Tag: VPN

Wprowadzenie do problemu / definicja luki

JPCERT/CC ostrzega, że co najmniej od sierpnia 2025 r. aktywni napastnicy wykorzystują nienazwaną jeszcze (bez CVE) podatność typu command injection w Array AG Series (ArrayOS AG), aby instalować webshelle i zakładać fałszywe konta na bramach SSL VPN. Luka dotyczy instalacji z włączonym modułem DesktopDirect; producent wydał poprawkę w maju 2025 r. (ArrayOS AG 9.4.5.9), ale wiele urządzeń pozostaje niezałatanych.

W skrócie

• Dotyczy: Array AG/vxAG z ArrayOS AG ≤ 9.4.5.8, gdy DesktopDirect jest włączony.
• Wykorzystanie: wstrzyknięcie komend (command injection) prowadzące do webshelli w katalogu /ca/aproxy/webapp/ i tworzenia nowych użytkowników.
• Eksploatacja obserwowana od: 08.2025; ostrzeżenie JPCERT/CC z 03.12.2025.
• Poprawka: ArrayOS AG 9.4.5.9 (zalecana aktualizacja) + obejścia (wyłączenie DesktopDirect, filtr URL blokujący średnik ;).
• IOC: ruch z 194.233.100[.]138.

Kontekst / historia / powiązania

Urządzenia Array AG już wcześniej padały ofiarą krytycznych luk RCE. W listopadzie 2024 CISA dodała do katalogu KEV błąd CVE-2023-28461 (brak uwierzytelniania dla funkcji krytycznych), nakazując pilne łatanie. Osobno, w grudniu 2023 ujawniono CVE-2023-51707 w komponencie MotionPro (RCE przed 9.4.0.505). Obie historyczne luki pokazują, że bramy AG są atrakcyjnym celem i wymagają rygorystycznego zarządzania wersjami. Nowy, bieżący wektor (DesktopDirect) nie ma jeszcze przypisanego CVE.

Analiza techniczna / szczegóły luki

• Warunek: włączony DesktopDirect (zdalny dostęp do pulpitów).
• Wektor: wysyłka złośliwych żądań HTTP, które skutkują wstrzyknięciem komend po stronie urządzenia.
• Efekt:
  • zapis pliku PHP webshell w /ca/aproxy/webapp/,
  • tworzenie nowych kont administratora/użytkownika,
  • użycie bramy jako przyczółka do dalszego ruchu lateralnego.
• Artefakty & IOC: ruch z 194.233.100[.]138 wskazany przez JPCERT; atakujący używają średnika ; w ścieżkach URL (dlatego zalecana reguła filtrująca).
• Wersje narażone: ArrayOS AG 9.4.5.8 i starsze; naprawa w 9.4.5.9.

Uwaga: Producent opublikował również w 2025 r. osobne ostrzeżenie o RCE w MotionPro (inny komponent/ścieżka naprawy, fix w 9.4.0.519, tymczasowe obejście: vpn motionpro off). To inna podatność niż obecnie eksploatowana luka w DesktopDirect, ale podkreśla konieczność aktualizacji wszystkich gałęzi 9.x.

Praktyczne konsekwencje / ryzyko

• Utrata poufności i integralności: webshell na bramie VPN daje trwały dostęp do ruchu i konfiguracji.
• Ruch lateralny: brama SSL VPN często ma uprzywilejowaną pozycję w sieci.
• Trudna detekcja: restart urządzenia może wyczyścić logi, co utrudnia pełne dochodzenie.
• Ryzyko łańcuchowe: nielatane starsze błędy (np. CVE-2023-28461) mogą być łączone z nową luką.

Rekomendacje operacyjne / co zrobić teraz

1. Natychmiastowa inwentaryzacja
   Zidentyfikuj wszystkie bramy AG/vxAG i sprawdź wersję ArrayOS AG oraz stan DesktopDirect.
2. Aktualizacja oprogramowania
   • Jeśli używasz gałęzi 9.4.5.x — zaktualizuj do 9.4.5.9 (wersja z poprawką wskazana przez JPCERT/CC).
   • Zweryfikuj także starsze komponenty (np. MotionPro) i rozważ przejście na wydania z poprawkami (≥9.4.0.519 dla RCE w MotionPro; ≥9.4.0.505 wg NVD dla CVE-2023-51707).
3. Obejścia (jeśli aktualizacja chwilowo niemożliwa)
   • Wyłącz DesktopDirect (jeśli nieużywany).
   • W URL filtering zablokuj dostęp do adresów zawierających ;.
4. Hunting & IR (24–48h)
   • Sprawdź, czy w /ca/aproxy/webapp/ nie pojawiły się pliki .php.
   • Przejrzyj listę kont pod kątem nieautoryzowanych użytkowników.
   • Przeanalizuj logi sieciowe pod kątem ruchu z/do 194.233.100[.]138.
   • Jeśli musisz zrestartować urządzenie (np. po aktualizacji), zabezpiecz logi wcześniej (JPCERT ostrzega o możliwej utracie dzienników).
5. Twardnienie dostępu do VPN
   • Ogranicz dostęp do panelu administracyjnego do zaufanych adresów IP.
   • Wymuś MFA dla użytkowników zdalnych.
   • Segmentuj sieć tak, aby brama nie była jedynym punktem wejścia do zasobów krytycznych. (Dobre praktyki uzupełniające do powyższych źródeł.)

Różnice / porównania z innymi przypadkami

• Obecna luka (DesktopDirect, 2025, brak CVE): aktywnie wykorzystywana w Japonii, specyficzne IOCs (path webshella, IP, ; w URL), fix 9.4.5.9.
• CVE-2023-28461 (KEV, 2024): brak uwierzytelnienia dla funkcji krytycznych, szeroko nagłaśniana przez CISA; ogólne RCE na AG/vxAG ≤ 9.4.0.481.
• CVE-2023-51707 (MotionPro, 2023/2025): RCE w komponencie MotionPro; różne minimalne wersje naprawcze (NVD: ≥9.4.0.505; biuletyn Array: ≥9.4.0.519 dla konkretnego wydania), inny wektor niż DesktopDirect.

Podsumowanie / kluczowe wnioski

• Jeżeli używasz ArrayOS AG ≤ 9.4.5.8 i DesktopDirect jest aktywny, traktuj to jako incydent bezpieczeństwa z wysokim prawdopodobieństwem kompromitacji.
• Zaktualizuj do 9.4.5.9, wyłącz DesktopDirect jeśli nie jest wymagany i przeszukaj urządzenie pod kątem webshelli oraz fałszywych kont.
• Zweryfikuj także, czy wcześniejsze luki (CVE-2023-28461, CVE-2023-51707) są zamknięte — część środowisk AG 9.x może wymagać kilku aktualizacji w różnych gałęziach.

Źródła / bibliografia

1. JPCERT/CC (03.12.2025): ostrzeżenie o aktywnej eksploatacji luki w Array AG (DesktopDirect), wersje podatne, IOCs, zalecenia (update do 9.4.5.9, wyłączenie DesktopDirect, filtr ;). (jpcert.or.jp)
2. BleepingComputer (04.12.2025): przegląd zdarzeń, potwierdzenie webshelli i kont rogue, streszczenie JPCERT. (BleepingComputer)
3. CISA KEV (25.11.2024): wcześniejsza, niezależna luka CVE-2023-28461 na AG/vxAG — kontekst historyczny i wymóg łatania. (cisa.gov)
4. NVD (CVE-2023-51707): RCE w MotionPro (inna luka), minimalne wersje naprawcze wg NVD. (NVD)
5. Array Networks Security Advisory (09.2025): biuletyn producenta dla MotionPro RCE z fixem 9.4.0.519 i obejściem vpn motionpro off — ważne dla pełnego twardnienia gałęzi 9.x. (support.arraynetworks.net)

Wprowadzenie do problemu / definicja luki

Predator – komercyjne oprogramowanie szpiegujące sprzedawane przez grupę Intellexa – zyskało nowy, wcześniej nieudokumentowany sposób infekcji ofiar bez ich interakcji. Wektor o nazwie „Aladdin” wykorzystuje ekosystem reklam mobilnych, aby dostarczyć ładunek eksploita „po samym wyświetleniu reklamy”. Nowe ustalenia wynikają z wycieku wewnętrznych materiałów („Intellexa Leaks”) oraz zbieżnych analiz Google Threat Intelligence (d. TAG) i Recorded Future. Doniesienia prasowe i analizy techniczne wskazują ponadto na istnienie dodatkowych wektorów, m.in. Triton (bazujący na modemie/basebandzie Samsung Exynos) oraz Mars/Jupiter (wstrzykiwanie sieciowe z udziałem operatorów).

W skrócie

• Aladdin: reklamowy wektor „zero-click” – atakujący wymusza serwowanie spreparowanej reklamy do konkretnego IP/ofiary poprzez DSP; samo wyświetlenie ma uruchamiać łańcuch eksploita i przekierowania do serwerów exploit-delivery Intellexy.
• Triton: wektor taktyczny dla urządzeń z Samsung Exynos – możliwe wymuszenie degradacji do 2G i atak na baseband (zasięg radiowy/proximity). Status bieżącego wykorzystywania niepewny.
• Mars/Jupiter: wektory strategiczne z wtryskami sieciowymi we współpracy z ISP/MNO; Jupiter rozszerza atak o krajowe strony HTTPS z ważnymi certyfikatami. Coraz trudniejsze przez „HTTPS-only”, ale nadal wykonalne w określonych warunkach.
• Skala: Google wiąże Intellexę z 15 z ~70 0-dayów odkrytych od 2021 r.; GTI rozesłało ostrzeżenia do „kilkuset” kont w wielu krajach.
• Kontekst rynkowy: Recorded Future opisuje firmy-wydmuszki (w tym z branży reklamowej) oraz ślady wdrożeń w kolejnych państwach; Amnesty potwierdza trwające nadużycia wobec społeczeństwa obywatelskiego.

Kontekst / historia / powiązania

Artykuł BleepingComputer z 4 grudnia 2025 r. podsumowuje wyniki śledztwa Inside Story / Haaretz / WAV Research Collective oraz analiz Amnesty Security Lab, Google i Recorded Future – wszystkie te źródła potwierdzają, że Predator wciąż ewoluuje mimo sankcji i dochodzeń. To wpisuje się w szerszy trend „mercenary spyware” (Pegasus, Reign/QuaDream, Graphite/Paragon), które wykorzystują łańcuchy 0-day dla iOS/Android oraz techniki zero-click.

Analiza techniczna / szczegóły luki

Aladdin: reklamowy „zero-click”

• Mechanizm: operator tworzy złośliwy materiał reklamowy i zleca jego emisję tylko dla wybranej ofiary, np. po publicznym adresie IP (często pozyskanym od operatora w kraju klienta). Gdy reklama się wyświetli w przeglądarce lub aplikacji mobilnej korzystającej z SDK reklamowego, następuje przekierowanie do serwerów dostarczających exploit i instalujących Predatora. Nie jest wymagane kliknięcie.
• Łańcuch dostaw: Intellexa ukrywa dystrybucję przez sieć spółek (Irlandia, Niemcy, Szwajcaria, Grecja, Cypr, ZEA, Węgry) oraz podmioty z branży reklamowej. Recorded Future wskazuje świeże powiązania z firmami reklamowymi powiązanymi z „Aladdin”.

Triton: baseband/Exynos + 2G downgrade

• Taktyczny (wymaga bliskości): wykorzystuje degradację do 2G i podatności basebandu Samsung Exynos w celu dostarczenia exploita bez udziału przeglądarki. Amnesty notuje brak pewności co do bieżącej operacyjności wektora.

Mars & Jupiter: wtrysk na warstwie sieci

• Strategiczne (zdalne): injection realizowany we współpracy z ISP/MNO – wstrzyknięcie linku infekcyjnego podczas zwykłego przeglądania; Jupiter umożliwia atak także na krajowe serwisy HTTPS (z legalnymi certyfikatami). Skuteczność ogranicza rosnące „HTTPS-only”, ale materiały Intellexy pokazują, że moduły były oferowane klientom.

Prolificzność 0-dayów

Google GTI 3 grudnia 2025 r. opublikowało listę CVE powiązanych z łańcuchami Intellexy (Android, Chrome, iOS, ARM Mali). Od 2021 r. ~15 unikalnych 0-dayów przypisywanych Intellexie w zbiorze ~70 przypadków TAG/GTI. GTI jednocześnie wysłało government-backed warnings do setek potencjalnie celowanych kont i dodało domeny do Safe Browsing.

Praktyczne konsekwencje / ryzyko

• By-design omijanie użytkownika: Aladdin minimalizuje ekspozycję operatora – nie trzeba wysyłać SMS/DM z linkiem; wystarczy „zwykłe” surfowanie/korzystanie z aplikacji z reklamami.
• Trudność detekcji: łańcuchy są krótkotrwałe (single-use links), infrastrukturę ukrywa C2 Anonymization Network, telemetrycznie wygląda to jak legalny ruch reklamowy lub operatorowy.
• Targeting wysokowartościowych ofiar: koszty licencji i 0-dayów powodują, że głównymi celami są politycy, dziennikarze, prawnicy, liderzy biznesu, NGO – ale RF notuje też rosnące zainteresowanie liderami korporacyjnymi.
• Ryzyko na poziomie państw/ISP: Mars/Jupiter wymagają współpracy po stronie operatorów/ISP – jeśli państwo-klient zezwala, ochrona na warstwie użytkownika bywa niewystarczająca.

Rekomendacje operacyjne / co zrobić teraz

Dla użytkowników wysokiego ryzyka (HVA)

1. iOS: włącz Lockdown Mode; aktualizuj iOS natychmiast po wydaniach bezpieczeństwa.
2. Android: włącz Advanced Protection od Google (jeśli dostępne), trzymaj Chrome/Play Services na najnowszych wersjach.
3. Blokowanie reklam: stosuj systemowe lub na-poziomie-przeglądarki rozwiązania do blokowania reklam/trackingu (uświadamiamy, że nie jest to „srebrna kula”, ale utrudnia emisję Aladdin).
4. Minimalizacja identyfikatorów: wyłącz/podmień Advertising ID, ogranicz personalizację reklam; używaj sieci z maskowaniem IP (np. Private Relay/zgodne VPN), mając świadomość, że operator w kraju klienta może i tak powiązać IP z abonentem.
5. Tryb pracy: przeglądarka tylko z HTTPS-Only, izolacja profili, ograniczenie WebKit/V8 w komunikatorach (otwieranie linków w sandboxowanej przeglądarce). (Wnioski własne na bazie opublikowanych technik.)

Dla zespołów bezpieczeństwa (SOC/IR/MDM)

• Patching-first: priorytetyzuj aktualizacje mobilne (Android firmware, iOS, Chrome) – GTI listuje szereg CVE wykorzystywanych w łańcuchach Predator.
• Hardening mobilny: MDM wymuszające Lockdown Mode (VIP), polityki instalacji aplikacji, wyłączenie sideloadingu, kontrola profili VPN/CA. (Wnioski własne oparte o techniki opisywane przez GTI/Amnesty.)
• Telemetria: hunt pod kątem anomalii reklamowych/redirectów i domen z kolekcji GTI/IOC; integracja Safe Browsing.
• Procedury na wypadek podejrzenia spyware: izolacja urządzenia, wymiana karty SIM/IMEI tylko po konsultacji forensycznej; zgłoszenie do CISA/krajowych CSIRT i producenta platformy. (CISA ostrzegała niedawno o nadużyciach spyware wymierzonych w aplikacje komunikatorów.)

Różnice / porównania z innymi przypadkami

• Pegasus (NSO): potwierdzone w pełni zdalne zero-click via iMessage/BlastPass – bez reklam i bez operatora/ISP. Predator dotąd częściej opierał się na 1-click i injection/proximity; Aladdin zbliża go do modelu „prawdziwego” zero-click, ale wykorzystuje infrastrukturę reklamową i/lub selektory sieciowe.
• Graphite (Paragon): także zdolność zero-click i cele w UE, ale inny łańcuch eksploita i inny dostawca – pokazuje szerszy problem branży „mercenary spyware”. (Kontekst porównawczy – źródła o Predatorze i ekosystemie szpiegowskim.)

Podsumowanie / kluczowe wnioski

• Aladdin potwierdza, że reklamowy ekosystem może stać się wektorem „zero-click” klasy rządowej.
• Obrona warstwowa (patching, tryby ochronne iOS/Android, blokowanie reklam/trackerów, minimalizacja identyfikatorów, monitoring redirectów) jest koniecznością – pojedynczy kontroler rzadko wystarcza.
• Operatorzy/ISP oraz dostawcy ads stają się punktami nacisku – potrzebne są procesy due-diligence i mechanizmy „abuse handling” po stronie ekosystemu reklamowego.
• Mimo sankcji i nagłośnienia, Intellexa/Predator pozostaje aktywna; branża potrzebuje norm międzynarodowych i twardych wymogów po stronie platform.

Źródła / bibliografia

1. BleepingComputer – Predator spyware uses new infection vector for zero-click attacks (4 grudnia 2025). (BleepingComputer)
2. Amnesty International Security Lab – To Catch a Predator: Leak exposes the internal operations of Intellexa’s mercenary spyware (4 grudnia 2025). (Amnesty International Security Lab)
3. Google Threat Intelligence – Sanctioned but Still Spying: Intellexa’s Prolific Zero-Day Exploits Continue (3 grudnia 2025). (Google Cloud)
4. Recorded Future Insikt Group – Intellexa’s Global Corporate Web (grudzień 2025). (Recorded Future)
5. CISA – Spyware Allows Cyber Threat Actors to Target Users of Messaging Applications (24 listopada 2025) – kontekst zaleceń ochronnych. (cisa.gov)

Wprowadzenie do problemu / definicja luki

Brytyjskie National Cyber Security Centre (NCSC) rozpoczęło pilotaż nowej usługi Proactive Notifications. Celem jest proaktywne informowanie organizacji w UK o wykrytych lukach i błędnych konfiguracjach w systemach i urządzeniach wystawionych do Internetu—zanim dojdzie do incydentu. Powiadomienia opierają się na skanowaniu publicznie dostępnych usług i metadanych (np. banerach/wersjach), a wysyłkę realizuje partner NCSC, firma Netcraft. Ostrzeżenia mają dotyczyć zarówno konkretnych CVE, jak i „higienicznych” problemów bezpieczeństwa (np. słabe szyfrowanie).

W skrócie

• NCSC testuje usługę Proactive Notifications, która zewnętrznie identyfikuje podatne systemy i kontaktuje właścicieli z rekomendacjami aktualizacji/konfiguracji.
• Skanowanie i notyfikacje są wykonywane w zgodzie z brytyjską Computer Misuse Act; komunikacja przychodzi z adresów @netcraft.com, bez załączników i bez żądań płatności.
• NCSC rekomenduje łączenie pilotażu z dojrzałym, bezpłatnym programem Early Warning, który agreguje sygnały zagrożeń związane z zarejestrowanymi przez organizację domenami/IP.
• Usługa nie obejmie wszystkich systemów ani wszystkich podatności—to dodatkowa warstwa „higieny” obok własnych procesów zarządzania podatnościami.

Kontekst / historia / powiązania

Proactive Notifications wpisuje się w linię Active Cyber Defence (ACD) NCSC, która od lat wykorzystuje automatyzację (np. usługa Takedown prowadzona przez Netcraft) do redukowania największych ryzyk w skali kraju. W raportach ACD wskazywano już wcześniej skuteczność centralnych działań „na perymetrze” (np. szybkie usuwanie phishingu, monitoring złośliwych domen, korygowanie trywialnych błędów konfiguracyjnych).

Równolegle NCSC promuje eliminację „niewybaczalnych” podatności na brzegu sieci—tam, gdzie pojedyncza luka przekłada się na masowe kompromitacje.

Analiza techniczna / jak działa „Proactive Notifications”

• Źródło danych: publicznie widoczne informacje (np. banery usług, wersje oprogramowania, jawne konfiguracje protokołów) uzyskane w trakcie zautomatyzowanego skanowania Internetu.
• Korelacja i kwalifikacja: NCSC i Netcraft wspólnie uzgadniają zakres typów luk objętych notyfikacjami; celem jest równowaga między skutecznością a minimalną ingerencją.
• Powiadomienia: wiadomości e-mail z adresów @netcraft.com, zawierające konkretne zalecenia (np. zaktualizuj do wersji X, wyłącz protokół Y, zmień szyfry/TLS). Brak załączników i żądań danych wrażliwych.
• Relacja do „Early Warning”: Proactive Notifications działa przed oznakami ataku/kompromitacji (twarda „higiena perymetru”), a Early Warning sygnalizuje bieżące zagrożenia lub anomalie powiązane z Twoimi aktywami (domeny, IP) zgłoszonymi do systemu. Połączenie obu daje warstwowy efekt.

Praktyczne konsekwencje / ryzyko

• Mniej „niskowiszących owoców” dla napastników: szybciej eliminowane będą powszechne, skanowalne błędy (stare wersje VPN/SSL, słabe szyfry, podatne panele admina).
• Lepsza widoczność dla MŚP i JST: podmioty z ograniczonymi zespołami SecOps zyskają impuls do aktualizacji tam, gdzie wcześniej brakowało monitoringu wersji/konfiguracji.
• Ryzyko fałszywych alarmów / spoofingu: możliwe próby podszywania się pod Netcraft/NCSC—dlatego krytyczne jest weryfikowanie nadawcy i treści (brak załączników/żądań płatności).
• Niepełne pokrycie: usługa nie zastępuje własnego skanowania, EDR, ASM czy procesu zarządzania podatnościami opartego o ryzyko i katalogi takie jak CISA KEV.

Rekomendacje operacyjne / co zrobić teraz

1. Zarejestruj się w NCSC Early Warning i dodaj swoje domeny/IP (assety), aby otrzymywać alerty korelowane z Twoją infrastrukturą. Włącz MFA do konta.
2. Ustal proces obsługi notyfikacji Netcraft/NCSC:
   • zdefiniuj skrzynkę zespołową (np. security@) i filtry akceptujące adresy @netcraft.com,
   • przygotuj runbook: triage → walidacja → patch/mitigacja → weryfikacja.
3. Włącz ciągłe skanowanie zewnętrzne i ASM po swojej stronie (np. banery, TLS, nagłówki HTTP, wersje usług), a wyniki koreluj z CISA KEV/biuletynami producentów.
4. Priorytetyzuj „perymetr”: VPN, bramy aplikacyjne, firewalle, MTA, urządzenia sieciowe—zgodnie z zaleceniami NCSC dla produktów na brzegu.
5. Edukacja użytkowników i SOC: poinformuj, jak rozpoznać legitymny e-mail Netcraft (brak załączników/żądań danych), aby uniknąć phishingu podszywającego się pod NCSC.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

• Proactive Notifications vs. Early Warning: pierwsze to proaktywna higiena perymetru (na bazie zewnętrznych obserwacji), drugie to operacyjne alerty o aktywnych zagrożeniach względem Twoich zarejestrowanych aktywów. Razem tworzą „defence-in-depth” dla warstwy internetowej.
• UK NCSC vs. CISA KEV: NCSC dostarcza notyfikacje 1:1 do właściciela systemu; CISA KEV to publiczny katalog podatności z dowodami wykorzystania—źródło priorytetyzacji w Twoim własnym procesie. Najlepsza praktyka to łączenie obu.
• Powiązanie z ACD/Takedown: wcześniejsze usługi (np. Takedown) usuwały aktywne zagrożenia „w terenie”; Proactive Notifications przesuwa się w lewo (shift-left), zanim powstanie wektor ataku.

Podsumowanie / kluczowe wnioski

Pilotaż Proactive Notifications to następny krok NCSC w skalowalnym, państwowym „patch-nudgingu”: szybkie, ukierunkowane maile do właścicieli podatnych systemów, oparte tylko na danych publicznych. W połączeniu z Early Warning oraz własnym ASM/VM może realnie obniżyć liczbę udanych włamań przez znane, trywialne wektory. Nie jest to jednak substytut dyscypliny aktualizacji i ciągłego monitoringu ryzyka.

Źródła / bibliografia

1. BleepingComputer — „NCSC’s ‘Proactive Notifications’ warns orgs of flaws in exposed devices”, 4 grudnia 2025. (BleepingComputer)
2. NCSC — Proactive Notifications Service (strona informacyjna). (NCSC)
3. NCSC — Early Warning (rejestracja/opis usługi). (NCSC)
4. NCSC — Active Cyber Defence: The Fifth Year (rocznik; Takedown/Netcraft). (NCSC)
5. NCSC Blog — Products on your perimeter considered harmful (until secured). (NCSC)