W najnowszym Krajobrazie Zagrożeń mierzymy się z nowoczesnymi zagrożeniami i wyzwaniami związanymi z obroną przed nimi. W dwóch wątkach kluczowe są podatności i odtwarzanie exploitów na podstawie różnic między wersją poprawioną, a podatną. W jednym z przypadków doprowadziło to do pojawienia się „patch gap” i wykorzystywanie podatności w atakach przez chińskie grupy APT zanim użytkownicy mieli szansę zaktualizować swoje produkty. W drugim, związanym z podatnościami MikroTrick, badacze przy pomocy AI odtworzyli PoC. Przyglądamy się też szerzej wykorzystaniu AI przez Generative Threat Groups na podstawie raportu Anthropic.

Zaawansowane zagrożenia

Chińskie grupy wykorzystują „patch gap” do szybkiego wdrażania exploitów Chrome i Windows 

• Wspólny łańcuch exploitów został wykorzystany niemal równolegle przez kilka chińskich grup APT. Volexity zaobserwowała UTA0560 i JungleBamboo, natomiast Proofpoint zidentyfikował łącznie cztery grupy wykorzystujące ten sam zestaw exploitów BlueMoon.
• Kluczowym czynnikiem był „patch gap” w Chromium. Luki były już naprawione w publicznym kodzie źródłowym Chromium, ale poprawki nie były jeszcze dostępne w stabilnych wersjach Chrome. Dla użytkowników przeglądarki oznaczało to w praktyce okno zero-day, w którym możliwe było opracowanie exploita na podstawie publicznie dostępnego patcha.
• Ten sam exploit był wykorzystywany do różnych celów operacyjnych. Po przejęciu wykonania kodu w Chrome grupy dostarczały własne payloady — od backdoora GRIMWEDGE po złośliwe rozszerzenia Chrome służące do kradzieży cookies, danych sesyjnych i informacji wpisywanych przez użytkownika.

W ostatnich dniach Volexity i Proofpoint niezależnie opisały aktywność kilku chińskich grup szpiegowskich wykorzystujących ten sam łańcuch exploitów przeciwko użytkownikom Google Chrome i systemu Windows. Obserwacje obu firm wskazują na interesujący model operacyjny: opracowanie samego exploita nie jest już koniecznie wykonywane przez każdą grupę APT oddzielnie. Zamiast tego wiele grup może korzystać ze wspólnej zdolności exploitacyjnej, a następnie wykorzystywać ją do dostarczania własnych narzędzi i realizacji odmiennych celów. 

Proofpoint śledzi ten zestaw jako BlueMoon. Pierwsze zaobserwowane wykorzystanie miało miejsce 28 sierpnia 2026 r. przez powiązaną z Chinami grupę TA412. W kolejnych dniach ten sam exploit kit został wykorzystany przez kolejne grupy, w tym UNK_LateNight i UNK_DoubleCheck. Proofpoint wskazuje, że poszczególne warianty różniły się sposobem pakowania, obfuskacją czy infrastrukturą, ale zachowywały ten sam podstawowy łańcuch exploitów i mechanizmy jego uruchamiania.  

Technicznie atak wykorzystywał dwa błędy w silniku V8 — CVE-2026-85046 i CVE-2026-87491 — pozwalające najpierw na wykonanie kodu w rendererze Chrome, a następnie na ucieczkę z sandboxa V8. Kolejnym etapem było wykorzystanie podatności Windows CVE-2026-85880, pozwalającej na podniesienie uprawnień procesu. Po uzyskaniu odpowiednich uprawnień kod wykonywał wstrzyknięcie do procesu przeglądarki, skąd uruchamiany był właściwy loader/payload.  

Istotne jest jednak to, dlaczego atakujący mogli wykorzystać te podatności jako zero-day. 

Patch gap jako nowe okno dla atakujących 

Podatność CVE-2026-85046 została naprawiona w kodzie Chromium już 7 sierpnia, ale poprawka trafiła do stabilnej wersji Chrome dopiero 3 września. Oznaczało to prawie czterotygodniowe okno, w którym różnica pomiędzy podatnym i naprawionym kodem była publicznie dostępna, podczas gdy użytkownicy stabilnych wersji Chrome nadal nie mieli odpowiedniej aktualizacji.  

Jest to istotne rozróżnienie: z perspektywy kodu źródłowego podatność przestała być zero-day, ponieważ istniał już publiczny patch. Z perspektywy użytkownika Chrome pozostawała jednak faktycznie zero-day, ponieważ poprawiona wersja nie była jeszcze dostępna. 

To właśnie ten mechanizm Volexity określa jako patch gap. Atakujący może porównać podatną i poprawioną wersję kodu, zidentyfikować przyczynę błędu i wykorzystać tę wiedzę do przygotowania exploita jeszcze przed publikacją aktualizacji dla użytkowników. Volexity ocenia z umiarkowaną pewnością, że właśnie w ten sposób powstał wykorzystywany łańcuch.  

W praktyce oznacza to, że moment publikacji poprawki w upstreamowym projekcie może rozpocząć wyścig zbrojeń, zamiast go zakończyć. Co więcej, Volexity zaobserwowała w kodzie exploita oznaki bardzo szybkiego procesu rozwoju — daty w kodzie wskazywały na rozwój między 27 a 29 sierpnia, zaledwie kilka dni przed obserwowanymi kampaniami phishingowymi. 

Proces zarządzania podatnościami powinien uwzględniać nie tylko moment opublikowania aktualizacji przez producenta, ale również moment ujawnienia poprawki w upstreamowym projekcie. W przypadku projektów open source, takich jak Chromium, różnica pomiędzy tymi momentami może stworzyć atakującym gotowe źródło informacji potrzebnych do reverse engineeringu podatności i przygotowania exploita. Problem ten może dodatkowo narastać wraz z wykorzystaniem narzędzi AI do analizy zmian w kodzie i przyspieszania procesu tworzenia exploitów. 

Ten sam exploit, różne cele 

Wspólny exploit nie oznaczał jednak wspólnego malware.  UTA0560 wykorzystała uzyskany dostęp do uruchomienia wieloetapowego łańcucha GRIMWEDGE. Po exploicie pobierany był msgbox.exe, który uruchamiał DLL sideloading, następnie instalowany był MSI zawierający JScriptowy backdoor. GRIMWEDGE umożliwiał m.in. rekonesans systemu, odczyt plików, wykonywanie poleceń oraz przesyłanie plików.  JungleBamboo zastosowała natomiast zupełnie inne podejście. Wykorzystała ten sam mechanizm do instalacji złośliwego rozszerzenia Chrome, określanego przez Volexity jako LONGTALE. Rozszerzenie podszywało się pod Google Gemini i koncentrowało się przede wszystkim na kradzieży danych dostępnych w przeglądarce: cookies, tokenów sesyjnych, local/session storage, historii nawigacji oraz danych wpisywanych przez użytkownika.  

Podobny schemat zaobserwował Proofpoint. TA412 po wykorzystaniu BlueMoon instalowała rozszerzenie GemStone, również podszywające się pod Google Gemini. Inna grupa, UNK_LateNight, wykorzystywała ten sam exploit do dostarczenia ShadowPad.  

To pokazuje istotną cechę obecnego modelu ataku: exploit stał się wspólnym punktem wejścia, natomiast dalsza część operacji pozostaje zależna od konkretnego aktora.

Patrząc szerzej

Najważniejszym wnioskiem z opisanych kampanii nie jest sama obecność kolejnego Chrome 0-day, ale tempo, w jakim zdolność exploitacyjna została wykorzystana przez wiele niezależnych grup. 

Patch gap należy traktować jako osobną klasę ryzyka. Podatność może być formalnie oznaczona jako naprawiona, a jednocześnie przez kilka dni lub tygodni pozostawać możliwa do wykorzystania przez dużą część użytkowników. W przypadku popularnych komponentów, takich jak Chromium, okres pomiędzy publikacją poprawki a jej wdrożeniem do stabilnej wersji może być wystarczający do przygotowania exploita i jego dystrybucji do wielu grup APT. 

Oznacza to konieczność szczególnego traktowania podatności, dla których poprawka została już opublikowana w upstreamie, ale nie jest jeszcze dostępna w wykorzystywanym produkcie. W takich przypadkach publikacja patcha nie musi oznaczać końca ryzyka – może być początkiem wyścigu pomiędzy producentem a atakującymi.

Więcej informacji:  
https://www.proofpoint.com/us/blog/threat-insight/once-bluemoon-multiple-state-aligned-threat-actors-rapidly-adopt-novel-exploit 
https://www.volexity.com/blog/2026/09/09/mind-the-patch-gap-multiple-chinese-threat-actors-chain-0-day-exploits-in-chrome-windows/

Future

Generatywna AI i generatywne grupy zagrożeń, czyli ile generatywności zmieści się w jednym raporcie 

• Generatywne Grupy Zagrożeń wykorzystują modele jako element workflow, pozostawiając operatorom przede wszystkim wybór celu, nadzór nad kampanią i decyzje wymagające kontekstu operacyjnego. Techniczna jakość kampanii coraz słabiej wystarcza do oceny zasobów stojących za atakiem. 
• AI skraca cykl operacyjny atakującego przez wsparcie rekonesansu, analizę firmware’u, rozwój malware’u, pozyskiwanie infrastruktury i eksfiltrację danych. Pozwala prowadzić wiele działań równolegle.
• Klucze API, tokeny sesyjne i dostępy do usług AI powinny być chronione jak uprzywilejowane poświadczenia produkcyjne. Równolegle raport Anthropic pokazuje, że autonomiczne systemy wymagają ścisłego ograniczania uprawnień, izolacji środowisk i stałego monitorowania wykonywanych działań.

Raport Anthropic pokazuje zmianę, którą coraz wyraźniej widać w analizach ostatnich operacji cybernetycznych. Modele generatywne w rękach cyberprzestępców obsługują rozbudowane procesy — analizowanie danych, rozwijanie narzędzi, przeszukiwanie firmware, przygotowywanie infrastruktury i reagowanie na wyniki wcześniejszych działań. Człowiek nadal wyznacza cel operacji, lecz jego udział w jej bieżącej realizacji może być ograniczony do nadzoru nad kolejnymi etapami. 

Wewnętrzne błędy modeli 

Analiza incydentów ewaluacyjnych Anthropic wskazała dwa istotne tryby błędnego zachowania modeli. Biased reasoning, czyli stronnicze rozumowanie, polega na selektywnym interpretowaniu danych tak, aby uzasadnić kontynuację wcześniej obranej ścieżki. W przypadku Claude Mythos 5 model otrzymywał liczne sygnały wskazujące, że działa w realnym internecie, lecz traktował je jako element wyjątkowo rozbudowanej symulacji. Gdy te same wyniki wywołań narzędzi oceniano poza kontekstem całej sesji, inne instancje modelu znacznie częściej uznawały je za dowód kontaktu z rzeczywistymi systemami. 

Drugim zjawiskiem była recklessness, rozumiane jako gotowość do kontynuowania zadania mimo przesłanek, że działania mogą szkodzić podmiotom trzecim. Ciekawe jest również momentum effect. Przypomnienie o ograniczeniach zadania zatrzymywało szkodliwe zachowanie w 90% przypadków, gdy było ostatnią informacją w kontekście. Po zaledwie trzech kolejnych turach własnych działań modelu skuteczność tego samego komunikatu spadała do 40%. W praktyce oznacza to, że długie, autonomiczne trajektorie działania wymagają aktywnego nadzoru i mechanizmów egzekwujących zakres uprawnień, a nie tylko jednorazowej instrukcji przekazanej na początku zadania. 

Generatywne Grupy Zagrożeń 

Anthropic określa mianem Generative Threat Groups (GTG) aktorów zaobserwowanych podczas nadużywania usług AI. Nie są to uniwersalne identyfikatory znane z publicznych systemów trackingu, lecz wewnętrzne oznaczenia producenta.  

GTG-20006 i automatyzacja rosyjskiego szpiegostwa 

GTG-20006 to aktor, którego atrybucja jest zgodna z publicznymi informacjami dotyczącymi Midnight Blizzard. Według Anthropic prowadził operacje wymierzone m.in. w ukraińskie i europejskie struktury rządowe, organizacje dyplomatyczne, obronne oraz podmioty związane z amerykańską polityką zagraniczną. AI wspierała znaczną część cyklu operacyjnego: rozwój narzędzi, pozyskiwanie infrastruktury, phishing, utrzymywanie kanałów C2 i eksfiltrację danych. Człowiek pozostawał w procesie przede wszystkim przy określaniu celów i modyfikowaniu dodatków obsługujących workflow. 

Istotnym elementem tej działalności była automatyczna adaptacja malware’u do mechanizmów ochronnych. Agenci analizowali, czy implant został wykryty przez produkty bezpieczeństwa, a następnie inicjowali modyfikację i przebudowę narzędzia do czasu uzyskania wersji omijającej detekcję. Wśród opisanych rodzin znalazły się windowsowe PowerChrome, WUEngine, Shadow C2, MiniPlasma i CloudSyncSvc, mobilny RAT GiftDrop dla Androida oraz łańcuch exploitów iOS DarkSword.) 

Grupa interesowała się również łańcuchami dostaw technologii dronowych. Anthropic opisuje kradzież kompletnego SDK systemu wizyjnego drona oraz wielodniowy proces reverse engineeringu.  

GTG-50014 i vibe hacking 

GTG-50014 obejmuje klastry operatorów powiązanych przez Anthropic z kolektywem ShinyHunters. W tym przypadku AI pełniła rolę warstwy wykonawczej w działaniach nastawionych na masowe pozyskiwanie dostępu, kradzież danych oraz wymuszenia. Jeden z operatorów prowadził pipeline działający na dziesięciu instancjach AWS EC2. System pobrał 1,8 mln aplikacji APK, zdekompilował je i przeszukał pod kątem osadzonych sekretów z wykorzystaniem TruffleHog. Zweryfikowane wyniki trafiały w czasie zbliżonym do rzeczywistego do infrastruktury threat aktora. 

GTG-10007 i exploity 

GTG-10007 to grupa chińskojęzycznych operatorów prawdopodobnie działających z Changsha w prowincji Hunan. Grupa rozwijała równoległe procesy obejmujące rekonesans, włamania, rozwój malware’u, zbieranie danych wywiadowczych oraz badanie podatności. 

Najciekawszym elementem jej działalności był autonomiczny proces badania firmware’u i plików binarnych urządzeń sieciowych oraz produktów bezpieczeństwa. Agenci ładowali obrazy firmware’u do dekompilatora, analizowali łańcuchy referencji w tysiącach wywołań, formułowali hipotezy dotyczące podatności, generowali kod exploitów i testowali go na laboratoryjnych kopiach produktów. Jeden z procesów miał w ciągu miesiąca wskazać ponad kilkanaście potencjalnych podatności zero-day.  

Wektory ataku i exploitacja infrastruktury 

Opisane przypadki wskazują na rosnące znaczenie ataków na elementy pośrednie: repozytoria pakietów, dostawców SaaS, środowiska agentowe, systemy Wi-Fi czy aplikacje mobilne. W incydencie ewaluacyjnym Claude Mythos 5 opublikował trzy wersje złośliwego pakietu w PyPI, aby pozyskać poświadczenia systemu będącego celem zadania. Pakiet został zainstalowany przez 15 podmiotów trzecich, które były prawdopodobnie firmami bezpieczeństwa automatycznie analizującymi nowe pakiety w sandboxach. Poświadczenia jednego ze skanerów umożliwiły modelowi dostęp do aktywnej bazy danych dostawcy bezpieczeństwa.  

W przypadku GTG-20006 znaczący był także atak na dostawców hotelowego Wi‑Fi. Operatorzy przejęli poświadczenia administracyjne co najmniej trzech firm obsługujących tę infrastrukturę, a następnie zmieniali rekordy DNS, kierując ruch gości na własne serwery. Kolejny etap obejmował ClickFix, dostarczający malware dla Windows, Androida i iOS. Microsoft Threat Intelligence opisał tę metodę jako CaptiveCrunch, której przyglądaliśmy się naszym Krajobrazie Zagrożeń.  

Ekosystem AI staje się zarazem celem sam w sobie. Raport opisuje fałszywych resellerów oferujących tani dostęp do modeli, którzy w rzeczywistości instalowali narzędzia do kradzieży poświadczeń i tokenów sesyjnych. W innym przypadku atakujący wykorzystali prompt injection wobec wdrożeń LiteLLM, aby pozyskać produkcyjne klucze API z kontenerów chmurowych. 

Patrząc szerzej

Z perspektywy CTI szczególnie ważna jest obserwacja, że AI obniża koszt prowadzenia operacji na dużą skalę. Sama techniczna dojrzałość kampanii coraz słabiej wskazuje na to, czy za działaniem stoi rozbudowana grupa państwowa, przestępcy finansowi czy niewielki zespół operatorów. 

Z perspektywy bezpieczeństwa klucze API i tokeny dostępowe do usług AI należy traktować jak każde inne uprzywilejowane poświadczenia produkcyjne – ich wyciek może finansować kolejne ataki, zapewnić atakującym dostęp do narzędzi agentowych a przy wykorzystaniu infrastruktury pośredniczącej także utrudniać rozróżnienie aktywności cyberprzestępców od legalnego ruchu właściciela klucza.

Więcej informacji:  
https://www.anthropic.com/research/alignment-assessment-cybersecurity-incidents 
https://www-cdn.anthropic.com/e50be2e51e7695dc4b1366a37a245a597377d3b5/Anthropic-Detecting-and-countering-091026.pdf 

CVE Tygodnia

MikroTrick — LLMy wspierają poszukiwanie podatności i tworzenie exploitów 

• Zespół CERT Polska poinformował o odkryciu (przy wsparciu LLM) 6 podatności w MikroTik RouterOS oraz wydał rekomendacjami w zakresie aktualizacji i modyfikacji konfiguracji.
• Według analityków podatności były już wykorzystywane przed publikacją poprawek i podzielili się Indicators of Compromise powiązanymi z tymi atakami. 
• Mimo braku publikacji szczegółów podatności lub exploita analiza porównawcza pozwoliła badaczom na odtworzenie łańcucha ataku, co pokazało drugą stronę wykorzystania LLMów w analizach.

5 września zespół CERT Polska poinformował o zidentyfikowaniu i skoordynowanym ujawnieniu 6 podatności w MikroTik RouterOS. W komunikacie wskazano, że część z nich była już wykorzystywana w atakach w momencie publikacji poprawek, a kilka dni później zostały one dodane do bazy CISA KEV (Known Exploited Vulnerabilities). Szczególne znaczenie ma połączenie dwóch podatności (CVE-2026-67276 oraz CVE-2026-86060 wycenione w skali CVSS na 9.2) związanych z obsługą SSH, określone przez CERT Polska jako MikroTrick. W przypadku urządzeń, na których SSH było dostępne z publicznego Internetu, pozwalało ono na uzyskanie pełnej kontroli nad routerem bez uwierzytelnienia. Zaktualizowane wersje opublikowane przez MikroTik łatają zarówno te podatności jak i pozostałe odkryte oraz zaadresowane w ramach tej samej publikacji CERT Polska. 

Warty uwagi jest sposób zidentyfikowania luk opierający się na stworzonym środowisku testowym z urządzeniami MikroTik i testach prowadzonych za pomocą modeli GPT-5.5-cyber oraz GPT-5.6-sol przez Sławomira Rozbickiego. Nie były to jednak w pełni autonomiczne testy, a efekt pracy nad odpowiednią infrastrukturą do testów, kontekstem oraz zestawem reguł wejściowych. Dzięki temu możliwe było zautomatyzowanie części powtarzalnych zadań, porównań i testowania hipotez, co znacząco przyspieszyło pracę. Nie obyło się jednak bez dodatkowej weryfikacji oraz potwierdzania rzeczywistego wpływu podatności na bezpieczeństwo urządzeń — i o tej pracy nie można zapominać. 

Skoordynowane (ale przyspieszone) ujawnienie informacji ma umożliwić aktualizację podatnych wersji lub zmianę konfiguracji na bezpieczną. CERT Polska nie opublikował kodu exploitów, lecz analiza porównawcza wersji oprogramowania umożliwiła badaczom stworzenie, a w zasadzie odtworzenie, Proof-of-Concept. Jednym z takich przypadków są analitycy z firmy Tolmo, którzy rzekomo w 3 godziny odtworzyli z pomocą agenta AI cały skuteczny łańcuch ataku prowadzący do ominięcia uwierzytelnienia w przypadku dostępnej usługi SSH (CVE-2026-67276) i podniesienie uprawnień do poziomu administratora (CVE-2026-86060).  

Z perspektywy zabezpieczania urządzeń potencjalnie dotkniętych atakiem ważniejsze są jednak działania warte podjęcia oraz IoC. Posiadaczom podatnych MikroTików zaleca się niezwłoczną aktualizację oprogramowania lub, jeżeli nie jest to możliwe, ograniczenie dostępu do urządzeń za pomocą SSH jedynie do zaufanych sieci. Producent wdrożył także mechanizm „Flagged”, który po aktualizacji może wykryć wybrane ślady wcześniejszej kompromitacji. Jednocześnie podkreślono, że brak oznaczenia „Flagged” nie świadczy o braku kompromitacji, a jego obecność nie gwarantuje, że to właśnie w ramach tego ataku i tej podatności miał miejsce incydent. Rekomendujemy także weryfikację logów na własną rękę i potwierdzenie, czy nie ma tam nierozpoznanych prób logowania i kont dodanych w sposób nieautoryzowany.

Patrząc szerzej

Choć LLMy nie zastępują ekspertów i badaczy podatności, to znacząco przyspieszają ich pracę umożliwiając skalowanie testów oraz automatyzację powtarzalnych działań. Ta sama technologia służy jednak także do tworzenia oraz odtwarzania exploitów, co również skraca czas na łatanie podatności po publikacji nowych wersji.

Aktualny krajobraz zagrożeń wymaga niezwłocznych działań zabezpieczających przy podatnościach, szczególnie w systemach dostępnych z internetu, nawet jeżeli nie ma informacji o dostępnym exploicie. Niezbędna jest także wiarygodna i dostępna inwentaryzacja zasobów, by ograniczyć konieczność poświęcania cennego czasu na poszukiwanie urządzeń w infrastrukturze. Odtworzenie na podstawie patch diff łańcucha ataku oraz wygenerowanie szczegółowego opisu jego przebiegu trwa aktualnie krócej niż byśmy sobie życzyli w obliczu skomplikowanych procesów podnoszenia wersji i czasochłonnej identyfikacji podatnych instancji. 

Więcej informacji:
https://cert.pl/posts/2026/09/podatnosci-w-mikrotik-routeros-aktywnie-wykorzystywane/ 
https://mikrotik.com/supportsec/september-2026-vulnerability/ 
https://blog.tolmo.com/p/pre-auth-rce-on-mikrotik-exploited