Powiązana z Rosją grupa APT Gamaredon przez cały 2025 rok rozwijała swój zestaw złośliwego oprogramowania, utrzymując silne ukierunkowanie operacyjne na cele w ukraińskiej administracji rządowej i wojsku.
Według ESET Research grupa przeprowadziła 35 odrębnych kampanii spear-phishingowych wymierzonych w nowe cele, przy czym większość aktywności przypadła na drugą połowę roku. ESET twierdzi, że Gamaredon pozostał skoncentrowany wyłącznie na Ukrainie, a jego celem było wykradanie wrażliwych informacji, które mogłyby wspierać rosyjskie interesy w trwającej wojnie. ESET Research
Dlaczego Gamaredon nadal ma znaczenie
Gamaredon nie słynie z wyjątkowo złożonego malware w porównaniu z niektórymi innymi grupami wspieranymi przez państwa.
Jego siłą jest wytrwałość.
Grupa opiera się na częstych aktualizacjach, spear-phishingu na dużą skalę, prostym, ale skutecznym malware oraz pomysłowym nadużywaniu legalnych usług online. Takie połączenie sprawia, że jej kampanie trudno w pełni zakłócić.
W 2025 roku ESET zaobserwował, że Gamaredon rozszerzał swój zestaw narzędzi, usprawniał mechanizmy utrwalania dostępu i ukrywał większą część infrastruktury za usługami podmiotów trzecich, takimi jak tunele, funkcje bezserwerowe (serverless workers), magazyny w chmurze i platformy do wklejania tekstu (paste).
Spear-phishing nadal głównym punktem wejścia
Kampanie Gamaredon w dalszym ciągu w dużej mierze opierają się na spear-phishingu.
Ataki wykorzystują załączniki w postaci archiwów lub pliki XHTML, które stosują technikę HTML smuggling, aby dostarczyć złośliwe downloadery HTA. Te downloadery pobierają następnie dodatkowe ładunki, takie jak PteroSand.
Niektóre kampanie nadużywały też załatanej luki w WinRAR, CVE-2025-8088, aby umieścić złośliwy downloader HTA w folderze Autostart (Startup) systemu Windows ofiary.
Daje to atakującym trwały dostęp.
Gdy użytkownik zaloguje się ponownie, downloader może uruchomić się automatycznie i kontynuować łańcuch przejęcia.
Wykorzystywanie dysków USB i dysków sieciowych jako broni
Gamaredon nadal używa także narzędzi przeznaczonych do ruchu lateralnego.
Weaponizery, takie jak PteroLNK i PteroPaste, infekują dyski USB i dyski sieciowe złośliwymi plikami LNK.
Gdy inny użytkownik otworzy jeden z tych plików, może to uruchomić pobieranie kolejnego malware.
Technika ta jest szczególnie niebezpieczna w środowiskach rządowych i wojskowych, gdzie współdzielone dyski, nośniki wymienne i wewnętrzne obiegi dokumentów mogą nadal być powszechne.
Grupa przywróciła też do użycia PteroSetup, starszy weaponizer w VBScript, po raz pierwszy zaobserwowany w 2021 roku.
PteroSetup skanuje dyski USB i zmapowane dyski sieciowe w poszukiwaniu legalnych plików instalatorów. Gdy je znajdzie, zastępuje je samorozpakowującym się archiwum 7z, zawierającym zarówno oryginalny instalator, jak i złośliwy downloader w VBScript.
Oznacza to, że ofiara może sądzić, że uruchamia zwykły instalator, podczas gdy malware działa w tle.
6️⃣ Sześć nowych narzędzi PowerShell dodanych w 2025 roku
Jedną z największych zmian w aktywności Gamaredon w 2025 roku było wprowadzenie sześciu nowych złośliwych narzędzi PowerShell.
Należą do nich:
- PteroDee: pobiera i wykonuje w pamięci ładunki PowerShell
- PteroCache: pobiera i wykonuje w pamięci ładunki PowerShell
- PteroDum: pobiera i wykonuje w pamięci ładunki VBScript
- PteroOdd: pobiera ładunek PowerShell za pomocą API Telegra.ph
- PteroEffigy: pobiera dane serwera dowodzenia i kontroli (C2) za pomocą GoFile
- PteroPaste: zamienia dyski USB w broń i pobiera dodatkowe ładunki PowerShell przez szyfrowany kanał
ESET opisał PteroPaste jako jeden z bardziej godnych uwagi dodatków, ponieważ łączy wiele funkcji, w tym pobieranie, wykorzystywanie dysków USB jako broni, utrwalanie dostępu i orkiestrację. ESET Research
Rośnie nadużywanie legalnych usług
Kluczowym trendem w operacjach Gamaredon w 2025 roku jest rosnące nadużywanie legalnych platform internetowych.
Zamiast bezpośrednio ujawniać swoją prawdziwą infrastrukturę, grupa coraz częściej używa publicznych usług jako martwych skrzynek (dead drops), mechanizmów rozwiązywania adresów i kanałów eksfiltracji.
Do nadużywanych usług mają należeć:
- Telegra.ph
- Teletype
- Rentry.co
- Write.as
- Dropbox
- GoFile
- DEV Community
- Mastodon
- Lesma
- Nopaste.net
- Paste.ee
- Wasabi
- Tebi
- Intercolo
Takie podejście utrudnia wykrywanie i zakłócanie działań.
Ruch do legalnych usług chmurowych, platform do wklejania tekstu, blogów czy magazynów danych może na pierwszy rzut oka nie wyglądać podejrzanie. Zablokowanie ich wszystkich może być też niepraktyczne dla wielu organizacji.
Daje to Gamaredon większą elastyczność, a zarazem zmusza obrońców do skupienia się na zachowaniu, kontekście, telemetrii punktów końcowych i nietypowych wzorcach dostępu.
Możliwa współpraca z Turlą
Kolejnym istotnym wątkiem jest zgłaszane pokrywanie się działań Gamaredon i Turla, innej rosyjskiej grupy zagrożeń powiązanej z państwem.
ESET informował wcześniej, że narzędzia Gamaredon, takie jak PteroOdd i PteroPaste, były zaangażowane w działania powiązane z operacjami Turla przeciwko ważnym celom na Ukrainie. ESET ocenił z dużą pewnością, że obie grupy powiązane z FSB współpracowały. ESET Research
Ma to znaczenie, ponieważ Gamaredon może zapewniać szeroki początkowy dostęp, podczas gdy bardziej selektywna grupa, taka jak Turla, mogłaby skupić się na najcenniejszych przejętych systemach.
Dla obrońców oznacza to, że nawet pozornie rutynową infekcję Gamaredon należy traktować poważnie.
Może ona stworzyć punkt wejścia dla bardziej zaawansowanych operacji następczych.
Na co powinni zwracać uwagę obrońcy
Organizacje broniące ukraińskich lub powiązanych z Ukrainą instytucji powinny zwracać szczególną uwagę na:
- podejrzane załączniki w postaci archiwów
- pliki XHTML dostarczane pocztą e-mail
- uruchamianie plików HTA
- nietypowe pliki tworzone w folderach Autostart systemu Windows
- PowerShell uruchamiany z nieoczekiwanych lokalizacji
- downloadery w VBScript
- złośliwe pliki LNK na dyskach USB lub sieciowych
- nietypowy dostęp do usług wklejania tekstu, blogów, tuneli lub magazynów w chmurze
- nieoczekiwane połączenia z platformami funkcji bezserwerowych (serverless workers)
- pliki instalatorów zastąpione samorozpakowującymi się archiwami
Kluczem jest monitorowanie zachowania na całej długości łańcucha, a nie tylko nazw poszczególnych rodzin malware.
Gamaredon często zmienia narzędzia, ale jego wzorce operacyjne pozostają rozpoznawalne.
Zalecane działania defensywne
Zespoły bezpieczeństwa powinny w pierwszej kolejności:
- instalować poprawki do WinRAR i innych narzędzi do obsługi archiwów
- blokować podejrzane uruchamianie plików HTA lub generować na nie alerty
- monitorować zmiany w folderze Autostart systemu Windows
- w miarę możliwości ograniczać wykonywanie skryptów
- kontrolować aktywność PowerShell i VBScript
- skanować dyski USB i współdzielone dyski sieciowe pod kątem podejrzanych plików LNK
- stosować zabezpieczenia poczty e-mail dla archiwów i załączników XHTML
- monitorować nietypowe korzystanie z magazynów w chmurze i usług wklejania tekstu
- wykorzystywać detekcje EDR dla łańcuchów wykonania typu living-off-the-land
- uczyć użytkowników ostrożnego podejścia do monitów o pliki, archiwów i nieoczekiwanych instalatorów
Malware Gamaredon może być stosunkowo proste, ale jego wytrwałość i ciągłe dostosowywanie się sprawiają, że jest niebezpieczne.
Podsumowanie
Aktywność Gamaredon w 2025 roku pokazuje, że operacje cybernetyczne wspierane przez państwa nie zawsze potrzebują wyjątkowo wyrafinowanego malware, by pozostać skuteczne.
Grupa nadal opiera się na spear-phishingu, utrwalaniu dostępu, infekowaniu nośników wymiennych, częstych aktualizacjach narzędzi i nadużywaniu legalnych usług.
Jej rosnące wykorzystanie narzędzi PowerShell, magazynów w chmurze, martwych skrzynek, tuneli i infrastruktury bezserwerowej sprawia, że jej operacje są bardziej elastyczne i trudniejsze do zakłócenia.
Dla obrońców wniosek jest jasny: proste malware połączone z wytrwałością, skalą i pomysłowością w zakresie infrastruktury nadal może stanowić poważne zagrożenie dla bezpieczeństwa narodowego.
