Archiwa: VPN - Strona 72 z 80 - Security Bez Tabu

Pracownicy wciąż obchodzą kontrolę dostępu. Nowy raport 1Password odsłania „luka zaufania do dostępu”

Wprowadzenie do problemu / definicja luki

1Password w najnowszym raporcie rocznym opisuje „Access-Trust Gap” – rosnącą różnicę między tym, co działy IT są w stanie kontrolować (SSO/IAM/MDM), a tym, jak faktycznie pracownicy i (coraz częściej) agenci AI uzyskują dostęp do danych i aplikacji. W praktyce oznacza to narastające „niewidzialne” logowania: do niezarządzanych aplikacji SaaS, z nieufnych urządzeń lub przy użyciu słabych poświadczeń.

W skrócie

73% pracowników jest zachęcanych do używania AI, ale 37% przyznaje, że nie zawsze przestrzega polityk.
52% pobrało aplikacje bez zgody IT (shadow IT/SaaS sprawl).
~70% specjalistów bezpieczeństwa uważa, że SSO nie wystarcza do zabezpieczenia tożsamości.
89% firm promuje passkeys jako krok w stronę ograniczenia ryzyka haseł.
BYOD i urządzenia prywatne podważają skuteczność klasycznego MDM.

Kontekst / historia / powiązania

Wyniki 1Password potwierdzają trend opisywany w prasie branżowej: rośnie skala shadow IT oraz „shadow AI” – pracownicy wybierają wygodę i szybkość kosztem nadzoru. Publikacje niezależne od producenta (HNS, Infosecurity) wskazują na podobne zachowania: obchodzenie polityk AI, instalowanie narzędzi bez akceptacji i użycie prywatnych urządzeń do pracy.

Analiza techniczna / szczegóły luki

AI & polityki

94% deklaruje „przestrzeganie polityk AI”, ale tylko 37% robi to „przez większość czasu” – sygnał, że egzekwowanie i komunikacja reguł są słabe.

SaaS sprawl / shadow IT

52% pracowników pobrało aplikacje bez zgody IT; offboarding bywa niespójny, bo znaczna część ekosystemu nie jest za SSO. Skutkiem są „martwe konta” i dostęp po odejściu z firmy.

Tożsamość i poświadczenia

Specjaliści bezpieczeństwa wskazują, że słabe/kompromitowane hasła pozostają kluczowym problemem; stąd szybka adopcja passkeys (89% firm zachęca do ich używania).

Urządzenia końcowe

MDM nie nadąża za hybrydową pracą i BYOD; wielu pracowników regularnie korzysta z prywatnych urządzeń do dostępu do danych firmy.

Praktyczne konsekwencje / ryzyko

Wycieki danych przez AI: wprowadzanie treści wrażliwych do niesankcjonowanych modeli i agentów.
Uporczywe „niezarządzane” logowania: aplikacje poza SSO/SCIM utrudniają detekcję, audyt i usuwanie dostępu.
Trwałość ryzyka haseł: współdzielenie/ponowne użycie haseł, phishing i infostealery.
Powierzchnia ataku BYOD: brak telemetryki i polityk bezpieczeństwa na urządzeniach prywatnych. W efekcie – dłuższy czas wykrycia i wyższy koszt incydentów.

Rekomendacje operacyjne / co zrobić teraz

Rozszerz zarządzanie tożsamością poza SSO
- Kataloguj wszystkie aplikacje (zarządzane i niezarządzane). Wdroż ciągłe odkrywanie SaaS i automatyczne przepływy aprowizacji/deprowizacji.
Wprowadź politykę „approved AI” + kontrolę dostępu dla agentów
- Zdefiniuj listę dozwolonych modeli/narzędzi AI, kanały wprowadzania danych i logging. Zamiast blokady – monitorowanie, DLP i tokenizacja.
Przyspiesz przejście na passkeys
- Używaj FIDO2/WebAuthn i kluczy sprzętowych/biometrii w miejscach wysokiego ryzyka; ogranicz manualną obsługę haseł przez użytkowników.
BYOD z atrybucją zaufania urządzenia
- Uzupełnij MDM o weryfikację stanu urządzenia (device trust), izolację danych (konteneryzacja), oraz warunkowy dostęp (per-app VPN, posture checks).
Program higieny haseł i sekretów
- Menedżer haseł/sekretów, rotacje, skan wycieków, zakaz udostępniania poza dedykowanymi „vaultami”.
Twarde procedury offboardingu
- Pełna lista aplikacji (także poza SSO), odzyskanie kluczy API i tokenów, zamknięcie kont federacyjnych oraz kont lokalnych.

Różnice / porównania z innymi przypadkami

W przeciwieństwie do klasycznych raportów o „zmęczeniu hasłem” czy samym phishingu, 1Password skupia się na systemowym charakterze luki: rozjazd między narzędziami kontroli (SSO/MDM/IAM) a rzeczywistością pracy (SaaS, BYOD, AI). Niezależne materiały branżowe potwierdzają ten kierunek – problemem nie jest pojedyncza technika ataku, lecz operacyjna niewidoczność dostępu.

Podsumowanie / kluczowe wnioski

„Luka zaufania do dostępu” nie wynika z jednego błędu, tylko z kumulacji: SaaS sprawl + BYOD + AI + hasła.
Strategia powinna iść w stronę context-aware access: widoczność wszystkich aplikacji, polityki dla AI, passkeys, oraz device trust wykraczający poza klasyczny MDM.
Zamiast zakazów – prowadzenie i egzekwowanie: widzieć, rozumieć i automatyzować.

Źródła / bibliografia

Help Net Security: „Employees keep finding new ways around company access controls” (03.11.2025). (Help Net Security)
1Password – The Access-Trust Gap: 2025 Annual Report (PDF).
1Password – Komunikat prasowy (zestawienie kluczowych statystyk). (1password.com)
Infosecurity Magazine – omówienie „shadow AI” w firmach. (Infosecurity Magazine)
Expert Insights – podsumowanie wyników i metodyki badania. (Expert Insights)

Wielki wyciek z „Wielkiego Firewalla”: 500+ GB danych o cenzurze ujawnionych

Wprowadzenie do problemu / definicja luki

1 listopada 2025 r. serwis DataBreaches opisał największy w historii wyciek materiałów związanych z chińską infrastrukturą cenzury sieciowej. Paczki danych liczące łącznie ponad 500 GB (szacunki ~600 GB) mają pochodzić od podmiotów powiązanych z „Wielkim Firewallem” (GFW) i zawierać m.in. kod źródłowy, dokumentację operacyjną, dzienniki prac oraz wewnętrzną korespondencję. Do incydentu miało dojść we wrześniu 2025 r.

W skrócie

Skala: 500–600 GB materiałów z rdzenia ekosystemu cenzury (kod, runbooki, repozytoria buildów, logi).
Podmioty: ślady prowadzą do Geedge Networks oraz laboratoriów MESA przy Chińskiej Akademii Nauk (IIE CAS).
Technologie: moduły DPI, fingerprinting TLS/SSL, filtry SNI/ESNI, listy blokad, narzędzia do wykrywania i blokowania VPN/DoH/QUIC, system bramy Tiangou/TSG.
Eksport cenzury: rozwiązania miały trafić m.in. do Mjanmy, Pakistanu, Etiopii i Kazachstanu.
Znaczenie: materiały pomagają zrozumieć architekturę GFW oraz mogą przyspieszyć rozwój narzędzi antycenzurowych – i, paradoksalnie, kopii tego modelu cenzury.

Kontekst / historia / powiązania

Wyciek wpisuje się w szersze doniesienia o roli Geedge Networks w budowie i komercjalizacji rozwiązań „GFW-as-a-Service”. Wcześniejsze śledztwa dziennikarskie i badawcze opisywały, że Geedge rozwija skalowalne bramy cenzurujące i sprzedaje je rządom, a projekty wspierają jednostki powiązane z chińskimi władzami cybernetycznymi. W dokumentach przewija się marka Tiangou (Tiangou Secure Gateway, TSG).

Badacze z inicjatywy GFW Report opisali wrześniowy wyciek jako największy w historii GFW, podając, że paczki zawierały nie tylko kod i instrukcje, ale i dzienniki prac oraz komunikację wewnętrzną – czyli materiał unikatowy do analizy procesów wytwórczych i operacyjnych.

Analiza techniczna / szczegóły wycieku

Na bazie dostępnych opisów oraz wstępnych analiz:

Kod i architektura: archiwa obejmują repozytoria budujące, skrypty CI/CD, „runbooki” operacyjne, dokumentację konfiguracji i modułów inspekcji pakietów. Wskazuje to na możliwość odwzorowania części pipeline’u kompilacyjno-wdrożeniowego GFW w warunkach laboratoryjnych.
DPI i fingerprinting: komponenty odpowiedzialne za DPI oraz identyfikację ruchu po odciskach TLS/SSL (w tym mechanizmy analizy rozszerzeń ClientHello/JA3/JA4) i filtrację SNI. Opisy sugerują także bloki dla QUIC/HTTP/3, DoH/DoT i mechanizmy obalania VPN.
Platforma TSG (Tiangou): brama cenzurująca klasy operatorkiej, łącząca inspekcję treści z politykami blokad, korelacją metadanych i funkcjami śledzenia użytkowników.
Skala wdrożeń zagranicznych: w Mjanmie system miał działać w 26 centrach danych, monitorując nawet ~81 mln jednoczesnych połączeń TCP; w Pakistanie elementy Tiangou integrowano z WMS 2.0 do nadzoru sieci mobilnych w czasie rzeczywistym. (Dane pochodzą z analizy dziennikarskiej opartej na przeciekach).

Uwaga redakcyjna: pełne zbiory nie są publicznie „łatwe” do pobrania; część mirrorów powstała w kręgach badaczy i aktywistów. Wgląd wymaga ścisłych procedur bezpieczeństwa operacyjnego.

Praktyczne konsekwencje / ryzyko

Broń obosieczna: dostęp do kodu i runbooków może przyspieszyć rozwój narzędzi antycenzurowych (np. tuneli przypominających normalny ruch, domain fronting 2.0, NI/ESNI-aware), ale równocześnie ułatwi replikację i twardnienie cenzury w innych krajach.
Ekspansja modelu „Digital Authoritarianism-as-a-Service”: wyciek potwierdza ofertę komercyjnych rozwiązań cenzurujących i ich eksport. Organizacje prowadzące działalność w tych jurysdykcjach muszą zakładać agresywną filtrację, blokady szyfrowanych protokołów i inspekcję metadanych.
Ryzyko wtórnych kompromitacji: analiza kodu może ujawnić błędy implementacyjne w modułach DPI/TSG i interfejsach zarządczych, co stwarza zarówno możliwości obejścia cenzury, jak i ryzyko przejęcia tych urządzeń przez przestępców/npa.

Rekomendacje operacyjne / co zrobić teraz

Dla zespołów bezpieczeństwa i dostawców usług:

Model zagrożeń per jurysdykcja: identyfikuj lokalne punkty cenzury (IXP, bramy operatorskie) i utrzymuj katalog technik blokad (SNI, JA3/JA4, QUIC/DoH).
Higiena transportowa: wymuszaj TLS 1.3 z ECH (Encrypted ClientHello), ESNI-like oraz paddingiem; fallback kontrolowany. Rotuj JA3/JA4 (np. diversified TLS fingerprints).
Tunelowanie adaptacyjne: rozważ pluggable transports (obfs4-next, uTLS, meek-like/fronting alternatywny), QUIC-morphism i shape-shifting ruchu pod „dobry profil” (CDN-y, VoIP).
Wykrywanie i reagowanie: mierz wskaźniki cenzury (TCP RST, niesymetryczne RTT, fiasko SNI/TLS-Alert), automatycznie przełączaj ścieżki/pośredników.
Bezpieczeństwo analizy wycieku: izoluj środowiska (VM bez sieci, snapshoty, skan AV, przegląd artefaktów), nie ufaj binariom ani skryptom z paczek.

Dla organizacji pracujących w krajach objętych cenzurą:

Segmentacja i kanały awaryjne: utrzymuj alternatywne łącza (np. sat-based, multi-ISP), gotowe profile VPN/transportów, rotację domen i kluczy.
Higiena aplikacyjna: minimalizuj „leaki” metadanych (SNI, ALPN, User-Agent), wdrażaj DoT/DoH-over-obfs, rozważ split-tunneling tylko po stronie niskiego ryzyka.
Szkolenia: uświadamiaj użytkowników dot. blokad i obejść zgodnych z prawem lokalnym.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

W przeciwieństwie do wcześniejszych, punktowych wycieków konfiguracji czy list słów kluczowych, obecny incydent dostarcza pełnego przekroju – od kodów źródłowych przez pipeline’y buildowe po dokumenty wdrożeniowe i mapy projektów eksportowych. To zbliża go do głośnych przecieków narzędzi operacyjnych (np. wcześniej w innych ekosystemach), ale ze specyfiką cenzury na poziomie operatora/państwa.

Podsumowanie / kluczowe wnioski

Historyczna skala: 500–600 GB danych daje bezprecedensowy wgląd w technologie i praktyki GFW.
Globalny wymiar: „pakiety” cenzury są produktem eksportowym – to zmienia krajobraz ryzyka dla firm działających na rynkach wschodzących.
Okno możliwości: zrozumienie mechaniki DPI/fingerprinting może przyspieszyć badania nad odpornością i obejściami – przy jednoczesnym ryzyku wzmocnienia cenzury przez reżimy kopiujące rozwiązania.

Źródła / bibliografia

DataBreaches – „Massive Great Firewall Leak Exposes 500GB of Censorship Data” (01.11.2025). (DataBreaches.Net)
GFW Report – „Geedge & MESA Leak: Analyzing the Great Firewall’s Largest Document Leak” (12.09.2025). (GFW Report)
DomainTools (DTI) – „Inside the Great Firewall, Part 1: The Dump” (30–31.10.2025). (DomainTools Investigations | DTI)
WIRED – „Massive Leak Shows How a Chinese Company Is Exporting the Great Firewall to the World” (08.09.2025). (WIRED)
Tom’s Hardware – przegląd ujawnionych modułów i wdrożeń (09.2025). (Tom’s Hardware)

Chińscy hakerzy skanują i eksploatują firewalle Cisco ASA w sieciach rządowych na całym świecie

Wprowadzenie do problemu / definicja luki

Badacze z Unit 42 (Palo Alto Networks) oraz amerykańskie media branżowe informują o trwającej fali skanowania i włamań do zapór Cisco Adaptive Security Appliance (ASA) – popularnych urządzeń brzegowych używanych w urzędach i instytucjach publicznych w USA, Europie i Azji (w tym m.in. w Polsce). Atak przypisywany jest grupie Storm-1849 / UAT4356, którą łączy się z wcześniejszą kampanią ArcaneDoor wymierzoną w urządzenia perymetryczne. Wykorzystywany jest łańcuch błędów w ASA, w tym CVE-2025-20333 oraz CVE-2025-20362.

W skrócie

Co się dzieje? Odnotowano wzmożone skanowanie i eksploatację firewalli Cisco ASA należących do instytucji rządowych i podmiotów z sektorów obronnego i finansowego.
Kto stoi za atakami? Storm-1849 / UAT4356 – aktor powiązany z kampanią ArcaneDoor; analizy infrastruktur wskazują na związki z podmiotami z Chin.
Jakie luki? Co najmniej CVE-2025-20333 (RCE, CVSS 9.9) i CVE-2025-20362 (eskalacja uprawnień), często łączone w łańcuch.
Skutki? Utrzymanie trwałej obecności na urządzeniu nawet po restarcie i aktualizacji, dostęp do ruchu i segmentów sieciowych za firewall’em.
Co robić? Natychmiastowe łatanie, inwentaryzacja ASA/FTD, triage pod kątem kompromitacji, rozważenie wymiany EoS/EoL, pełny “re-keying” po incydencie.

Kontekst / historia / powiązania

W kwietniu 2024 r. Cisco Talos opisało kampanię ArcaneDoor, w której szpiegowskie implanty na urządzeniach perymetrycznych (m.in. ASA/FTD) służyły do przechwytywania ruchu i pivotowania w głąb sieci. W wrześniu 2025 r. CISA wydała dyrektywę awaryjną nakazującą agencjom federalnym w 1 dzień załatać ASA i przeprowadzić forensykę, wskazując na aktywną eksploatację nowo ujawnionych luk. Wskazywano również na nakładanie się aktywności z kampaniami przypisywanymi państwu chińskiemu.

Analiza techniczna / szczegóły luki

Wektory i łańcuch ataku

CVE-2025-20333: zdalne wykonanie kodu (RCE) w ASA (wysoka krytyczność).
CVE-2025-20362: obejście/eskalacja uprawnień.
Aktórzy łączą oba błędy, aby uzyskać uprzywilejowany dostęp i wdrożyć mechanizmy trwałości.

TTPs obserwowane przez Cisco i Unit 42

Utrwalanie dostępu: manipulacja pamięcią/konfiguracją i techniki pozwalające przetrwać restarty i upgrade’y; zalecany factory reset oraz pełna wymiana haseł/kluczy po podniesieniu wersji.
Ukrywanie śladów: wyłączanie logowania i celowe crashowanie urządzenia, aby utrudnić analizę.
Celowanie globalne: IP instytucji rządowych w USA, Europie (m.in. PL, FR, NO, NL, ES, UK), Azji i innych regionach.

Atrybucja
Unit 42 obserwowało ciągłość działań Storm-1849/UAT4356 w październiku 2025 r. (z przerwą w Golden Week), a wcześniejsze analizy Censys łączyły infrastrukturę ArcaneDoor z podmiotami w Chinach.

Praktyczne konsekwencje / ryzyko

Ryzyko strategiczne: uzyskanie pozycji na urządzeniach brzegowych rządu/krytycznej infrastruktury otwiera drogę do długotrwałej inwigilacji ruchu, pozyskiwania poświadczeń, modyfikacji polityk oraz lateral movement.
Trwałość i odporność na remediację: techniki utrzymania po aktualizacjach sprawiają, że samo patchowanie nie wystarcza — potrzebny jest pełny proces odtworzenia zaufania.
Zasięg geograficzny i sektorowy: poza USA celem są administracje w Europie i Azji, a także sektor finansowy i obronny.

Rekomendacje operacyjne / co zrobić teraz

Natychmiastowe łatanie ASA/FTD do wersji usuwających CVE-2025-20333 i CVE-2025-20362. Zastosuj zalecenia Cisco „Continued Attacks Against Cisco Firewalls”.
Inwentaryzacja i triage: policz wszystkie ASA/FTD (także ukryte/niezarządzane), sprawdź wskaźniki włamania (IOCs), porównaj z artefaktami ArcaneDoor/Storm-1849.
Re-keying po incydencie: factory reset urządzeń, następnie pełna wymiana haseł, certyfikatów, kluczy i konfiguracji z zaufanych źródeł.
Wycofanie EoS/EoL: urządzenia 5500-X bez wsparcia lub z kończącym się wsparciem odłączyć/wymienić; brak patchy = stałe ryzyko.
Twarde segmentowanie i monitoring: UBA/NDR na ruchu z/do strefy „edge”, reguły detekcyjne dla anomalii VPN/SSL i zmian konfiguracji.
Zgodność z zaleceniami rządowymi: śledź komunikaty CISA/NSA/NCSC i stosuj ich checklisty reagowania na działania aktorów państwowych.

Różnice / porównania z innymi przypadkami

ArcaneDoor (2024) vs. kampania 2025: Ta pierwsza wykorzystywała dwie 0-day (m.in. „Line Dancer/Line Runner”); tegoroczna fala obejmuje nowe CVE-2025-20333/20362 i wykazuje większą dojrzałość w utrzymaniu dostępu po aktualizacjach.
Aktor: w 2024 r. atrybucja była ostrożna; dziś istnieje spójniejsza układanka łącząca infrastrukturę i TTPs z ekosystemem państwowych aktorów z Chin.

Podsumowanie / kluczowe wnioski

Urządzenia brzegowe ASA pozostają głównym celem operacji szpiegowskich.
Samo „załatanie” nie przywraca zaufania — konieczny jest reset, re-keying i forensyka.
Organizacje rządowe i krytyczna infrastruktura powinny traktować te zdarzenia jako kompromitację perymetru i wprowadzić twardsze kontrole dostępu oraz ciągłe monitorowanie.

Źródła / bibliografia

The Record: Chinese hackers scanning, exploiting Cisco ASA firewalls used by governments worldwide (31 października 2025). (The Record from Recorded Future)
Unit 42 (Palo Alto Networks): September 2025 Zero-Day Vulnerabilities Affecting Cisco Software (26 września 2025). (Unit 42)
Cisco: Continued Attacks Against Cisco Firewalls (materiały techniczne i zalecenia). (sec.cloudapps.cisco.com)
NSA: Guidance to counter China state-sponsored actors targeting global critical infrastructure (27 sierpnia 2025). (nsa.gov)
Censys: Analysis of ArcaneDoor Threat Infrastructure Suggests Potential Ties to Chinese-Based Actor. (censys.com)

Australia ostrzega przed infekcjami „BadCandy” na niezałatanych urządzeniach Cisco

Wprowadzenie do problemu / definicja luki

Australijskie służby (ASD/ACSC) ostrzegają, że implant webshell BadCandy nadal aktywnie infekuje niezałatane urządzenia Cisco IOS XE wystawione do Internetu. Wg najnowszych danych, od lipca 2025 r. w Australii potencjalnie naruszono ponad 400 urządzeń, a ponad 150 nadal pozostaje zainfekowanych – mimo dostępnych od 2023 r. poprawek eliminujących pierwotny wektor ataku w interfejsie Web UI (CVE-2023-20198).

W skrócie

Vektor wejścia: historyczna luka w Cisco IOS XE Web UI (m.in. CVE-2023-20198), masowo wykorzystywana od października 2023 r. do wdrażania implantu BadCandy.
Czym jest BadCandy: lekki webshell w Lua rejestrowany jako niestandardowa ścieżka w wbudowanym serwerze www urządzenia; pozwala na zdalne wykonywanie poleceń na poziomie systemu/IOS.
Skala w AU (X–XI 2025): >400 potencjalnie naruszonych urządzeń; >150 nadal z implantem.
Dlaczego wciąż działa: wiele urządzeń pozostaje niezałatanych lub z utrzymaną trwałością (np. dodatkowe konta/hasła, inne formy persystencji) po pierwszym włamaniu.

Kontekst / historia / powiązania

Pierwsze szerokie wykorzystanie luki w IOS XE Web UI odnotowano w październiku 2023 r. – badacze Cisco Talos opisali wtedy kolejne wersje implantu BadCandy rozmieszczanego po uzyskaniu nieautoryzowanego dostępu. Od tego czasu operatorzy zagrożenia iteracyjnie modyfikują webshell, co ułatwia im przetrwanie i unikanie detekcji.

Analiza techniczna / szczegóły luki

Rejestracja webshella. BadCandy jest dostarczany jako plik konfiguracyjny (np. cisco_service.conf), który dodaje nowy endpoint URI w serwerze www urządzenia. Zapytania pod ten endpoint przyjmują parametry umożliwiające wykonywanie dowolnych komend na urządzeniu (system/IOS).

Ewolucja i protokół. Talos opisał co najmniej trzy wersje BadCandy; jedna z nich weryfikuje obecność nagłówka X-Csrf-Token w żądaniach – to mechanizm zaciemniania/zabezpieczenia kanału C2.

Artefakty/detekcja. Publicznie dostępne procedury detekcyjne (Fox-IT) wskazują, że implant może zdradzać obecność m.in. poprzez nietypowe odpowiedzi HTTP (np. różnice w odpowiedziach 404 przy specyficznym kodowaniu %25 w ścieżce) oraz obecność charakterystycznych wpisów konfiguracyjnych. Repo zawiera skrypty do skanowania i IOC.

Wektor wejścia. Historycznie ataki zaczynały się od nadużycia podatności CVE-2023-20198 (przywileje w Web UI), co pozwalało napastnikowi przejąć kontrolę, wgrać webshell i utrzymać się w systemie. Cisco opublikowało poprawki i szczegóły ograniczające ekspozycję Web UI.

Praktyczne konsekwencje / ryzyko

Pełne przejęcie urządzenia brzegowego: możliwość modyfikacji konfiguracji routingu/ACL, wstrzykiwania reguł, przechwytywania/zmiany ruchu (MITM), a nawet pivotu w głąb sieci.
Trwałość po łataniu: nawet po instalacji poprawek implant lub dodatkowa persystencja (np. konta, klucze, hasła, zaplanowane zadania) może utrzymywać dostęp atakującego. ACSC wyraźnie podkreśla konieczność usuwania implantu i twardej rekonfiguracji.
Ryzyko łańcuchowe: zainfekowane urządzenie na perymetrze to idealny punkt do kradzieży danych uwierzytelniających i ataków na systemy wewnętrzne.

Rekomendacje operacyjne / co zrobić teraz

Priorytet 0: reakcja na incydent

Sprawdź ekspozycję i kompromitację: użyj procedur ACSC i narzędzi Fox-IT do wykrywania BadCandy; ręcznie sprawdź nietypowe endpointy, pliki *.conf rejestrujące usługi www oraz różnice odpowiedzi HTTP opisane przez Fox-IT.
Jeśli kompromitacja potwierdzona: odłącz z Internetu, usuń implant zgodnie z wytycznymi ACSC, przeprowadź rebuild/reimage urządzenia, a następnie wgraj aktualny, wolny od backdoorów obraz. Obowiązkowo rotuj wszystkie poświadczenia (lokalne, TACACS+/RADIUS), klucze i sekretne wartości.

Priorytet 1: usunięcie wektora wejścia
3. Zainstaluj poprawki dla podatności Web UI (m.in. CVE-2023-20198) na wszystkich instancjach IOS XE; wyłącz lub ogranicz Web UI do zarządzania wyłącznie z zaufanych adresów (MGMNT/VPN), stosuj ACL i AAA.

Priorytet 2: hardening i monitorowanie
4. Minimalizacja powierzchni ataku: wyłącz zbędne usługi HTTP/HTTPS, telemetry, legacy protokoły; wymuś MFA i RBAC dla administratorów.
5. Monitoruj wskaźniki naruszenia (IOC) i anomalie ruchu do/ze zdefiniowanego endpointu webshella; ustaw alerty na niestandardowe ścieżki URI i nagłówki żądań (np. X-Csrf-Token).
6. Logowanie i forensyka: eksportuj logi poza urządzenie (syslog/SIEM); pamiętaj, że sprawcy często modyfikują/wyłączają logowanie, dlatego artefaktów możesz szukać również w konfiguracji i ruchu.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

Na tle innych kampanii przeciwko infrastrukturze sieciowej BadCandy wyróżnia lekki, „konfiguracyjny” sposób wpięcia webshella w serwer www IOS XE, bez ciężkiego binarnego implantu. W praktyce utrudnia to detekcję (artefakty przypominają „normalną” konfigurację usług), a napastnik może szybko zmieniać endpointy i parametry bez ingerencji w obraz systemu.

Podsumowanie / kluczowe wnioski

BadCandy to wciąż realne i aktywne zagrożenie dla niezałatanych urządzeń Cisco IOS XE – również w IV kw. 2025 r. (Australia: >150 aktywnych infekcji pod koniec października).
Samo łatane po incydencie nie wystarczy – trzeba usunąć implant, rotować poświadczenia i przeprowadzić pełny hardening oraz monitoring pod kątem persystencji.
Organizacje powinny traktować ekspozycję Web UI jako ryzyko krytyczne i ograniczać ją do minimum, a detekcję oprzeć o artefakty HTTP oraz niestandardowe endpointy.

Źródła / bibliografia

ACSC: „How your devices could be implanted and what to do about it (BADCANDY)” – wytyczne reagowania i usuwania. (cyber.gov.au)
ACSC (PDF): „Don’t take BADCANDY from strangers” – skala i procedury (X–XI 2025). (cyber.gov.au)
Cisco Talos: bieżąca analiza aktywnej eksploatacji IOS XE Web UI i wariantów BadCandy (2023–2024). (Cisco Talos Blog)
Cisco: Advisory dot. eksploatacji Web UI w IOS XE (CVE-2023-20198) i zalecenia ograniczenia ekspozycji. (sec.cloudapps.cisco.com)
BleepingComputer: artykuł podsumowujący ostrzeżenie Australii (31 października 2025). (BleepingComputer)

Ukraiński obywatel wydany z Irlandii do USA za udział w atakach ransomware Conti

Wprowadzenie do problemu / definicja luki

Departament Sprawiedliwości USA poinformował o ekstradycji z Irlandii 43-letniego Ołeksija Ołeksijowycza Łytwynenki, oskarżonego o współudział w kampaniach ransomware grupy Conti. Oskarżony usłyszał zarzuty zmowy w sprawie oszustwa komputerowego oraz zmowy w sprawie oszustwa telekomunikacyjnego, a maksymalne zagrożenie karą wynosi odpowiednio 5 lat i 20 lat pozbawienia wolności. Według akt sprawy miał m.in. kontrolować skradzione dane ofiar i współtworzyć/rozsyłać noty okupu w ramach podwójnego wymuszenia.

W skrócie

Kto: Ołeksij O. Łytwynenko (43 l.).
Skąd / dokąd: ekstradycja z Irlandii (Cork) do USA, Sąd Okręgowy Middle District of Tennessee – pierwsze stawiennictwo w czwartek, 30 października 2025 r.
Zarzuty: zmowa dot. wdrażania Conti, podwójne wymuszenia, publikacja danych; szkody w Tennessee > 500 tys. USD (kryptowaluty) wobec 2 ofiar + ujawnienie danych trzeciej.
Skala Conti: > 1 000 ofiar globalnie; co najmniej 150 mln USD okupów (stan na I 2022).
Status w Irlandii: tymczasowa ochrona po 2022 r.; areszt w lipcu 2023 r.; apelacja ekstradycyjna oddalona przez Court of Appeal w październiku 2025 r.

Kontekst / historia / powiązania

Łytwynenko miał działać w latach 2020–czerwiec 2022, tj. w szczycie aktywności Conti. Po rozpadzie „marki” Conti członkowie rozproszyli się do innych ekosystemów ransomware (m.in. BlackCat/ALPHV, Black Basta, Royal, Karakurt, Hive/AvosLocker itp.). Organy ścigania przypisują Conti największą liczbę ataków na infrastrukturę krytyczną w 2021 r. Ekstradycja domyka wieloetapowe postępowanie: areszt (VII 2023), decyzja High Court o zatrzymaniu do ekstradycji (II 2025), a następnie prawomocne oddalenie apelacji (X 2025).

Analiza techniczna / szczegóły luki

Modus operandi Conti (TTPs):

Wejście do sieci: spear-phishing / kradzież poświadczeń, nadużycie RDP/VPN, często po wcześniejszym rozpoznaniu przez ekosystem TrickBot/BazarBackdoor.
Ruch boczny i eskalacja uprawnień: narzędzia „living-off-the-land” (PSExec, WMI, PowerShell), LSASS dump, Mimikatz.
Szyfrowanie i ekfiltracja: szyfrowanie szybkie/rozproszone, wcześniejsza kradzież danych i podwójne wymuszenie (szyfr + groźba publikacji).
Negocjacje i PR: noty okupu z kanałami komunikacji (chat/Tor), zarządzanie „leak site”.

Te techniki odpowiadają opisowi prokuratury, według której oskarżony kontrolował skradzione paczki danych wielu ofiar oraz brał udział w wysyłce not okupu. Poza Conti miał kontynuować cyberprzestępczość aż do dni przed aresztowaniem w 2023 r.

Praktyczne konsekwencje / ryzyko

Ryzyko ciągłości działania: nawet po „zamknięciu” marki Conti, operatorzy i infrastruktura przeszli pod inne szyldy; ofiary wciąż mogą być nękane publikacjami danych i wtórnymi szantażami.
Ryzyko prawne i regulacyjne: publikacja danych (double extortion) uruchamia obowiązki notyfikacyjne i sankcje administracyjne w wielu jurysdykcjach.
Ryzyko sektorowe: wg FBI Conti uderzał najczęściej w infrastrukturę krytyczną (2021), co zwiększa priorytet dla SOC/OT.

Rekomendacje operacyjne / co zrobić teraz

Edycja reguł detekcyjnych na TTP Conti/TrickBot/Bazar:
- monitoruj LSASS access, zdalne wykonanie (WMI/PSExec), nietypowe zip/7z/rar z serwerów plików;
- IDS/EDR: reguły na narzędzia exfil (rclone, mega, cloud storage CLI) i Tor/Onion.
Segmentacja i EDR wszędzie: RDP/VPN za MFA, mikrosegmentacja serwerów plików i kontrolerów domeny.
Back-upy offline i test odtwarzania: przynajmniej kwartalne ćwiczenia DR na krytycznych systemach.
Runbook negocjacyjny i prawny: z góry ustalony zespół (prawnik, PR, ubezpieczyciel, IR).
Higiena AD: LAPS, stałe rotacje haseł serwisowych, blokada nieużywanych kont, audyt GPO.
Threat intel / watchlist: obserwuj repacki Conti (Royal, Black Basta, Karakurt itd.), aktualizuj IOC/IOA.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

W ostatnich latach USA coraz częściej doprowadza do ekstradycji podejrzanych o cyberwymuszenia na bazie współpracy międzynarodowej i aktów oskarżenia w stanach szczególnie dotkniętych atakami. W sprawie Łytwynenki właściwość ustalono w Middle District of Tennessee, gdzie dwie ofiary miały zapłacić >500 tys. USD, a dane trzeciej upubliczniono – to analogiczny wzorzec do innych spraw kierowanych przez CCIPS i FBI (np. równoległe akty przeciw członkom TrickBot/Conti w 2023 r.).

Podsumowanie / kluczowe wnioski

Ekstradycja i pierwsze stawiennictwo w USA potwierdzają determinację organów ścigania w ściganiu operatorów Conti – także tych pełniących „zaplecze” (kontrola danych, negocjacje).
Dla obrony kluczowe jest monitorowanie technik, nie „marek” ransomware – te się zmieniają, TTP zwykle zostają.
Organizacje wciąż mogą mieć ekspozycję na wtórne publikacje danych z okresu działalności Conti (2020–2022); weryfikacja wycieków i polityki retencji ma znaczenie.

Źródła / bibliografia

U.S. Department of Justice: komunikat prasowy z 30 października 2025 r. (Press Release No. 25-1049). (justice.gov)
SecurityWeek: „Ukrainian Man Extradited From Ireland to US Over Conti Ransomware Charges”, 31 października 2025 r. (SecurityWeek)
BleepingComputer: „Ukrainian extradited from Ireland on Conti ransomware charges”, 31 października 2025 r. (BleepingComputer)
The Record (Recorded Future News): „Alleged Conti ransomware gang affiliate appears in Tennessee court…”, 31 października 2025 r. (The Record from Recorded Future)
Irish Legal News / Irish Court of Appeal: oddalenie apelacji ekstradycyjnej (październik 2025 r.). (Irish Legal News)

Uwaga: wątek jest rozwojowy; toczące się postępowanie oznacza domniemanie niewinności do czasu prawomocnego wyroku. Daty i liczby w tekście pochodzą z materiałów DOJ i czołowych serwisów branżowych z 30–31 października 2025 r.

FAQ: ISA/IEC 62443 W Praktyce

Czym jest ISA/IEC 62443 i dlaczego jest ważna?

ISA/IEC 62443 to rodzina międzynarodowych standardów cyberbezpieczeństwa dedykowanych systemom automatyki i sterowania przemysłowego (Industrial Automation and Control Systems, IACS) oraz infrastrukturze OT (Operational Technology). Powstała z inicjatywy ISA (International Society of Automation) jako seria ISA-99, a następnie została przyjęta przez IEC pod numerem 62443. Standardy te zostały opracowane konsensualnie przez ekspertów z branży i są jedynym tak kompleksowym, uzgodnionym globalnie zestawem wymagań dla bezpieczeństwa systemów przemysłowych.

Czytaj dalej

Kanada: hacktywiści naruszyli systemy wody, energii i rolnictwa. Co wiemy i jak reagować

Wprowadzenie do problemu / definicja luki

Kanadyjskie Canadian Centre for Cyber Security (Cyber Centre) ostrzegło 29 października 2025 r., że tzw. hacktywiści wielokrotnie uzyskali dostęp do internetowo wystawionych systemów sterowania przemysłowego (ICS/OT) w kraju. W trzech udokumentowanych przypadkach doszło do manipulacji parametrami procesowymi w: zakładzie wodociągowym (ciśnienie wody), firmie naftowo-gazowej (Automated Tank Gauge – ATG) oraz w silosie do suszenia zboża (temperatura i wilgotność). Ataki miały charakter okazjonalny i oportunistyczny, ale realnie groziły niebezpiecznymi warunkami pracy instalacji.

W skrócie

Co się stało: hacktywiści wykorzystali bezpośrednio wystawione do Internetu elementy ICS/HMI/SCADA, uzyskując możliwość zmiany nastaw i wywołania alarmów/zakłóceń.
Skala ryzyka: degradacja usług komunalnych, błędne alarmy w sektorze O&G, potencjalnie niebezpieczne warunki w rolnictwie – bez katastrofalnych skutków, ale z niską barierą wejścia dla napastników.
Trend: rośnie liczba „mało wyrafinowanych” ataków na OT/ICS, co wcześniej sygnalizowała też CISA.
Dlaczego teraz: ekspozycja ICS do sieci publicznej + słabe uwierzytelnianie = szybkie „trofea” dla grup szukających rozgłosu (przykład: wpadka prorosyjnej grupy TwoNet na przynęcie-honeypocie).

Kontekst / historia / powiązania

Ostrzeżenie Cyber Centre wpisuje się w globalny trend: od 2024 r. rośnie aktywność grup hacktivist uderzających w infrastrukturę krytyczną – często prosto i głośno, dla efektu medialnego. CISA już w maju 2025 r. alarmowała o „niewyrafinowanych aktorach” celujących w ICS/SCADA w sektorach O&G, wody i żywności.
Równolegle raporty Dragos wskazywały, że część „hacktywistów” zaczęła łączyć działania z ransomware, co zwiększa presję na operatorów OT (Handala, Kill Security, CyberVolk – przykłady z 2024 r.).
Na świeżo: w październiku 2025 r. badacze Forescout ujawnili, że prorosyjna grupa TwoNet chwaliła się „zhakowaniem” wodociągów – w rzeczywistości był to sprytnie przygotowany honeypot OT/ICS. Incydent obnażył techniki oparte na słabych hasłach do HMI i manipulacji setpointami/zdarzeniami.

Analiza techniczna / szczegóły luki

Z ostrzeżenia AL25-016 wynika, że wektor nr 1 to po prostu ekspozycja urządzeń OT do Internetu (np. PLC, RTU, HMI, SCADA, SIS, BMS, IIoT) – często z domyślnymi/dzielonymi kontami lub bez MFA. Skutki obserwowane w Kanadzie:

Woda: manipulacja wartościami ciśnienia → spadek jakości/ciągłości usługi dla społeczności.
O&G: manipulacja ATG (Automated Tank Gauge) → fałszywe alarmy.
Rolnictwo: zmiany temperatury/wilgotności w silosie suszarniczym → warunki potencjalnie niebezpieczne, gdyby nie szybkie wykrycie.

W praktyce takie ataki często wykorzystują:

Zdalne usługi (np. otwarte HTTP/VNC/RDP/VPN bez MFA) do paneli HMI/SCADA.
Słabe/lokalne konta (valid accounts) zamiast exploitów 0-day.
Prostą manipulację procesem (zmiana setpointów, wyłączanie alarmów/logów), jak pokazał przypadek TwoNet w honeypocie.

Praktyczne konsekwencje / ryzyko

Bezpieczeństwo procesowe: nawet krótkotrwała zmiana parametrów (ciśnienie, temp., poziom zbiorników) może prowadzić do stanu niebezpiecznego.
Ciągłość działania: fałszywe alarmy ATG = kosztowne przerwy i inspekcje.
Reputacja/regulator: incydenty w wodzie/energetyce szybko trafiają do mediów i mogą skutkować sankcjami nadzorczymi.
Eskalacja taktyk: część grup hacktywistycznych łączy działania z ransomware, co zwiększa ryzyko długotrwałych zakłóceń i wycieku danych.

Rekomendacje operacyjne / co zrobić teraz

Na bazie zaleceń Cyber Centre (AL25-016) oraz dobrych praktyk OT/ICS:

Inwentaryzacja i „de-exposure” (D+E):
- Zrób pełną listę wszystkich urządzeń ICS dostępnych z Internetu.
- Wyłącz bezpośrednią ekspozycję – preferuj VPN z 2FA i listami uprawnień; jeśli musisz zostawić dostęp, wprowadź wzmożone monitorowanie.
Kontrole dostępu: odetnij domyślne konta, wprowadź MFA dla wszystkich ról zdalnych, segmentację sieci (IT/OT) i zasadę najmniejszych uprawnień.
Monitoring i testy:
- IPS/IDS dla ruchu przemysłowego (np. Modbus, DNP3), ciągły VA/PT i tabeltopy z jasno zdefiniowanymi rolami OT/IT.
Higiena konfiguracji HMI/SCADA: wymuś timeout sesji, alarmy nieusuwalne bez zgody drugiej osoby (four-eyes), rejestrowanie zmian setpointów. (Wnioski także po analizie incydentu TwoNet-honeypot).
Zgodność z wytycznymi: wdrażaj Cyber Security Readiness Goals (CRG) oraz dokumenty Cyber Centre dla ICS/CI jako „minimum operacyjne”.
Zgłaszanie i współpraca: w Kanadzie – My Cyber Portal / contact@cyber.gc.ca i lokalna policja; w USA – śledź alerty CISA i przekazuj wskaźniki/artefakty.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

Klasyczne kampanie APT przeciw OT celują w długotrwałą infiltrację i precyzyjne uderzenia (zwykle „ciche”). Tu mamy ekspozycję + szybkie „kliknięcie” w HMI/ATG, często przy użyciu słabych haseł lub domyślnych konfiguracji – niski próg wejścia, wysoki PR. Przykład TwoNet pokazuje, że nawet „głośne” sukcesy bywały na przynęcie, ale techniki (wyłączenie logów/alarmów, manipulacja PLC) są realne i transferowalne do prawdziwych środowisk.

Podsumowanie / kluczowe wnioski

Nie zostawiaj HMI/SCADA/PLC w Internecie. To najkrótsza ścieżka do incydentu.
Prosta manipulacja nastawami może wystarczyć, by zakłócić usługi krytyczne.
Hacktywiści polują na łatwe cele – widoczność i rozgłos są dla nich równie ważne jak szkody.
Checklistę Cyber Centre potraktuj jako „baseline” na już; dalej – segmentacja, MFA, monitoring protokołów przemysłowych i ćwiczenia reagowania.

Źródła / bibliografia

Canadian Centre for Cyber Security – AL25-016: Internet-accessible ICS abused by hacktivists (29.10.2025). Najważniejsze źródło faktów nt. kanadyjskich incydentów i zaleceń. (Canadian Centre for Cyber Security)
BleepingComputer – Canada says hacktivists breached water and energy facilities (29.10.2025). Streszczenie i kontekst medialny. (BleepingComputer)
CISA – Unsophisticated cyber actor(s) targeting OT (06.05.2025). Szerszy trend uderzeń w ICS/SCADA. (cisa.gov)
Forescout (Vedere Labs) – Anatomy of a Hacktivist Attack: Russian-Aligned Group Targets OT/ICS (09.10.2025) oraz materiały prasowe wtórne (The Record). Przykład TwoNet/honeypot. (Forescout)
Dragos – OT/ICS threats escalate… (25.02.2025). Trend: hacktywiści korzystają z ransomware. (dragos.com)