W najnowszym wydaniu „Krajobrazu zagrożeń” łączymy śledztwo i praktykę: analizujemy konsekwencje długotrwałej kompromitacji F5 przypisywane UNC5221, wskazujemy konkretne kroki łagodzące oraz mechanikę ryzyka dla łańcucha dostaw oprogramowania. Przyglądamy się też zmianom w arsenale Lazarusa, które redefiniują ataki supply-chain i komunikację C2 oraz opisujemy GlassWorm – pierwszego samoreplikującego się robaka uderzającego w ekosystemy deweloperskie. Dodatkowo: przegląd cyberprzestępczości, oszustw i krytycznych CVE tygodnia – wszystko z praktycznymi wskazówkami dla SOC oraz CTI i priorytetami do wdrożenia jeszcze dziś.

Na skróty:

1. Temat tygodnia: F5 pod atakiem: analiza incydentu UNC5221 i rekomendacje działań.
2. Zaawansowane zagrożenia: Co nowego w Lazarusie?
3. Cybercrime: DarkConvenant – rosyjska cyberprzestępczość i aparat państwowy.
4. Oszustwa i podszycia: Jak się miewa Lumma Stealer?
5. Cyberwar: Fast pass do infrastruktury, czyli współpraca chińskich grup APT.
6. Złośliwe oprogramowanie: Glassworm – cyfrowy robak w środowisku deweloperskim.
7. CVE Tygodnia: WSUS – podatność i ataki.

Temat tygodnia

F5 pod atakiem: analiza incydentu UNC5221 i rekomendacje działań.

W połowie października 2025 roku firma F5 ogłosiła, że od ponad roku jej wewnętrzne systemy zostały skompromitowane przez wysoce zaawansowanego, państwowego aktora cybernetycznego, prawdopodobnie chiński zespół UNC5221. Incydent został wykryty 9 sierpnia 2025 roku, a atak objął głównie środowisko deweloperskie F5, w tym dostęp do kodu źródłowego produktów BIG-IP oraz informacje o wcześniej nieujawnionych lukach bezpieczeństwa. Atak ten jest szczególnie niebezpieczny ze względu na długotrwały charakter dostępu i możliwość eksfiltracji poufnych danych klientów, w tym konfiguracji systemów i szczegółów wdrożeń.

W odpowiedzi na incydent, F5 opublikowało w październiku zestaw krytycznych poprawek bezpieczeństwa, obejmujących 27 podatności wysokiego ryzyka. Najpilniejszą kwestią są CVE-2025-53868, CVE-2025-61955 oraz CVE-2025-57780. CVE-2025-53868 umożliwia atakującemu zdalnemu wykonanie poleceń SCP/SFTP i obejście restrykcji trybu Appliance w wersjach 15.x-17.x. CVE-2025-61955 i CVE-2025-57780 to luki eskalacji uprawnień w F5OS-A i F5OS-C, pozwalające uwierzytelnionemu użytkownikowi obejść ograniczenia trybu Appliance. Dodatkowo, inne podatności, takie jak CVE-2025-61958 i CVE-2025-59481, dotyczą ucieczek z sandboxa w trybie Appliance, ale wymagają już uprzywilejowanego dostępu administracyjnego.

F5 dostarczyło klientom prywatnie przewodnik do poszukiwania zagrożeń (Threat Hunting skupiony na środowisku wirtualizacyjnym) wraz z przykładowym skryptem Python, który umożliwia wykrywanie obecności malware BRICKSTORM w środowiskach vSphere. Malware ten był wcześniej wykorzystywany w atakach grupy UNC5221, m.in. w 2024 roku w atakach zero-day na systemy Ivanti. Techniki obserwowane w sieciach zaatakowanych tym malware obejmują klonowanie maszyn wirtualnych w vCenter (tzw. VirtualGHOST), tworzenie i usuwanie kont lokalnych w vCenter/ESXi, wykrywanie backdoorów w systemie plików vCenter oraz nietypowy ruch sieciowy na portach 9999 i 10022.

Pomimo, że obecnie nie ma dowodów na wykorzystanie nieujawnionych podatności przez UNC5221 w tym incydencie, kradzież kodu źródłowego oraz dostęp do poufnych informacji o lukach w zabezpieczeniach stwarza wysokie ryzyko dalszych ataków. W związku z tym eksperci oceniają poziom zagrożenia jako wysoki, zalecając pilne wdrożenie poprawek październikowych oraz rotację certyfikatów i kluczy podpisujących produkty BIG-IP, BIG-IQ i F5OS. Dla klientów, których dane mogły zostać skompromitowane, F5 rozpoczęło kontakt indywidualny. Dotyczy to głównie danych pochodzących z przypadków wsparcia technicznego, które były przechowywane w skompromitowanym środowisku deweloperskim.

Atak ten uderza w sedno ryzyka związanego z kompromitacją dostawcy – konsekwencje dla klientów mogą być poważne nawet wtedy, gdy ich urządzenia nie zostały bezpośrednio naruszone. Gdy przez ponad rok atakujący miał wgląd w proces wytwarzania oprogramowania dla appliance BIG‑IP, nawet pozornie drobne zmiany w kodzie mogą stać się ukrytą furtką umożliwiającą dostęp do sieci organizacji. Fakt, że urządzenia te działają na krawędzi sieci (między światem publicznym a infrastrukturą wewnętrzną), sprawia, że są wyjątkowo atrakcyjnym celem – modyfikacja jednego komponentu może otworzyć drogę do eskalacji, persistent presence i późniejszej eksfiltracji danych.

Dla zespołów SOC i CTI priorytetem musi być połączenie błyskawicznej reakcji z dokładną retrospektywną analizą: natychmiastowa aktualizacja i rotacja kluczy, intensywne polowanie na ślady klonowania VM, nieautoryzowanych kont i nieznanych binariów, oraz korelacja nietypowego ruchy wychodzącego i sesji SSH z telemetrią stacji końcowych oraz sieci. W praktyce oznacza to uruchomienie przyspieszonego procesu Threat Huntingu w środowiskach wirtualizacji, wzbogacenie reguł detekcji o behawioralne wzorce oraz weryfikację wyników skanerów manualnym śledztwem. Tylko takie, skoordynowane działanie – szybkie, ale jednocześnie systematyczne – da szansę na wykrycie ukrytej obecności, usunięcie backdoorów i znaczące ograniczenie możliwości wykorzystania wykradzionych informacji w kolejnych operacjach przeciwnika.

Więcej informacji:

https://my.f5.com/manage/s/article/K000154696
https://my.f5.com/manage/s/article/K000156572
https://www.ncsc.gov.uk/news/confirmed-compromise-f5-network

Wybrane zagrożenia tygodnia

Zaawansowane zagrożenia

Co nowego w Lazarusie?

Lazarus, szeroko znany również pod nazwami HIDDEN COBRA, APT38, Guardians of Peace, Labyrinth Chollima czy BlueNoroff, to północnokoreańska grupa APT prowadząca od ponad 15 lat operacje na styku cyberwywiadu, sabotażu i finansowania reżimu KRLD. Pierwsze głośne działania przypisywane tej grupie – atak na Sony Pictures z 2014 roku – ujawniły agresywne podejście aktora. Od tego czasu Lazarus przeszedł ewolucję taktyczną, integrując techniki supply-chain, blockchainowe kanały C2 i trojanizację popularnych narzędzi open-source.

Najbardziej widoczną zmianą jest masowe przejście w stronę ataków supply-chain oraz zdecentralizowanej infrastruktury C2. W kampanii Contagious Interview, aktywnej od 2022 roku, Lazarus podszywa się pod rekruterów i oferuje fałszywe projekty IT, które zawierają złośliwe paczki npm lub PyPI. W 2025 roku badacze odnotowali ponad 338 trojanizowanych pakietów, które zebrały dziesiątki tysięcy pobrań. Te biblioteki dystrybuowały m.in. BeaverTail i OtterCookie – wysoce obfuskowane infostealery działające w JavaScript, komunikujące się z C2 poprzez WebSocket. Nowsze wersje OtterCookie zostały wzbogacone o moduły keyloggera i zrzutu ekranu, wskazując na konwergencję z innymi rodzinami Lazarusa.

Kolejnym innowacyjnym elementem jest EtherHiding – technika, w której blockchain (Ethereum, Solana) wykorzystywany jest jako nośnik dla zaszyfrowanych payloadów. Dzięki użyciu publicznych wywołań JSON-RPC (np. eth_getStorageAt) operatorzy Lazarusa uzyskują dostęp do pierwszych etapów malware w sposób niemożliwy do wyłączenia, trwały i niewidoczny w klasycznym ruchu sieciowym. To rzadkość wśród grup APT i przykład agresywnej innowacji.

Arsenał grupy wzbogacił się również o nowe implanty i loadery:

• PyLangGhost – lekki loader w Pythonie uruchamiany przez łańcuch curl–zip–wscript, pozwalający na trwałe przejęcie systemu.
• BinMergeLoader – stosowany w kampaniach wymierzonych w sektor UAV, działający w pamięci i komunikujący się przez Microsoft Graph API.
• HexEval i XORIndex – nowe loadery dystrybuowane w paczkach npm, które dynamicznie pobierają BeaverTail, zamiast zawierać go w kodzie. W połowie 2025 roku odnotowano tysiące pobrań bibliotek zawierających te mechanizmy.
• WeaselStore, Tropidoor i AkdoorTea – świeże backdoory i infostealery opisane przez ESET i Mandiant, wskazujące na szybkie tempo rozwoju warsztatu Lazarusa.

Ważnym wektorem działań stała się także infiltracja środowisk deweloperskich poprzez fałszywych kontraktorów IT. Podszywając się pod specjalistów AI i open-source, Lazarus oferował kod z backdoorami, umożliwiający nie tylko eksfiltrację danych, ale też długotrwałe utrzymanie dostępu do strategicznych repozytoriów.

Lazarus nie tylko utrzymuje swoją aktywność, ale wręcz redefiniuje sposób prowadzenia operacji APT. Zamiast pojedynczych implantów i spearphishingów obserwujemy dziś całe ekosystemy: trojanizowane open-source, blockchainowe kanały C2, fałszywych IT-workerów i rebrandowane malware. Całościowo, arsenał Lazarusa wyróżnia się dużą dynamiką i zdolnością adaptacji do zmieniających się warunków operacyjnych. Grupa konsekwentnie stosuje rebranding własnych narzędzi – przykładem jest transformacja VSingle w YamaBot czy ewolucja DTrack w kolejne, coraz bardziej zaawansowane warianty – co pozwala jej utrudniać śledzenie i korelację kampanii. Jednocześnie Lazarus szeroko wykorzystuje usługi i protokoły określane jako „living-off-the-web”, takie jak Microsoft Graph API, wtyczki WordPress czy mechanizmy blockchain RPC, dzięki czemu może ukrywać swoją aktywność w legalnym ruchu sieciowym i minimalizować ryzyko wykrycia. Istotnym elementem taktyki stały się także masowe ataki supply-chain, obejmujące złośliwe paczki npm, PyPI czy trojanizowane projekty open-source, które otwierają drogę do kompromitacji środowisk deweloperskich i dystrybucji malware na dużą skalę. W zakresie komunikacji C2 Lazarus wykorzystuje proxy i wielopoziomowe trasy połączeń, opierając się na routerach SOHO, serwerach VPS oraz węzłach blockchain, co dodatkowo komplikuje atrybucję i utrudnia blokowanie infrastruktury. Całość dopełnia łączenie celów finansowych i wywiadowczych w ramach tych samych operacji, co sprawia, że działania grupy są jednocześnie źródłem dochodu dla reżimu północnokoreańskiego oraz narzędziem do pozyskiwania strategicznych informacji wojskowych i technologicznych.

Dla zachowania bezpieczeństwa kluczowe jest dostosowanie detekcji do tych zmian: monitorowanie anomalii w procesach deweloperskich (np. postinstall scripts w npm), analiza ruchu JSON-RPC z endpointów, wykrywanie nadużyć Graph API oraz weryfikacja kontraktorów i kodu open-source. Brak adaptacji w tym obszarze oznacza ryzyko kompromitacji nawet przy braku klasycznych wektorów ataku.

Więcej informacji:

https://socket.dev/blog/north-korea-contagious-interview-campaign-338-malicious-npm-packages
https://www.virusbulletin.com/uploads/pdf/conference/vb2025/papers/DeceptiveDevelopment-and-North-Korean-IT-workers-from-primitive-crypto-theft-to-sophisticated-AI-based-deception.pdf
https://cloud.google.com/blog/topics/threat-intelligence/dprk-adopts-etherhiding
https://www.welivesecurity.com/en/eset-research/gotta-fly-lazarus-targets-uav-sector/

Cybercrime

DarkConvenant – rosyjska cyberprzestępczość i aparat państwowy.

Koncepcja „Dark Covenant” została po raz pierwszy opisana w 2021 roku przez Recorded Future i odnosiła się do sieci relacji łączących rosyjskie podziemie cyberprzestępcze z aparatem państwowym – od bezpośrednich powiązań z wywiadem, przez pośrednie afiliacje, po milczące przyzwolenie. Druga edycja raportu (2023) pokazała, że po inwazji na Ukrainę wiele grup otwarcie deklarowało lojalność wobec Kremla, inne się rozpadały, a cyberprzestępcy zaczęli pełnić rolę „haktywistycznych” pomocników w operacjach informacyjnych.

W obu przypadkach sednem był pragmatyczny układ: państwo rekrutuje talenty, gdy są potrzebne, przymyka oko, gdy działalność wspiera jego interesy, a egzekwuje prawo tylko wtedy, gdy aktywność staje się politycznie kosztowna.

W maju 2024 Europol i partnerzy ogłosili start Operacji Endgame, wymierzonej w ransomware i sieci botnetów dystrybuujących złośliwe oprogramowanie. Akcję podzielono na dwie fazy (2024 i 2025), a jej celem były m.in. IcedID, Pikabot, Bumblebee, Trickbot, Qakbot, Emotet, a także usługi prania pieniędzy takie jak Cryptex, PM2BTC, UAPS. W działaniach zastosowano nie tylko przejęcia infrastruktury, ale też kampanię psychologiczną – publikując wideo z ostrzeżeniami dla operatorów i afiliantów. W odpowiedzi Rosja zaczęła prowadzić politykę, którą badacze określają mianem „kontrolowanej bezkarności”. Oznacza to, że władze stosują selektywną egzekucję prawa – dokonują pokazowych aresztowań i konfiskat, ale jednocześnie chronią te grupy i osoby, które są dla nich strategicznie użyteczne, na przykład zapewniają dane wywiadowcze lub mogą być wykorzystane jako instrument nacisku na Zachód.

Przykładem tej selektywności były działania wobec usług Cryptex i UAPS – rosyjskich giełd kryptowalutowych obsługujących pranie pieniędzy z działalności ransomware. We wrześniu 2024 roku zatrzymano ponad sto osób powiązanych z tymi platformami, a w mediach państwowych szeroko relacjonowano zdjęcia skonfiskowanej gotówki i luksusowych dóbr. Tymczasem wobec członków grup Conti czy Trickbot, którzy od dawna pozostają w orbicie zainteresowania międzynarodowych organów ścigania, działania rosyjskich władz były symboliczne i ograniczały się do krótkich zatrzymań czy postępowań bez realnych wyroków. To wyraźnie pokazuje asymetrię – warstwy monetyzacji i infrastruktury można poświęcić, ale rdzeń grup powiązanych z rosyjskimi służbami bezpieczeństwa jest nietykalny.
Konsekwencje dla rosyjskiego podziemia są daleko idące. Zaufanie wewnętrzne ulega erozji, a afilianci coraz częściej skarżą się na brak wypłat, oszustwa i manipulacje ze strony operatorów. W efekcie tradycyjne mechanizmy budowania reputacji, takie jak vouching na forach, tracą znaczenie. Zamiast tego pojawiły się bardziej sformalizowane mechanizmy selekcji. Coraz większe znaczenie zyskują prywatni brokerzy, escrow services oraz invite managerowie. To oni decydują, kto może dołączyć do danej grupy, weryfikują nowych uczestników, a także przechowują depozyty, które pełnią rolę zabezpieczenia przed oszustwem. W praktyce oznacza to, że dostęp do rynku staje się coraz bardziej selekcjonowany i zamknięty. Afilianci muszą wykazać się aktywnością, a brak działań przez kilka dni czy tygodni skutkuje usunięciem z programu. Zaufanie oparte na słowie i reputacji zostało zastąpione finansowym „dowodem życia”.

Ta ewolucja przekłada się także na techniczną stronę działania podziemia. Publiczne fora, takie jak Exploit czy XSS, oraz ogólnodostępne kanały Telegramu tracą znaczenie jako miejsca otwartej rekrutacji i handlu. Zamiast tego obserwujemy migrację do bardziej prywatnych i zdecentralizowanych platform – Session, Jabber/XMPP, Tox, a także zamkniętych serwerów Discord czy prywatnych grup Telegram z selektywnymi zaproszeniami. To zjawisko zwiększa koszty wejścia i utrudnia infiltrację, ale jednocześnie fragmentuje ekosystem, utrudniając jego uczestnikom wzajemne zaufanie i współpracę.

Kolejnym ważnym zjawiskiem jest rebranding. W przeszłości grupy przestępcze budowały swoją markę, by zyskać rozpoznawalność i prestiż wśród ofiar oraz społeczności podziemnej. Dziś rebranding staje się narzędziem przetrwania. Grupa Royal po uderzeniu w jej infrastrukturę zmieniła nazwę na BlackSuit, a później na Chaos. Podobnie dzieje się z usługami hostingowymi – dostawcy tacy jak Aeza, Stark Industries czy inni tworzą struktury dualne, przenosząc część infrastruktury za granicę (np. do Serbii), ale pozostawiając finanse i ochronę w Rosji. Zmiany nazw i struktur mają utrudnić analitykom śledzenie ciągłości działań, rozmyć odpowiedzialność i zmniejszyć presję.

Dla operatorów ransomware transformacja oznacza także potrzebę ciągłego dostosowywania modeli biznesowych. Klasyczne kampanie ransomware uzupełniane są o techniki triple extortion – groźby DDoS, telefony do ofiar, kampanie medialne. Grupy oferują także dodatkowe usługi, jak „call lawyer”, czyli pakiet obsługi prawnej i PR, mający zwiększyć presję na ofiary poprzez groźby procesów i nagłośnienia sprawy w mediach. Inne programy afiliacyjne zaczynają przypominać modele inwestycyjne, w których afilianci muszą wnosić „kapitał ryzyka”, a ich wynagrodzenie zależy od wartości ofiar, które wprowadzają do programu.
Te zmiany zachodzą równolegle do reakcji Zachodu, która również jest coraz bardziej zdecydowana. W Stanach Zjednoczonych wprowadzono rozporządzenia ograniczające możliwość płacenia okupów i nakładające obowiązek raportowania incydentów. Australia zobowiązuje firmy do zgłaszania okupów w ciągu 72 godzin. Wielka Brytania konsultuje całkowity zakaz płacenia okupów w sektorze publicznym. Japonia poszła o krok dalej i przyjęła ustawę o aktywnej cyberobronie, pozwalającą na ofensywne operacje wymierzone w serwery przeciwników jeszcze przed rozpoczęciem ataków. Takie działania oznaczają, że ekosystem ransomware musi działać pod rosnącą presją – zarówno wewnętrzną, jak i zewnętrzną.

Rosja, z jednej strony poddawana jest coraz większym naciskom dyplomatycznym i prawnym, a z drugiej stara się zachować strategiczną wartość swojego podziemia. W praktyce oznacza to, że ekosystem cyberprzestępczy przestaje być jednolitym „bezpiecznym rajem” i staje się zarządzanym rynkiem, gdzie interes państwa, a nie prawo, decyduje o tym, kto zostaje objęty ochroną, a kto zostaje poświęcony.

Podsumowując, rosyjska cyberprzestępczość w latach 2024–2025 weszła w nową fazę. Operacja Endgame naruszyła fundamenty ekosystemu, ale nie doprowadziła do jego upadku. Zamiast tego wymusiła adaptację: fragmentację, rebranding, migrację do zamkniętych kanałów, wprowadzenie depozytów i nowych modeli biznesowych. Erozja zaufania i proliferacja fałszywych grup zmieniają dynamikę, ale nie hamują aktywności. Rdzeń operatorów powiązanych z państwem pozostaje chroniony, a ich działalność nadal stanowi narzędzie w politycznym arsenale Kremla.

Dla zespołów bezpieczeństwa oznacza to konieczność zmiany podejścia. Sama walka z poszczególnymi grupami czy wariantami ransomware nie przynosi trwałych efektów. Kluczem jest uderzanie w mechanizmy ochrony i ekonomii, które pozwalają tym grupom przetrwać: w usługi prania pieniędzy, dostawców infrastruktury, pośredników finansowych i polityczne kanały ochrony. Tylko poprzez podniesienie kosztu ochrony i zmniejszanie wartości strategicznej cyberprzestępców możliwe jest realne ograniczenie zagrożenia. W przeciwnym razie rosyjski podziemny rynek będzie się dalej adaptował, pozostając źródłem globalnego zagrożenia.

Więcej informacji:

https://www.recordedfuture.com/research/dark-covenant-3-controlled-impunity-and-russias-cybercriminals

Oszustwa i podszycia

Jak się miewa Lumma Stealer?

Analitycy nie spuszczają z oczu złośliwego oprogramowania i jego twórców, nawet jeżeli służby lub sami przestępcy zapewniają o zakłóceniu działalności, a nawet jej zakończeniu. Aktualizacje Lumma Stealera są nadal monitorowane w celu dostosowania zabezpieczeń do zmian w zachowaniu tego malware, a aktywność twórców oraz powiązanych środowisk wciąż jest istotnym wątkiem mogącym wyjaśnić fluktuacje w częstotliwości pojawiania się go w atakach.

W ostatnim czasie zauważyliśmy stopniowy spadek liczby nowych próbek Lumma Stealera widocznych w atakach i podobnymi obserwacjami podzieliła się firma TrendMicro. Opisali jak doxxing operatorów, czyli ujawnienie tożsamości, danych osobowych i przy okazji wielu innych informacji na ich temat, mógł wpłynąć znacząco na osłabienie pozycji tego malware na rynku Malware-as-a-Service. W tym przypadku doxxing odbywał się już od sierpnia za pośrednictwem strony „Lumma Rats”, gdzie w ramach akcji organizowanej prawdopodobnie przez przestępczą konkurencję, pojawiały się regularnie informacje na temat osób powiązanych z Lummą. Były to między innymi osoby odpowiedzialne za administrację i zarządzanie działalnością, deweloperzy zajmujący się stroną techniczną, w tym rozwojem crypterów i obfuskacją oraz zidentyfikowani członkowie grupy, których role nie są znane. Poza danymi osobowymi pojawiały się tam także hasła dostępowe i profile w mediach społecznościowych pięciu operatorów. We wrześniu operatorzy Lumma Stealera poinformowali na forum przestępczym o przejęciu ich kont na Telegramie oraz przestrzegali przed kontaktem z aktualnymi właścicielami nazwy.

TrendMicro od początku września obserwuje mniej stacji zainfekowanych tym stealerem oraz spadek potwierdzonej liczby nowych adresów Command & Control. Jednak rynek nie znosi próżni, proporcjonalne wzrosty zanotowały inne stealery – StealC oraz Vidar. Według analizy CheckPoint jedna z kampanii, opierająca się na publikowaniu filmów „instruktażowych” na YouTube demonstrujących instrukcje instalacji hacków, modów lub cracków do gier wraz z linkiem do pobrania plików (w rzeczywistości złośliwych) trwa już co najmniej dwa lata i jej skala nie maleje. Wcześniej regularnie wykorzystywał Lumma Stealera (co opisywaliśmy na łamach naszego bloga), ale obecnie wykonanie instrukcji atakujących skutkuje infekcją malware Rhadamanthys. Co ciekawe Amadey, botnet z funkcjami loadera działający w modelu pay-per-install, zanotował spadki w statystykach firmy TrendMicro, ponieważ jednym z częściej instalowanych dodatkowych payloadów była właśnie Lumma.
W przypadku dalszych problemów operatorów Lumma Stealera spodziewamy się częstszego wykorzystania w atakach usług ich konkurencji, ponieważ stealery w modelu MaaS to lukratywny przestępczy biznes wiążący się z dużym ryzykiem dla twórców oraz afiliantów, ale także wysokimi zyskami. Jak można zauważyć, nie tylko akcje służb mogę prowadzić do osłabienia kluczowych operatorów malware, ale także działania konkurencji mogą być bezpośrednim powodem utraty klientów oraz zakłócenia działalności. Nie zaprzestajemy obserwacji stałych kampanii niezależnie od złośliwego oprogramowania wykorzystywanego przez atakujących, ale bacznie obserwujemy zmiany w rozwiązaniach Malware-as-a-Service, by rozumieć z jakimi zagrożeniami możemy się mierzyć. Jest to szczególnie ważne w okresach takich zmian jak osłabienie jednego z dostawców, ponieważ nie można wykluczyć także pojawienia sie nowych grup działających w modelu MaaS.

Przypominamy, że wiele infekcji stealerami odbywa się przez pobieranie oraz instalację narzędzi, oprogramowania, gier lub „cracków” z nieoficjalnych źródeł lub scenariusze FakeCaptcha/ClickFix o czym pisaliśmy już wielokrotnie na łamach naszego Krajobrazu. Niezależnie od aktualnych wiodących rozwiązań MaaS, warto pozostać ostrożnym, nie wykonywać komend, których działania nie rozumiemy i pobierać oprogramowanie jedynie z zaufanych źródeł.

Więcej informacji:

https://www.trendmicro.com/pl_pl/research/25/j/the-impact-of-water-kurita-lumma-stealer-doxxing.html
https://open.substack.com/pub/intelinsights/p/mapping-latest-lumma-infrastructure
https://research.checkpoint.com/2025/youtube-ghost-network/

Cyberwar

Fast pass do infrastruktury, czyli współpraca chińskich grup APT.

Analitycy TrendMicro przedstawili zaawansowane formy współpracy między chińskimi grupami APT, a szczególnie Earth Estries i Earth Naga. Celami grup jest krytyczna infrastruktura, a szczególnie sektory rządowy i telekomunikacyjny. Nie ograniczają się do jednego kraju czy kontynentu, ale w ostatnim czasie wybierali cele w regionie Azja-Pacyfik i widać ich wyraźne zainteresowanie Tajwanem. Nie zabrakło także ataku na kraj NATO. Opisywany Premier Pass-as-a-Service przedstawia model działania, w którym Earth Estries jest brokerem dostępu dla Earth Naga, która kontynuuje działania w infrastukturze. Opisywana działalność została opisana na podstawie tegorocznych ataków na rząd w Azji Południowo-Wschodniej, w której udział pierwszej grupy wykracza poza przekazania danych dostępowych i przypomina bardziej oddanie kontroli nad przejętym środowiskiem.

Przytoczony atak rozpoczynał się od wykorzystania podatności w wewnętrznym serwerze webowym i instalacji backdoora CrowDoor. Następnie złośliwe oprogramowanie ShadowPad było dystrybuowane za pośrednictwem Cobalt Strike i wykorzystywano poświadczenia użytkowników do przekazywania plików poprzez SMB. W atakach wykorzystywano także Draculoader (shellcode loader), który ładował ostateczny payload (CrowDoor, HEMIGATE lub beacon Cobalt Strike). W dalszej części ataku, na etapie, który można określić mianem post-exploitation, atakujący wykorzystywali AnyDesk, EarthWorm (tunel SOCK5), Blindsight (ogólnodostępne narzędzie umożliwiające dump pamięci LSASS) i personalizowane narzędzie realizujące z dużą dozą prawdopodobieństwa podobne funkcje.