Badacze bezpieczeństwa poinformowali o ukierunkowanej kampanii szpiegowskiej, w której nieznani atakujący spędzili co najmniej pięć miesięcy w skrzynce pocztowej Outlook wysokiego rangą kierownika jednej z największych giełd papierów wartościowych na świecie.
Według zespołu Threat Hunter Team firm Symantec i Carbon Black atakujący wielokrotnie kopiowali skrzynkę pocztową kierownika w niewielkich partiach i przesyłali skradzione dane przez zaufane usługi chmurowe, takie jak Dropbox i OneDrive. Działania wydają się skoncentrowane na zbieraniu informacji wywiadowczych, a nie na natychmiastowej kradzieży finansowej.
Organizacja-ofiara i kierownik nie zostali wymienieni z nazwy, ale potencjalna wartość skompromitowanej skrzynki jest oczywista. Skrzynka odbiorcza wysokiego rangą kierownika giełdy może zawierać wysoce wrażliwe informacje, w tym szczegóły dotyczące notowań, sprawy egzekucyjne, rozmowy o transakcjach, plany mogące wpłynąć na rynek, kalendarze, kontakty i wewnętrzną strategię.
Nie był to atak typu „smash-and-grab”. Był cichy, cierpliwy i zaprojektowany tak, by wtopić się w normalną aktywność w chmurze.
Pięć miesięcy cichego dostępu do skrzynki pocztowej
Pierwsza znana złośliwa aktywność pojawiła się 10 października 2025 r.
Już wtedy atakujący uruchamiał dwa pliki binarne z uprawnieniami SYSTEM, czyli najwyższym poziomem uprawnień w systemie Windows. Jeden z plików podszywał się pod aktualizator Adobe, a drugi udawał OneDrive.
Oznacza to, że w chwili, gdy obrońcy zauważyli oznaki podejrzanej aktywności, atakujący miał już pełną kontrolę nad komputerem kierownika.
Metoda uzyskania początkowego dostępu pozostaje nieznana. Symantec ocenił jednak, że pierwsze zaobserwowane ślady prawdopodobnie pochodziły z ruchu bocznego z innego, wcześniej skompromitowanego urządzenia.
Ma to znaczenie, ponieważ atakujący mógł nie zacząć od systemu kierownika. Mógł przemieszczać się po środowisku, aż dotarł do celu o wysokiej wartości.
Narzędzie do kradzieży poczty zbudowane na legalnym oprogramowaniu
Operacja stała się bardziej aktywna 12 listopada 2025 r.
W tym momencie atakujący pobrał token API Dropbox, zaczął przesyłać dane za pomocą curl i wdrożył główne narzędzie do kradzieży poczty.
Narzędzie zostało zbudowane z użyciem Aspose, legalnej biblioteki .NET zdolnej do odczytu plików OST i PST programu Outlook. Zapakowane w plik wykonywalny malware konwertowało skrzynkę pocztową kierownika do formatu PST i zapisywało ją na dysku.
Każde uruchomienie korzystało z hasła i flagi zakresu dat.
Pierwsze uruchomienie skopiowało wszystko od sierpnia 2025 r. Później atakujący wracał co dwa do czterech tygodni i zbierał tylko nowe dane skrzynki od poprzedniej ekstrakcji.
Osiem kolejnych pobrań skrzynki trwało do 17 lutego 2026 r.
Takie podejście pozwoliło atakującemu zbudować niemal ciągłą kopię skrzynki kierownika, utrzymując każdą ekstrakcję na tyle małą, by ograniczyć podejrzenia.
Dlaczego eksfiltracja w małych partiach ma znaczenie
Duże transfery danych często wywołują alerty. Małe, powtarzające się eksporty niekoniecznie.
Dzieląc skrzynkę na partie według dat, atakujący uniknął szumu związanego z jednorazowym zrzutem całej skrzynki. Ta metoda jest wolniejsza, ale bardziej skryta.
Daje też atakującemu ciągły wgląd w komunikację kierownika.
Z czasem mogło to ujawnić:
- decyzje strategiczne
- poufne negocjacje
- nadchodzące ogłoszenia
- aktywność związaną z notowaniami
- rozmowy o egzekwowaniu przepisów
- komunikację na poziomie zarządu
- wzorce w kalendarzu
- kontakty i relacje
- kwestie prawne lub regulacyjne
- wewnętrzne priorytety
Dla giełdy papierów wartościowych tego rodzaju informacje wywiadowcze mogą być niezwykle cenne.
Usługi chmurowe wykorzystane do wtopienia się w tło
Atakujący przesyłał skradzione dane przez Dropbox i OneDrive Personal.
To częsta technika unikania wykrycia. Wiele organizacji zezwala na dostęp do usług przechowywania w chmurze, a ruch do infrastruktury Microsoft lub Dropbox może nie wyglądać od razu podejrzanie.
W przypadku OneDrive atakujący łączył się bezpośrednio ze zakodowanymi na stałe adresami IP Microsoftu zamiast używać nazwy hosta onedrive.live.com. Pozwoliło to uniknąć zapytań DNS, które narzędzia zabezpieczające na obrzeżu sieci mogłyby wykryć lub zablokować.
Atakujący krótko testował w listopadzie także publiczną usługę hostingu plików temp.sh, ale później z niej zrezygnował.
Cel był jasny: sprawić, by eksfiltracja wyglądała jak normalna aktywność w chmurze, i ograniczyć liczbę oczywistych wskaźników.
Ukrywanie się za pomocą fałszywych zaplanowanych zadań
Utrwalanie obecności i wykonywanie kodu również były zamaskowane.
Zaplanowane zadania podszywały się pod legalne usługi firm:
- Adobe
- Lenovo
- OneDrive
Pomogło to wtopić aktywność w normalny szum tła punktów końcowych w przedsiębiorstwach, gdzie usługi aktualizacji i narzędzia producentów są powszechne.
Atakujący często używają zaufanych nazw marek, ponieważ obrońcy mogą je pominąć podczas szybkich dochodzeń.
Zaplanowane zadanie o nazwie przypominającej Adobe lub OneDrive może się nie wyróżniać, dopóki obrońcy nie sprawdzą jego wiersza poleceń, ścieżki, skrótu i zachowania.
Zaobserwowane szersze narzędzia włamaniowe
Wskaźniki Symantec sugerują, że operacja obejmowała coś więcej niż prosty program do przechwytywania skrzynki pocztowej.
Zgłoszony zestaw narzędzi obejmował:
- FRPC do tunelowania ruchu
- Secretsdump do wyodrębniania poświadczeń systemu Windows
- SharpDecryptPwd do odzyskiwania zapisanych haseł aplikacji
- narzędzie do obejścia kontroli konta użytkownika (UAC) w systemie Windows
Raport nie potwierdza, jak dokładnie każde z narzędzi zostało użyte w tym konkretnym incydencie. Ich obecność sugeruje jednak szerszy zestaw włamaniowy, zdolny do kradzieży poświadczeń, tunelowania, nadużywania uprawnień i ruchu bocznego.
Zwiększa to obawy, że kradzież poczty mogła być tylko jednym z elementów większego włamania.
Brak CVE, brak prostej poprawki
Jednym z najważniejszych aspektów tego incydentu jest to, że w jego centrum nie ma żadnej nowo ujawnionej luki w zabezpieczeniach.
Nie był to przypadek, w którym zastosowanie jednej poprawki zamknęłoby drzwi.
Atakujący skompromitował system, uzyskał wysokie uprawnienia, wykorzystał legalne biblioteki i usługi chmurowe oraz po cichu wykradał dane ze skrzynki pocztowej przez długi czas.
Utrudnia to zapobieganie takim incydentom wyłącznie tradycyjnym zarządzaniem lukami.
Obrońcy muszą polegać na widoczności, monitorowaniu behawioralnym, kontrolach tożsamości, wykrywaniu zagrożeń na punktach końcowych i zdolności reagowania.
Dlaczego skrzynki pocztowe kadry kierowniczej są cennymi celami
Skrzynki pocztowe kadry kierowniczej należą do najcenniejszych celów w każdej organizacji.
Zawierają często więcej niż e-maile. Zawierają kontekst biznesowy.
Atakujący z długoterminowym dostępem do skrzynki kierownika może się dowiedzieć:
- komu kierownik ufa
- o jakich transakcjach się rozmawia
- jakie spotkania są zaplanowane
- jakie obawy ma kierownictwo
- które projekty są poufne
- jakie kwestie prawne lub regulacyjne istnieją
- jakie strony zewnętrzne są zaangażowane
- które dokumenty są wrażliwe
- które zespoły wewnętrzne są pod presją
W przypadku giełdy papierów wartościowych skutki są jeszcze poważniejsze, ponieważ informacje mogą być istotne dla rynku.
Taki dostęp może wspierać szpiegostwo, zbieranie informacji w stylu insiderskim, socjotechnikę, manipulacje regulacyjne lub przyszłe włamania.
Dlaczego atrybucja pozostaje niejasna
Atakujących nie przypisano do żadnej znanej grupy zagrożeń.
Użycie publicznych narzędzi, konsumenckich usług chmurowych i ogólnej infrastruktury utrudnia atrybucję. Wiele grup stosuje te same techniki, a eksfiltracja przez chmurę może zacierać ślady.
Przesyłanie skradzionych danych przez Dropbox i OneDrive nie jest niczym nowym. Microsoft i inni badacze bezpieczeństwa już wcześniej ostrzegali, że atakujący wykorzystują zaufane usługi chmurowe, aby omijać zabezpieczenia na obrzeżu sieci i utrudniać atrybucję działań.
Dopóki nie pojawią się mocniejsze dowody, odpowiedzialny podmiot pozostaje nieznany.
Na co powinni zwracać uwagę obrońcy
Organizacje przetwarzające wrażliwe informacje finansowe, regulacyjne, prawne lub mogące wpływać na rynek powinny potraktować ten incydent jako ostrzeżenie.
Kluczowe zachowania do monitorowania obejmują:
- nietypowy dostęp do plików OST lub PST programu Outlook
- eksport skrzynek pocztowych poza normalnymi procesami administracyjnymi
- powtarzające się eksporty skrzynki z wąskich zakresów dat
- podejrzane użycie bibliotek Aspose na punktach końcowych
- nieoczekiwane przesyłanie danych za pomocą
curlz systemów kadry kierowniczej - przesyłanie danych na osobiste konta Dropbox lub OneDrive
- ruch OneDrive korzystający ze zakodowanych na stałe adresów IP
- podejrzane zaplanowane zadania używające nazw Adobe, Lenovo lub OneDrive
- FRPC lub inne narzędzia do tunelowania na punktach końcowych
- Secretsdump lub inną aktywność zrzucania poświadczeń
- SharpDecryptPwd lub narzędzia do wyodrębniania zapisanych haseł
- nietypowe pliki binarne z uprawnieniami SYSTEM na komputerach kadry kierowniczej
- przesyłanie do chmury wkrótce po utworzeniu pliku skrzynki pocztowej
Kluczem jest wykrywanie całego łańcucha, a nie tylko poszczególnych narzędzi.
Zalecenia obronne
Organizacje powinny wzmocnić zabezpieczenia wokół użytkowników o wysokiej wartości i punktów końcowych kadry kierowniczej.
Zalecane działania obejmują:
- monitorowanie skrzynek pocztowych kadry kierowniczej pod kątem nietypowego eksportu
- ograniczenie możliwości eksportu PST tam, gdzie nie jest wymagana
- stosowanie ściślejszego monitorowania systemów najwyższej kadry kierowniczej
- blokowanie lub ścisłą kontrolę osobistych usług przechowywania w chmurze
- odróżnianie firmowego OneDrive od OneDrive Personal
- kontrolowanie nietypowych bezpośrednich połączeń z adresami IP dostawców chmury
- alertowanie o podejrzanym tworzeniu zaplanowanych zadań
- monitorowanie narzędzi na punktach końcowych podszywających się pod aktualizatory producentów
- wdrożenie reguł EDR dla narzędzi do zrzutu poświadczeń i tunelowania
- egzekwowanie zasady najmniejszych uprawnień na stacjach roboczych kadry kierowniczej
- ochronę systemów kadry kierowniczej za pomocą zasad dostępu uprzywilejowanego
- przegląd ścieżek ruchu bocznego prowadzących do użytkowników o wysokiej wartości
- łączne monitorowanie aktywności OAuth, skrzynek pocztowych i punktów końcowych
- badanie przesyłania danych do chmury z punktów końcowych obsługujących wrażliwą komunikację
Zespoły bezpieczeństwa powinny też regularnie prowadzić threat hunting skoncentrowany na kadrze kierowniczej, zespołach prawnych, liderach finansowych i użytkownikach mających dostęp do wrażliwych informacji strategicznych.
Wnioski z incydentu
Ta kampania uwydatnia kilka ważnych lekcji.
- Kradzież poczty może być równie cenna jak bezpośredni dostęp do systemów biznesowych.
- Atakujący nie muszą wykradać wszystkiego naraz. Małe, powtarzające się eksporty mogą zapewniać ciągły dopływ informacji wywiadowczych i jednocześnie unikać wykrycia.
- Zaufane usługi chmurowe mogą stać się kanałami eksfiltracji.
- Punkty końcowe kadry kierowniczej wymagają silniejszego monitorowania, ponieważ często zawierają najbardziej wrażliwe rozmowy w organizacji.
Wreszcie, nie każdy poważny incydent zaczyna się od CVE. Niektóre z najbardziej szkodliwych włamań wynikają z kompromitacji poświadczeń, ruchu bocznego, nadużywania legalnych narzędzi i słabej widoczności.
Podsumowanie
Kompromitacja skrzynki pocztowej Outlook wysokiego rangą kierownika giełdy papierów wartościowych pokazuje, jak cierpliwe i ukierunkowane potrafią być współczesne operacje szpiegowskie.
Przez co najmniej pięć miesięcy atakujący po cichu zbierali dane ze skrzynki w niewielkich partiach i przesyłali je przez usługi chmurowe, które wtapiały się w normalny ruch w przedsiębiorstwie.
Nie było publicznej luki do załatania, nazwanego aktora zagrożeń ani oczywistego ładunku ransomware. Zamiast tego atakujący skupili się na zbieraniu informacji wywiadowczych z jednego z najcenniejszych miejsc w organizacji: skrzynki odbiorczej kierownika.
Dla obrońców przesłanie jest jasne. Ochrona komunikacji kadry kierowniczej wymaga czegoś więcej niż zabezpieczenia poczty e-mail. Wymaga widoczności punktów końcowych, monitorowania chmury, kontroli tożsamości, wykrywania eksfiltracji i szybkiej reakcji na podejrzane zachowania.
W środowiskach o wysokiej wartości skrzynka odbiorcza to nie tylko narzędzie komunikacji. To cel wywiadowczy.
