Pomagamy Zrozumieć i Wdrażać Bezpieczeństwo
Ten artykuł jest częścią serii „Bezpłatny Kurs LPI Security Essentials”, w ramach której znajdziesz wszystko, co potrzeba, aby zdać egzamin LPI Security Essentials 020-100 już za pierwszym razem.
Każdy moduł zawiera praktyczne przykłady, wyjaśnienia i materiały pomocnicze – wszystko po polsku, zrozumiale i konkretnie.
Czytaj dalej „LPI Security Essentials (Moduł 021.1) – Triada CIA W Praktyce”
Arctic Wolf Labs opisało aktywną kampanię cyber-szpiegowską przypisywaną grupie UNC6384 ukierunkowaną na podmioty dyplomatyczne w Belgii i na Węgrzech (oraz inne cele w Europie). Ataki datowane są na wrzesień–październik 2025 r. i wykorzystują spreparowane skróty Windows (.lnk), które nadużywają podatności ZDI-CAN-25373 – techniki pozwalającej ukryć wykonanie poleceń poprzez manipulację argumentami w plikach LNK. Końcowym ładunkiem jest PlugX (SOGU) – znany trojan zdalnego dostępu często łączony z grupami powiązanymi z ChRL.
W sierpniu 2025 r. Google Threat Intelligence Group (GTIG) ujawniła wcześniejszą odsłonę kampanii UNC6384 wymierzoną w dyplomatów w Azji Południowo-Wschodniej. Tam atakujący przejmowali captive portal, podszywali się pod „Adobe plugin update” i w końcu dostarczali SOGU/PlugX przy użyciu side-loadingu komponentów Canona (STATICPLUGIN → MSI → CANONSTAGER).
Równocześnie PlugX pozostaje w centrum zainteresowania organów ścigania: 14 stycznia 2025 r. Departament Sprawiedliwości USA ogłosił operację usunięcia tej rodziny malware z ~4 258 komputerów w USA, wiążąc infekcje z Mustang Panda/Twill Typhoon.
The Record podkreśla, że PlugX od lat jest używany przez szereg chińskich grup, a działania DoJ to kontynuacja globalnych wysiłków po wcześniejszych przejęciach infrastruktury C2.
Łańcuch ataku (wariant europejski obserwowany przez Arctic Wolf):
COMMAND_LINE_ARGUMENTS). rjnlzlkfe.ta) do katalogu %AppData%\Local\Temp.cnmplog.dat). ZDI-CAN-25373 (aka ZDI-25-148): Trend Micro/ZDI opisuje wieloletnie i szerokie nadużycia tej słabości przez co najmniej 11 ugrupowań APT (KR/IR/RU/CN). Microsoft – według ZDI – nie wydał poprawki, co wymusza polityki ograniczania LNK i detekcje behawioralne.
PlugX/SOGU: wielofunkcyjny RAT znany od co najmniej 2008 r., zapewniający m.in. keylogging, exfiltrację plików, trwałość i zdalne sterowanie; stale ewoluuje (warianty Korplug/TIGERPLUG/SOGU).
Wybrane wskaźniki (IOC) z kampanii UNC6384 (Arctic Wolf):
Agenda_Meeting 26 Sep Brussels.lnk (SHA-256: 911cccd2…5fca539), cnmpaui.exe (Canon, legit), cnmpaui.dll (loader), cnmplog.dat (zaszyfrowany PlugX), rjnlzlkfe.ta (TAR).racineupci[.]org, dorareco[.]net, naturadeco[.]net, cseconline[.]org. Prewencja i twardnienie:
cnmpaui.exe) i blokowanie side-loadingu z niestandardowych ścieżek. Wykrywanie i hunting (przykłady):
cmd.exe/powershell.exe z rodzicem .lnk (reguły/hunty wg Trend Micro). %AppData%) i współwystępowanie plików cnmpaui.exe/.dll/.dat. gstatic → redirect → „plugin update” (artefakty kampanii GTIG/captive portal). Reakcja i ograniczanie skutków:
CISA i NSA – we współpracy z australijskim ACSC i kanadyjskim Cyber Centre – opublikowały spójny dokument „Microsoft Exchange Server Security Best Practices”, zawierający praktyczne wytyczne hartowania on-premises Exchange’a. Agencje podkreślają, że środowiska Exchange należy traktować jako zagrożone „tu i teraz” oraz wymuszają podejście prewencyjne: minimalny przywilej, szybkie aktualizacje, redukcja powierzchni ataku, silna kryptografia w transporcie.
Nowe wytyczne pojawiają się po serii incydentów i ostrzeżeń – m.in. po wakacyjnej Emergency Directive ED 25-02 dotyczącej poważnej luki w konfiguracjach hybrydowych (CVE-2025-53786), która umożliwia pivot z on-prem do Exchange Online. Nadal tysiące serwerów pozostaje niezałatanych.
Dokument agencji porządkuje obronę w trzech filarach:
Dodatkowo: włączenie funkcji ochronnych Windows/Defender (AMSI, ASR, AppLocker/WDAC) i EDR; własne anty-spam/anty-malware Exchange.
CISA ostrzegła, że luka CVE-2025-41244 dotycząca VMware Tools oraz VMware Aria Operations jest aktywnie wykorzystywana. Błąd umożliwia lokalne podniesienie uprawnień do roota na maszynie wirtualnej (VM), jeśli spełnione są określone warunki konfiguracyjne. Agencjom FCEB w USA wyznaczono termin do 20 listopada 2025 r. na załatanie systemów; podatność trafiła do KEV (Known Exploited Vulnerabilities).
Broadcom (VMware) opublikował VMSA-2025-0015 29 września 2025 r., aktualizowany 30 października 2025 r., obejmujący trzy luki: CVE-2025-41244 (EoP), CVE-2025-41245 (ujawnienie informacji w Aria Ops) oraz CVE-2025-41246 (niewłaściwe autoryzowanie w VMware Tools dla Windows). Zgodnie z informacjami producenta oraz analizami zewnętrznymi, CVE-2025-41244 była wykorzystywana jako zero-day od 2024 r., zanim pojawiły się łatki.
CISA dodała te podatności (w szczególności CVE-2025-41244) do KEV, co zgodnie z BOD 22-01 uruchamia obowiązkowe okno remediacji dla agencji federalnych. Media branżowe (BleepingComputer) podają wprost deadline 20 listopada 2025 r.
get_version(), z obserwowanym stagingiem plików m.in. w /tmp/httpd podczas przygotowania payloadu do eskalacji. /tmp/httpd oraz artefaktów wskazujących na nadużycie get_version()/regex. /tmp/httpd i innych artefaktów opisanych przez badaczy; wzmocnij kontrolę uprawnień. 
ISA/IEC 62443 to rodzina międzynarodowych standardów cyberbezpieczeństwa dedykowanych systemom automatyki i sterowania przemysłowego (Industrial Automation and Control Systems, IACS) oraz infrastrukturze OT (Operational Technology). Powstała z inicjatywy ISA (International Society of Automation) jako seria ISA-99, a następnie została przyjęta przez IEC pod numerem 62443. Standardy te zostały opracowane konsensualnie przez ekspertów z branży i są jedynym tak kompleksowym, uzgodnionym globalnie zestawem wymagań dla bezpieczeństwa systemów przemysłowych.
Czytaj dalej „FAQ: ISA/IEC 62443 W Praktyce”
ISA/IEC 62443 to międzynarodowa seria standardów definiujących wymagania i procesy dla cyberbezpieczeństwa systemów automatyki przemysłowej i sterowania (Industrial Automation and Control Systems, IACS) oraz infrastruktury OT. Standard ten został opracowany przez International Society of Automation (ISA) i przyjęty przez International Electrotechnical Commission (IEC), tworząc wspólne, konsensusowe ramy ochrony dla wszystkich sektorów przemysłu wykorzystujących systemy ICS.
Czytaj dalej „ISA/IEC 62443 – Kompletny Przewodnik Po Standardzie Cyberbezpieczeństwa OT/ICS”Operatorzy ransomware Qilin (znani wcześniej jako Agenda) zostali zaobserwowani przy uruchamianiu linuksowych binarek szyfrujących na hostach Windows poprzez Windows Subsystem for Linux (WSL). Ten zabieg utrudnia wykrywanie, bo wiele rozwiązań EDR/NDR ma profil detekcji skupiony na natywnych procesach Windows i klasycznych łańcuchach ataku. Informację nagłośnił 28 października 2025 r. serwis BleepingComputer, opierając się na świeżych obserwacjach z kampanii Qilin.
Qilin wystartował jako Agenda w 2022 r., szybko ewoluując (m.in. wariant Rust, szyfrowanie przerywane, wersje na Linux/ESXi). W 2024 r. amerykańskie HHS opublikowało profil zagrożenia Agenda/Qilin, opisując klasyczne wektory wejścia (phishing, RDP/VPN, kradzież poświadczeń). Dzisiejsze kampanie dodają warstwę „cross-platform” dzięki WSL.
W październiku 2025 r. media informowały o przypisywaniu przez Qilin głośnych incydentów w sektorze produkcyjnym (Asahi Group). To wskazuje, że grupa celuje w operacje o niskiej tolerancji na przestoje, gdzie presja na zapłatę okupu jest większa.
Łańcuch ataku obserwowany w kampaniach Qilin (Agenda):
/mnt/c) i udziałów sieciowych.Dlaczego to działa?
vssadmin, znanych packerach czy LOLBins Windows mogą nie zadziałać, jeśli właściwy szyfrator działa jako ELF w WSL. 1) Widoczność i telemetria WSL
wsl.exe, tworzenie nowych dystrybucji i nietypowe procesy potomne. 2) Twarde kontrolki konfiguracyjne
3) Ochrona przed BYOVD i RMM
4) Backupy i segmentacja
5) Playbook IR (aktualizacja pod WSL)
%LOCALAPPDATA%\\Packages\\*Linux*, policji sieciowej WSL (gdy aktywna). Uwzględnij typowe ścieżki montowania (/mnt/c, /mnt/d itd.).6) Higiena dostępu
vssadmin, wmic), API Win32 i anty-debug, które łatwiej profilować.Qilin podnosi poprzeczkę, łącząc Windows z Linuxem na jednym hoście i przesuwając środek ciężkości detekcji do obszarów, które wiele organizacji ignoruje: WSL, BYOVD oraz legalne RMM. Jeżeli nie monitorujesz WSL i nie egzekwujesz polityk RMM/sterowników, zostawiasz widoczną szczelinę w obronie. Priorytetem jest telemetria WSL + kontrola RMM + polityki sterowników + odporne backupy.