdza obecność portfela, lecz także analizuje, czy znajdują się w nim środki, a następnie inicjuje transfer części lub całości aktywów do portfeli kontrolowanych przez napastników. Według opisu kampanii logika ta obejmuje różne kryptowaluty, w tym Bitcoin, Litecoin, Dogecoin, Monero, Ethereum oraz XRP.

Konsekwencje / ryzyko

Ryzyko związane z tą kampanią jest wysokie, ponieważ wektor wejścia nie wymaga wykorzystania podatności w systemie operacyjnym. To użytkownik sam inicjuje wykonanie polecenia, co może obniżać skuteczność części zabezpieczeń prewencyjnych i utrudniać szybką ocenę incydentu.

Dla użytkowników indywidualnych skutkiem może być nie tylko utrata haseł i przejęcie kont, ale również bezpośrednia utrata środków kryptowalutowych. Dla organizacji zagrożenie wykracza poza pojedynczy endpoint, ponieważ skradzione poświadczenia mogą otworzyć drogę do usług SaaS, środowisk chmurowych, repozytoriów kodu, systemów VPN i paneli administracyjnych.

Dodatkowym problemem jest dopasowywanie ładunku do architektury urządzenia, co zwiększa skuteczność operacyjną kampanii. Fałszywe komunikaty systemowe mogą też podnosić szansę skutecznej eskalacji uprawnień, szczególnie tam, gdzie użytkownicy posiadają lokalne prawa administracyjne.

Rekomendacje

Organizacje korzystające z macOS powinny traktować kampanie ClickFix jako osobną klasę zagrożeń i uwzględnić je w procesach obronnych. Kluczowe działania obejmują:

blokowanie wykonywania nieautoryzowanych skryptów i binariów pobieranych z internetu,
monitorowanie uruchomień Terminala, Bash, Zsh oraz procesów potomnych w nietypowych kontekstach użytkownika,
rejestrowanie pobrań plików Mach-O i korelowanie ich z wcześniejszym wykonaniem poleceń w powłoce,
wdrożenie EDR lub XDR z telemetryką obejmującą Apple Keychain, przeglądarki i próby odczytu poświadczeń,
ograniczenie lokalnych uprawnień administracyjnych zgodnie z zasadą najmniejszych uprawnień,
szkolenie użytkowników w zakresie zakazu wklejania komend do Terminala na podstawie instrukcji z wyskakujących okien lub stron internetowych,
stosowanie ochrony portfeli kryptowalut poprzez separację kluczy, portfele sprzętowe i dodatkowe mechanizmy zatwierdzania transakcji,
rotację poświadczeń po każdym podejrzeniu wykonania nieznanej komendy w Terminalu,
analizę ruchu wychodzącego do infrastruktury C2 oraz anomalii związanych z transferem danych uwierzytelniających.

W środowiskach SOC warto przygotować reguły detekcji dla sekwencji obejmującej otwarcie strony z instrukcją, uruchomienie Terminala, wykonanie polecenia typu curl lub bash, profilowanie systemu, a następnie pobranie i uruchomienie pliku Mach-O. Taka korelacja może znacząco zwiększyć szansę wykrycia incydentu przed kradzieżą środków lub poświadczeń.

Podsumowanie

Opisywana kampania pokazuje, że zagrożenia wymierzone w użytkowników macOS szybko ewoluują. ClickFix nie jest już wyłącznie prostą metodą dostarczania infostealera, lecz skutecznym wektorem wejścia dla malware nastawionego na bezpośredni zysk finansowy.

Połączenie socjotechniki, profilowania hosta, kradzieży danych z Apple Keychain i funkcji opróżniania portfeli kryptowalut sprawia, że jest to zagrożenie o dużym potencjale strat. Dla zespołów bezpieczeństwa kluczowe pozostaje równoczesne wzmacnianie świadomości użytkowników, telemetryki endpointowej oraz kontroli wykonywania poleceń w środowiskach macOS.

Źródła

https://thehackernews.com/2026/08/clickfix-attacks-deliver-macos-stealer.html
https://www.huntress.com/

Metabase ponownie celem ataków: krytyczna luka SQL Injection wykorzystana do kradzieży danych klientów

Wprowadzenie do problemu / definicja

Metabase, popularna platforma analityczna i business intelligence, znalazła się w centrum poważnego incydentu bezpieczeństwa po ujawnieniu krytycznej podatności typu unauthenticated SQL Injection. Luka umożliwiała zdalnemu napastnikowi przejęcie uprawnień administracyjnych do instancji, a następnie dostęp do danych udostępnianych przez podłączone źródła.

Ze względu na rolę Metabase jako warstwy raportowej łączącej wiele systemów i baz danych, skutki skutecznego ataku mogły wykraczać daleko poza samą aplikację. W praktyce zagrożone były nie tylko dane analityczne, ale również poświadczenia, konfiguracje integracji oraz informacje klientów.

W skrócie

Wykryto krytyczną lukę SQL Injection o ocenie CVSS 10.0.
Podatność była aktywnie wykorzystywana jako zero-day jeszcze przed publicznym ujawnieniem.
Atak mógł prowadzić do przejęcia konta administratora instancji Metabase.
Producent potwierdził kompromitację środowiska Metabase Cloud i opublikował poprawki.
Instalacje self-hosted wymagają ręcznej aktualizacji oraz weryfikacji śladów potencjalnego naruszenia.

Kontekst / historia

Metabase jest szeroko stosowany w organizacjach jako centralna warstwa raportowa, często podłączona do wielu baz danych, hurtowni danych, systemów CRM, ERP oraz platform e-commerce. Taka architektura sprawia, że aplikacja staje się atrakcyjnym celem dla atakujących, ponieważ kompromitacja jednego narzędzia może otworzyć dostęp do wielu obszarów środowiska biznesowego.

W omawianym incydencie producent poinformował, że atakujący wykorzystali wcześniej nieznaną lukę bezpieczeństwa. Problem dotyczył zarówno usługi chmurowej dostawcy, jak i klientów utrzymujących własne instancje. Dodatkowo część organizacji publicznie przyznała, że skutkiem ataku była eksfiltracja danych klientów, co potwierdza realny, a nie wyłącznie teoretyczny charakter zagrożenia.

Analiza techniczna

Rdzeniem incydentu była nieuwierzytelniona podatność SQL Injection pozwalająca na wykonanie nieautoryzowanych zapytań wobec bazy danych aplikacji. Producent wskazał, że skuteczne wykorzystanie błędu mogło doprowadzić do uzyskania uprawnień administratora instancji. Taki poziom dostępu otwierał drogę do odczytu konfiguracji, przejęcia zapisanych poświadczeń do baz źródłowych oraz eksportu danych dostępnych przez istniejące połączenia.

Szczególne znaczenie miał wektor związany z endpointem /api/session/reset_password. Jako tymczasowe obejście producent zalecił blokowanie dostępu do tego zasobu wszędzie tam, gdzie natychmiastowa aktualizacja nie była możliwa. Wskaźniki kompromitacji mogły obejmować między innymi żądanie POST do tego endpointu zakończone kodem 400, po którym następowało skuteczne żądanie GET do /api/user/current.

Z operacyjnego punktu widzenia luka była wyjątkowo niebezpieczna z kilku powodów. Nie wymagała uwierzytelnienia, dotyczyła systemu często posiadającego szeroki dostęp do danych, a po przejęciu roli administratora umożliwiała zarówno odczyt informacji, jak i przygotowanie środowiska pod dalsze działania ofensywne.

Producent opublikował poprawione wydania dla podatnych linii i wskazał minimalne bezpieczne wersje: 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 oraz 0.63.5. Oznacza to konieczność pilnego porównania własnej instalacji z odpowiednią gałęzią produktową i wdrożenia aktualizacji bez zbędnej zwłoki.

Konsekwencje / ryzyko

Ryzyko związane z podatnością należy oceniać przede wszystkim przez zakres danych i systemów, do których Metabase miał dostęp. W wielu środowiskach produkcyjnych narzędzie to pełni funkcję centralnego punktu dostępu do danych sprzedażowych, operacyjnych, billingowych, kontaktowych i telemetrycznych. W efekcie jedna luka w warstwie BI mogła pośrednio otworzyć drogę do szerokiego naruszenia poufności.

Publicznie ujawnione skutki incydentu pokazują, że ataki doprowadziły do kradzieży danych klientów w części organizacji. Jeżeli w instancji przechowywane były poświadczenia do baz źródłowych, następstwem mogła być również kompromitacja kolejnych systemów zależnych oraz dalsza eskalacja dostępu.

Dla zespołów bezpieczeństwa oznacza to konieczność traktowania platform analitycznych jako systemów wysokiego ryzyka. Centralizacja połączeń do baz, szerokie uprawnienia oraz znaczenie biznesowe danych sprawiają, że kompromitacja takiego rozwiązania może jednocześnie wpłynąć na poufność, integralność i dostępność informacji.

Rekomendacje

Najważniejszym działaniem pozostaje natychmiastowa aktualizacja wszystkich podatnych instancji do minimalnych bezpiecznych wersji wskazanych przez producenta. W środowiskach self-hosted nie należy zakładać, że brak publicznej ekspozycji eliminuje ryzyko, ponieważ wektorem ataku może być również dostęp pośredni przez sieć wewnętrzną, reverse proxy lub VPN.

Jeżeli organizacja nie może wdrożyć aktualizacji od razu, powinna tymczasowo zablokować dostęp do endpointu /api/session/reset_password, ograniczyć ekspozycję aplikacji na poziomie WAF lub reverse proxy oraz zawęzić listy ACL do zaufanych adresów administracyjnych. Należy jednak traktować te działania wyłącznie jako środek przejściowy.

unieważnić wszystkie aktywne sesje użytkowników,
przejrzeć konta administratorów i klucze API pod kątem nieautoryzowanych zmian,
zrotować poświadczenia do baz danych i usług zintegrowanych z Metabase,
przeanalizować logi aplikacyjne, proxy i historię zapytań pod kątem wskaźników kompromitacji,
zweryfikować, czy nie doszło do eksportu danych lub zmian konfiguracyjnych,
sprawdzić, czy zapisane w Metabase sekrety nie zostały użyte do dalszej eskalacji w innych systemach.

Długoterminowo warto wdrożyć zasadę minimalnych uprawnień dla połączeń używanych przez narzędzia BI, segmentację dostępu do źródeł danych oraz monitoring działań administracyjnych i eksportów. Platformy analityczne powinny być objęte takim samym rygorem bezpieczeństwa jak systemy przetwarzające dane produkcyjne.

Podsumowanie

Incydent z udziałem Metabase pokazuje, jak poważne skutki może mieć kompromitacja pozornie pomocniczej warstwy analitycznej. Krytyczna luka SQL Injection umożliwiała nieuwierzytelnione przejęcie uprawnień administracyjnych, a w konsekwencji także dostęp do poświadczeń i danych z podłączonych systemów.

Aktywne wykorzystanie podatności jako zero-day oraz publiczne informacje o naruszeniach potwierdzają, że organizacje korzystające z Metabase powinny potraktować sprawę priorytetowo. Kluczowe znaczenie mają szybka aktualizacja, rotacja sekretów, analiza śladów kompromitacji oraz ponowna ocena modelu uprawnień dla całej warstwy BI.

Źródła

Wzrost aktywności ransomware po spokojniejszym II kwartale 2026. Co oznacza lipcowe odbicie dla obrońców

Wprowadzenie do problemu / definicja

Ransomware pozostaje jednym z najgroźniejszych typów cyberzagrożeń dla organizacji, ponieważ łączy szyfrowanie systemów z kradzieżą danych i presją operacyjną wywieraną przez groźbę publikacji informacji. Spokojniejszy II kwartał 2026 mógł sprawiać wrażenie chwilowego osłabienia tego ekosystemu, jednak lipcowe odbicie pokazuje, że był to raczej krótkotrwały przestój niż trwała poprawa sytuacji.

Dla zespołów bezpieczeństwa to istotny sygnał ostrzegawczy. Współczesne kampanie ransomware coraz częściej zaczynają się nie od klasycznego złośliwego pliku, lecz od przejęcia legalnych poświadczeń, sesji i usług zdalnych.

W skrócie

W lipcu 2026 zaobserwowano wyraźny wzrost aktywności ransomware po spokojniejszym II kwartale.
Spadek liczby incydentów w poprzednich miesiącach nie oznaczał trwałego ograniczenia zagrożenia.
Rośnie liczba aktywnych grup oraz znaczenie modelu extortion-as-a-service.
Coraz częstszym wektorem wejścia są skompromitowane loginy, phishing ukierunkowany na tożsamość i przejęcia sesji.
Obrona powinna koncentrować się na ochronie tożsamości, detekcji zachowań oraz odporności operacyjnej.

Kontekst / historia

W ostatnich kwartałach krajobraz ransomware stawał się jednocześnie bardziej rozproszony i bardziej konkurencyjny. Dane rynkowe za II kwartał 2026 wskazywały zarówno wzrost globalnej aktywności kwartał do kwartału, jak i utrzymującą się wysoką liczbę publicznie zgłaszanych ofiar. To sugeruje, że nawet w okresach pozornego spowolnienia operatorzy nie znikają z rynku, lecz przechodzą do kolejnych etapów przygotowania kampanii.

Istotnym zjawiskiem jest również rekordowa liczba aktywnych grup. Większa liczba operatorów, afiliantów i odłamów sprawia, że wygaszenie jednej marki nie przekłada się automatycznie na obniżenie ryzyka. W praktyce nowe podmioty szybko przejmują narzędzia, techniki i modele działania swoich poprzedników.

Na znaczeniu zyskują także ataki na tożsamość. Skompromitowane poświadczenia i legalne logowania coraz częściej stają się podstawowym sposobem uzyskania dostępu do środowiska ofiary, wypierając model oparty wyłącznie na eksploatacji podatności brzegowych.

Analiza techniczna

Lipcowe odbicie aktywności można tłumaczyć kilkoma nakładającymi się czynnikami. Po pierwsze, nowoczesne operacje ransomware mają charakter wieloetapowy. Atakujący przechodzą od wstępnego dostępu i eskalacji uprawnień, przez rozpoznanie środowiska i wyłączenie zabezpieczeń, po eksfiltrację danych i dopiero końcowe szyfrowanie. To oznacza, że chwilowy spadek liczby ujawnionych ofiar nie musi świadczyć o mniejszej aktywności, lecz o fazie przygotowawczej kampanii.

Po drugie, coraz większą rolę odgrywa dostęp oparty na legalnych tożsamościach. Przejęte konta, sesje VPN, usługi zdalne oraz credential theft pozwalają przeciwnikom działać pod pozorem autoryzowanego ruchu. Z perspektywy obrońcy znacznie utrudnia to wykrywanie incydentów, ponieważ aktywność napastnika może przypominać zwykłe działania administratora lub użytkownika.

Po trzecie, ekosystem ransomware jest coraz bardziej modularny. Operatorzy korzystają z brokerów dostępu początkowego, afiliantów, wyspecjalizowanych zespołów od eksfiltracji danych oraz gotowych narzędzi do rekonesansu i wyłączania systemów ochronnych. W rezultacie ten sam zestaw skutecznych TTP może być równolegle wykorzystywany przez wiele grup.

Po czwarte, rośnie znaczenie detekcji opartej na zachowaniach zamiast wyłącznie na wskaźnikach kompromitacji przypisanych do jednej marki. Blue teamy powinny szczególnie obserwować:

nietypowe logowania i użycie nowych urządzeń,
masową enumerację udziałów sieciowych,
tworzenie nowych kont uprzywilejowanych,
wyłączanie agentów bezpieczeństwa i narzędzi EDR,
nietypowe użycie PowerShella i narzędzi administracyjnych,
duże transfery danych do lokalizacji zewnętrznych.

Konsekwencje / ryzyko

Dla organizacji lipcowy wzrost aktywności oznacza konieczność utrzymania wysokiej gotowości operacyjnej. Najbardziej bezpośrednim skutkiem ataku pozostaje przestój biznesowy wynikający z szyfrowania serwerów, środowisk wirtualnych, systemów plików czy kopii zapasowych. Jednak obecnie równie dotkliwe są skutki związane z eksfiltracją danych i szantażem opartym na ich publikacji.

Rosnąca rola skompromitowanych poświadczeń zwiększa również ryzyko długotrwałej, cichej obecności przeciwnika w infrastrukturze. Jeżeli atakujący uzyska legalny dostęp, może poruszać się wolniej i ostrożniej, co podnosi prawdopodobieństwo wykrycia dopiero na etapie eksfiltracji lub uruchomienia szyfrowania.

Szczególnie narażone są organizacje o rozbudowanej powierzchni ataku, podmioty wielooddziałowe, firmy korzystające z wielu usług zdalnych, instytucje publiczne, placówki edukacyjne oraz organizacje silnie zależne od dostawców zewnętrznych. Im większa złożoność środowiska i większa presja na ciągłość działania, tym wyższa atrakcyjność celu dla operatorów ransomware.

Rekomendacje

W obecnej sytuacji organizacje powinny w pierwszej kolejności wzmocnić kontrolę nad tożsamością i dostępem. Obejmuje to oddzielne konta administracyjne, ograniczenie logowania interaktywnego, rotację poświadczeń, kontrolę kont serwisowych oraz pełne rejestrowanie działań uprzywilejowanych.

Drugim filarem powinno być ograniczanie ryzyka phishingu i przejęcia sesji. W praktyce oznacza to wdrażanie phishing-resistant MFA tam, gdzie jest to możliwe, ochronę procesów helpdesk przed socjotechniką, segmentację dostępu do systemów krytycznych oraz monitorowanie zmian w politykach uwierzytelniania i tokenach sesyjnych.

Trzeci obszar to odporność środowiska po uzyskaniu dostępu przez napastnika. Warto ograniczać ruch boczny przez segmentację sieci, blokować zbędne usługi zdalne, monitorować działania typu living-off-the-land oraz wdrażać reguły wykrywające wyłączenia EDR, masowe modyfikacje plików i nietypowe operacje na backupach.

Nie można też pomijać gotowości do odtworzenia. Kopie zapasowe powinny być odseparowane logicznie lub fizycznie, regularnie testowane i chronione przed modyfikacją przez standardowe ścieżki administracyjne. Backup, którego nie sprawdzono w praktyce, nie daje realnej gwarancji odporności.

Zespoły SOC i IR powinny dodatkowo rozszerzyć scenariusze reakcji o analizę logów IdP, VPN, EDR, PAM, poczty i proxy. To właśnie w tych źródłach coraz częściej pojawiają się pierwsze ślady nowoczesnych operacji ransomware.

Podsumowanie

Lipcowe odbicie aktywności ransomware po spokojniejszym II kwartale 2026 potwierdza, że zagrożenie pozostaje wysokie i niestabilne. Krótkotrwałe spadki liczby ofiar nie powinny być interpretowane jako trwałe osłabienie cyberprzestępców, zwłaszcza w sytuacji rosnącej liczby aktywnych grup i większego znaczenia skompromitowanych poświadczeń.

Najważniejszy wniosek dla obrońców jest jednoznaczny: współczesny atak ransomware coraz częściej zaczyna się od legalnego logowania, a nie od klasycznego złośliwego pliku. Dlatego skuteczna obrona wymaga dziś połączenia ochrony tożsamości, monitoringu zachowań, segmentacji oraz sprawdzonej zdolności odtworzeniowej.

Źródła

Infosecurity Magazine – „Ransomware Surges in July After Q2 Lull” – https://www.infosecurity-magazine.com/news/ransomware-surges-july-q2-lull/
NCC Group – „Monthly Threat Pulse – Review of June 2026” – https://www.nccgroup.com/newsroom/ncc-group-monthly-threat-pulse-review-of-june-2026/
GuidePoint Security – „GRIT Q2 2026 Ransomware & Cyber Threat Insights Report” – https://www.guidepointsecurity.com/resources/grit-q2-2026-ransomware-cyber-threat-insights-report/
ReliaQuest – „Ransomware and Cyber Extortion in Q2 2026” – https://reliaquest.com/blog/threat-spotlight-ransomware-and-cyber-extortion-in-q2-2026/
Infosecurity Magazine – „Compromised Logins Surge as the Most Common Entry Point for Ransomware Attacks” – https://www.infosecurity-magazine.com/news/compromised-logins-ransomware-entry/