Lato sprzyja wyjazdom, ale nie oznacza urlopu dla cyberprzestępców. W najnowszym Krajobrazie Zagrożeń przyglądamy się trzem wydarzeniom pokazującym aktualne trendy – długotrwałym operacjom ransomware, ukierunkowanym kampaniom mobilnego malware Glitch SPY przeciwko polskim użytkownikom oraz rosnącemu znaczeniu sieci residential proxy na przykładzie NetNut i Popa. Choć dotyczą różnych obszarów, wszystkie przypominają o tej samej zasadzie – skuteczny atak rzadko zaczyna się od spektakularnego incydentu. Zwykle jest efektem serii pozornie niegroźnych zdarzeń, które odpowiednio wcześnie wykryte można skutecznie zatrzymać. 

Cybercrime

Sezon wakacyjny? Nie dla operatorów ransomware

• Ransomware jest końcowym etapem całego ataku, a nie początkiem incydentu. Kluczowe etapy to eskalacja uprawnień, przejęcie kontrolera domeny, eksfiltracja danych i przygotowanie środowiska do szyfrowania.
• Atak trwał niemal pięć dni – od infekcji poprzez SEO Poisoning do zaszyfrowania dwóch domen Active Directory, pokazując jak dużo czasu organizacje mają na wykrycie i zatrzymanie przeciwnika.
• Łańcuch infekcji wykorzystał znane narzędzia, jednak interesujące jest pojawienie się AdaptixC2, który coraz częściej zastępuje klasyczne frameworki C2 w rękach operatorów ransomware.

Sezon wakacyjny? Nie dla cyberprzestępców 

Rozpoczynający się sezon urlopowy nie oznacza wakacji dla cyberprzestępców. Wręcz przeciwnie – okres letni od wielu lat sprzyja prowadzeniu kampanii ransomware. Mniejsza obsada zespołów bezpieczeństwa, opóźnione reakcje oraz większa podatność użytkowników na socjotechnikę sprawiają, że jest to dogodny moment do prowadzenia długotrwałych operacji. 

Jednym z najlepszych źródeł wiedzy o rzeczywistych działaniach grup ransomware pozostają analizy publikowane przez projekt The DFIR Report. Opisywane tam incydenty pokazują nie tylko sposób działania przeciwników, ale przede wszystkim miejsca, w których organizacja mogła wykryć i zatrzymać atak. 

Najnowszy raport przedstawia kompromitację środowiska zakończoną wdrożeniem ransomware Akira. Cała operacja trwała niemal pięć dni. To bardzo ważna obserwacja – ransomware nie pojawia się natychmiast po uzyskaniu dostępu. Jest ostatnim etapem wieloetapowej operacji, podczas której istnieje wiele okazji do wykrycia aktywności napastnika. 

Od wyszukiwarki do ransomware 

Atak rozpoczął się od klasycznego już scenariusza SEO Poisoning. Ofiara, wyszukując w przeglądarce instalatora ManageEngine OpManager, trafiła na spreparowaną stronę oferującą zmodyfikowany instalator aplikacji. 

Uruchomienie programu doprowadziło do instalacji BumbleBee, który od kilku lat pozostaje jednym z loaderów najczęściej wykorzystywanych przez operatorów. Malware zapewnił napastnikom pierwszy dostęp do stacji roboczej, a następnie uruchomił beacon frameworka AdaptixC2. 

To właśnie wykorzystanie AdaptixC2 stanowi jeden z ciekawszych elementów tej kampanii. Framework ten jest coraz częściej obserwowany w rzeczywistych atakach i stanowi alternatywę dla znacznie lepiej znanych platform takich jak Cobalt Strike czy Brute Ratel. Dzięki niemu operatorzy mogli prowadzić dalsze działania wewnątrz sieci bez konieczności utrzymywania aktywności BumbleBee. 

Kolejne etapy odpowiadały klasycznemu scenariuszowi prowadzenia operacji ransomware: 

• rozpoznanie środowiska Active Directory,  
• przejęcie kontrolera domeny,  
• pozyskanie bazy NTDS.dit zawierającej skróty (hashe) haseł kont domenowych,
• powrót następnego dnia i ustanowienie tunelu SSH umożliwiającego trwały dostęp,
• przemieszczanie się pomiędzy systemami,  
• eksfiltracja danych z wykorzystaniem FileZilla oraz protokołu SFTP,  
• wdrożenie ransomware Akira w domenie głównej,  
• ponowny powrót dwa dni później i zaszyfrowanie kolejnej domeny potomnej.  

Cały proces był realizowany etapami, a operatorzy wielokrotnie wracali do środowiska ofiary, przygotowując kolejne fazy operacji. 

Co nowego w tym ataku? 

Choć sam schemat działania nie odbiega od współczesnych operacji ransomware, raport zwraca uwagę na kilka interesujących elementów. Przede wszystkim obserwujemy dalszą ewolucję infrastruktury C2. AdaptixC2 pojawia się coraz częściej jako narzędzie wykorzystywane po uzyskaniu dostępu przez loader. Może to świadczyć o stopniowym odchodzeniu części grup od bardziej rozpoznawalnych frameworków, które są intensywnie monitorowane przez rozwiązania EDR. 

Drugim istotnym elementem pozostaje wykorzystanie SEO Poisoning. Technika ta od kilku lat utrzymuje wysoką skuteczność i nadal jest jednym z najprostszych sposobów dostarczania malware bez konieczności prowadzenia kampanii phishingowych. 

Raport przypomina również, że operatorzy ransomware coraz częściej rozdzielają działania na kilka dni. Pozwala im to ograniczyć liczbę alarmów generowanych jednocześnie, lepiej poznać środowisko ofiary oraz przygotować skuteczną eksfiltrację danych przed uruchomieniem procesu szyfrowania.re

Patrząc szerzej

Największą wartością tego raportu nie jest sam fakt wykorzystania Akiry czy BumbleBee. W tym przypadku napastnicy potrzebowali około pięciu dni, aby przejść od pierwszej infekcji do pełnego zaszyfrowania infrastruktury. W tym czasie pozostawiali liczne artefakty możliwe do wykrycia. 

Skuteczna obrona przed ransomware nie polega wyłącznie na wykrywaniu procesu szyfrowania, lecz na identyfikowaniu działań przeciwnika znacznie wcześniej – podczas uzyskiwania dostępu, eskalacji uprawnień, ruchu bocznego i przygotowywania eksfiltracji danych. 

Raport DFIR po raz kolejny pokazuje, że najlepszą ochroną przed ransomware jest skrócenie czasu wykrycia (MTTD) i reakcji (MTTR). Im wcześniej organizacja przerwie łańcuch ataku, tym mniejsza szansa, że ransomware w ogóle zostanie uruchomione.

Więcej informacji:
https://thedfirreport.com/2026/06/29/from-bing-search-to-ransomware-bumblebee-and-adaptixc2-deliver-akira-3/#collection 

Malware

„Tutaj Dom”? Tutaj mobilny malware Glitch SPY

• Analitycy firmy Cyble opisali złośliwe oprogramowanie na systemy Android, które podaje się za aplikację służącą do wynajmu nieruchomości „Tutaj Dom”.
• W rzeczywistości, po zainstalowaniu, oprogramowanie okazuje się dropperem Brokewell Android Loader, instaluje Glitch SPY i żąda szerokich uprawnień, dzięki którym realizuje funkcje RAT.
• Oryginalność kampanii, odrębność od innego malware mobilnego i wyraźne zdefiniowanie Polski jako celu ataku sprawia, że warto przyjrzeć się sprawie bliżej. 

Analitycy Cyble Research and Intelligence Labs opisali kampanię wymierzoną w polskich użytkowników Androida, w której złośliwe oprogramowanie rozpowszechniane jest pod przykrywką aplikacji do wynajmu nieruchomości „Tutaj Dom”. Sam wybór tematyki dobrze koresponduje z okresem wakacyjnym sprzyjającym krótkoterminowemu wynajmowi nieruchomości. Serwisy związane z ogłoszeniami najmu mieszkań i domów należą do usług, z których korzysta szerokie grono użytkowników, a przygotowanie wiarygodnie wyglądającej strony internetowej z opiniami i odnośnikiem do pobrania aplikacji nie stanowi dziś większego wyzwania. Atakujący nie musieli nawet wzorować się na prawdziwej usłudze. W analizowanej kampanii fałszywa witryna oraz marka zostały zaprojektowane od podstaw w sposób estetyczny i spójny dla lepszej wiarygodności i mniejszej szansy wykrycia poprzez oczywiste podszycia. 

Strona poza elementami czysto estetycznymi i mającymi zbudować wizję prawdziwej oraz zaufanej marki zawiera przede wszystkim odnośnik do pobrania pliku APK – mobilnej aplikacji na system Android. Pobierany plik APK nie zawiera jednak właściwego malware. Rolę pierwszego etapu infekcji pełni już wcześniej znany Brokewell Android Loader – dropper odpowiedzialny za dostarczenie docelowego ładunku. Po uruchomieniu aplikacja nakłania użytkownika do zezwolenia na instalację programów z nieznanych źródeł, a następnie instaluje właściwy komponent – Glitch SPY. Taki podział funkcji utrudnia analizę i wykrywanie zagrożenia, ponieważ właściwe złośliwe oprogramowanie pojawia się na urządzeniu dopiero po wykonaniu dodatkowych działań przez ofiarę. 

Glitch SPY jest rozbudowanym trojanem typu Remote Access Trojan (RAT), którego możliwości wykraczają daleko poza klasyczną kradzież danych. Według analizy Cyble malware obsługuje ponad 70 komend przekazywanych z serwera zarządzającego. Komunikacja realizowana jest z wykorzystaniem WebSocketów, co pozwala utrzymywać stały, dwukierunkowy kanał wymiany danych pomiędzy urządzeniem ofiary a infrastrukturą operatorów. W praktyce umożliwia to niemal natychmiastowe wykonywanie poleceń i bieżące sterowanie zainfekowanym telefonem. 

Zakres dostępnych funkcji pokazuje, że twórcy platformy projektowali ją z myślą o długotrwałym przejęciu urządzenia. Glitch SPY potrafi transmitować obraz ekranu w czasie rzeczywistym, wykonywać zrzuty ekranu, rejestrować aktywność użytkownika, odczytywać wiadomości SMS, listy kontaktów i historię połączeń, zarządzać plikami, wykonywać polecenia systemowe czy zdalnie kontrolować interfejs telefonu poprzez nadużywanie mechanizmów Accessibility Services. Szczególnie interesującym elementem jest wykorzystanie ukrytej przeglądarki WebView, pozwalającej operatorowi wykonywać działania z wykorzystaniem aktywnych sesji użytkownika. Oznacza to możliwość interakcji z serwisami internetowymi z perspektywy zaufanego urządzenia ofiary, co może utrudniać wykrywanie nadużyć przez mechanizmy antyfraudowe. 

Wśród dostępnych modułów znajduje się również crypto clipper. Malware monitoruje zawartość schowka i rozpoznaje adresy popularnych portfeli kryptowalutowych. W momencie wykrycia takiego ciągu znaków automatycznie podmienia go na adres kontrolowany przez atakujących. Użytkownik, nie weryfikując ponownie odbiorcy transakcji, może nieświadomie przesłać środki do cyberprzestępców. 

Na uwagę zasługuje również architektura całej platformy. Badacze zidentyfikowali publicznie dostępny panel administracyjny wykorzystywany do zarządzania kampaniami, co pozwoliło przeanalizować zaplecze operacyjne projektu i przypisać zagrożeniu nazwę Glitch SPY. Panel wskazuje na obecność modułu Builder umożliwiającego operatorom dostosowywanie parametrów malware do konkretnych kampanii – od nazwy aplikacji i ikony po zestaw funkcji czy konfigurację komunikacji. Analiza ujawniła także przygotowania do wdrożenia modułu Cryptor, którego zadaniem będzie utrudnianie wykrywania próbek przez rozwiązania bezpieczeństwa. Stopniowe rozbudowywanie funkcji jest standardowym podejściem wśród współczesnych platform Malware-as-a-Service, szczególnie dopiero rozwijających swoje możliwości i rozpoczynających sprzedaż swoich usług na rynku cyberprzestępczym. 

Kampania jest również interesująca pod kątem jej celu. W przeciwieństwie do wielu mobilnych zagrożeń rozprzestrzenianych globalnie, w tym przypadku przygotowano infrastrukturę wyraźnie ukierunkowaną na polskich użytkowników. Obejmuje to zarówno nazwę fałszywej usługi, jak i język wykorzystany na stronie internetowej oraz scenariusz socjotechniczny. Pokazuje to, że Polska została jedynym lub jednym z niewielu celów operacji, a nie wyłącznie przypadkowym odbiorcą globalnych kampanii organizowanych na masową skalę. 

Rys. Zrzut ekranu z wyszukiwarki Google wraz z “Przeglądem od AI” rekomendującym skorzystanie z fałszywej strony. 

Patrząc szerzej

Przypadek Glitch SPY wpisuje się w szerszy trend obserwowany na rynku zagrożeń mobilnych. Dominujące przez lata bankery Android coraz częściej ustępują miejsca wielofunkcyjnym platformom zdalnego dostępu. Tego typu malware pozwala operatorowi elastycznie decydować o sposobie monetyzacji infekcji – od kradzieży danych logowania i przejmowania kont, przez oszustwa finansowe, po wyłudzanie kryptowalut. Rozbudowana architektura modułowa sprawia również, że nowe funkcjonalności mogą być dodawane bez konieczności przebudowy całego projektu.  

Z perspektywy użytkowników podstawową rekomendacją pozostaje instalowanie aplikacji wyłącznie z oficjalnych sklepów oraz zachowanie szczególnej ostrożności wobec plików APK pobieranych z witryn internetowych. Dodatkowym sygnałem ostrzegawczym powinny być żądania włączenia instalacji z nieznanych źródeł oraz przyznania uprawnień usług dostępności aplikacjom, które nie mają uzasadnionej potrzeby korzystania z takich mechanizmów. W tym przypadku metoda docierania do ofiar nie jest znana, ale zalecamy szczególną ostrożność w stosunku do reklam w mediach społecznościowych i odpowiedzi zwracanych przez wyszukiwarki internetowe lub chaty wspierane LLM. 

W ramach CERT Orange Polska uważnie śledzimy zagrożenia dla polskich internautów i z pomocą CyberTarczy chronimy przed znaną i nową złośliwą aktywnością, a stosowne działania podjęliśmy także i w tym przypadku. 

Więcej informacji:  
https://cyble.com/blog/glitch-spy-rat-distributed-via-fake-polish-app/ 

Telco

Sprawa NetNut i Popa – residential proxy na celowniku

• W czerwcu w mediach pojawiły się informacje o platformie NetNut oferującej residential proxy oraz jej powiązaniach z botnetem Popa i Vo1d.
• 2 lipca Google poinformowało o skoordynowanej akcji wymierzonej właśnie w tę usługę oraz dodatkowych działaniach podjętych, by zapobiegać kolejnym infekcjom.
• Residential proxy to istotny temat dla konsumentów technologii oraz przedmiot dyskusji z zakresu świadomej zgody na warunki użytkowania usług lub urządzeń.

Na początku lipca FBI, przy wsparciu Google, Lumen, Shadowserver oraz innych partnerów branżowych, przejęło setki domen wykorzystywanych przez platformę NetNut oraz powiązany z nią botnet Popa. Informacja o działaniach organów ścigania przyszła niedługo po opublikowaniu ustaleń badaczy Qurium, Synthient, Nokia Deepfield oraz Briana Krebsa, którzy przedstawili techniczne dowody wskazujące na ścisłe powiązania pomiędzy komercyjną usługą residential proxy a infrastrukturą wykorzystywaną przez miliony zainfekowanych urządzeń. Równolegle Google Threat Intelligence Group poinformował o własnych działaniach wymierzonych w zaplecze NetNut, wskazując, że z infrastruktury tej korzystały setki grup cyberprzestępczych oraz aktorów prowadzących operacje szpiegowskie. 

Model działania botnetu Popa opierał się na budowaniu rozproszonej sieci urządzeń pełniących funkcję węzłów proxy. Po przejęciu kontroli nad urządzeniem malware utrzymywał trwały kanał komunikacyjny i umożliwiał przekazywanie przez nie ruchu sieciowego innych użytkowników. W praktyce oznaczało to, że aktywność cyberprzestępców mogła być realizowana z adresów IP należących do zwykłych użytkowników, znacząco utrudniając identyfikację sprawców i obchodząc mechanizmy wykrywania nadużyć. 

Według ustaleń badaczy znaczną część infrastruktury tworzyły nieoficjalne urządzenia z Android TV oraz tanie przystawki multimedialne sprzedawane pod dziesiątkami różnych marek. Część z nich zawierała złośliwe komponenty już na etapie sprzedaży, w innych infekcja następowała poprzez instalację nieoficjalnych aplikacji do streamingu, odtwarzaczy multimedialnych, klientów VPN czy zmodyfikowanego oprogramowania. W efekcie właściciel urządzenia często nie miał świadomości, że jego domowa sieć stała się elementem komercyjnej infrastruktury proxy wykorzystywanej przez podmioty trzecie. 

Największe kontrowersje wywołały jednak ustalenia dotyczące powiązań Popa z NetNut – komercyjną platformą residential proxy należącą do izraelskiej spółki Alarum Technologies. Badacze wskazali szereg zależności technicznych, organizacyjnych i infrastrukturalnych, obejmujących wspólne domeny, komponenty SDK oraz elementy zaplecza administracyjnego. Alarum konsekwentnie odrzuca przedstawione zarzuty, utrzymując, że oferowane rozwiązania opierają się na mechanizmie świadomej zgody użytkownika, a wykorzystywane wcześniej komponenty mogły zostać zmodyfikowane przez podmioty trzecie. Niezależnie od stanowiska spółki działania FBI oraz Google pokazują, że zgromadzony materiał dowodowy został uznany za wystarczający do przeprowadzenia szeroko zakrojonej operacji wymierzonej w infrastrukturę NetNut. 

Google oznaczyło i usunęło aplikacje związane ze SDK NetNut za pomocą wbudowanego w systemy Android Google Play Protect i zobowiązało się do chronienia użytkowników przed tym zagrożeniem w przyszłości. Firma poinformowała, że tylko w jednym tygodniu czerwca zaobserwował 316 odrębnych klastrów zagrożeń wykorzystujących węzły NetNut do ukrywania źródła ruchu, prowadzenia kampanii password spraying, przejmowania kont oraz działań szpiegowskich. Skala wykorzystania tej infrastruktury pokazuje, że residential proxy są jednym z podstawowych elementów zaplecza współczesnej cyberprzestępczości, porównywalnym pod względem znaczenia z usługami bulletproof hostingu czy anonimowymi dostawcami VPS.

Patrząc szerzej

Temat ten dobrze wpisuje się również w obserwacje przedstawione w naszym czerwcowym Krajobrazie Zagrożeń. Nieustannie zwracamy uwagę na rosnące znaczenie zagrożeń wymierzonych w urządzenia Internetu Rzeczy (IoT) oraz sprzęt konsumencki, które coraz częściej stają się elementem infrastruktury wykorzystywanej przez grupy cyberprzestępcze. Przejęte Smart TV, przystawki multimedialne czy inne urządzenia oparte na Androidzie pełnią funkcję trwałych zasobów infrastrukturalnych wykorzystywanych przez wiele niezależnych podmiotów do zróżnicowanych celów o różnych intencjach. Wiąże się to z potencjalnymi konsekwencjami, o których warto pamiętać. 

Z perspektywy użytkowników oznacza to konieczność zwracania znacznie większej uwagi na pochodzenie kupowanych urządzeń oraz instalowanego oprogramowania. Tanie przystawki pochodzące spoza oficjalnych kanałów dystrybucji, urządzenia z odblokowanym systemem czy aplikacje pobierane z niezweryfikowanych źródeł mogą stać się punktem wejścia do całej sieci domowej. Z perspektywy cyberbezpieczeństwa organizacyjnego warto pamiętać, że adres IP użytkownika domowego coraz częściej nie świadczy o rzeczywistym źródle ataku, lecz o tym, że jego urządzenie mogło zostać wcześniej włączone do infrastruktury wykorzystywanej przez cyberprzestępców. 

Więcej informacji:
https://cloud.google.com/blog/topics/threat-intelligence/google-continued-disruption-residential-proxy-networks/  
https://www.linkedin.com/pulse/maintaining-pressure-malicious-proxies-blacklotuslabs-pl35e/  
https://krebsonsecurity.com/2026/06/popa-botnet-linked-to-publicly-traded-israeli-firm/