Nowo odkryta kampania ransomware pokazuje jedną z najgroźniejszych realiów cyberbezpieczeństwa:
Atakujący wykorzystują luki w zabezpieczeniach, zanim organizacje w ogóle zdążą je załatać.
Jak wynika z badań AWS, grupa ransomware Interlock aktywnie wykorzystywała krytyczną lukę w zaporze sieciowej Cisco (CVE-2026-20131) przez kilka tygodni, zanim została ona publicznie ujawniona.
Luka w zabezpieczeniach
- CVE-2026-20131
- Ocena CVSS: 10,0 (krytyczna)
- Dotyczy: Cisco Secure Firewall Management Center (FMC)
- Skutek:
👉 Zdalni, nieuwierzytelnieni atakujący mogą wykonać dowolny kod Java z uprawnieniami roota
Źródłem problemu jest niebezpieczna deserializacja, która pozwala atakującym wysyłać do podatnych systemów specjalnie spreparowane obiekty Java.
Cisco ujawniło problem 4 marca, ale dowody wskazują, że wykorzystywanie luki rozpoczęło się już 26 stycznia — co potwierdza, że był to prawdziwy zero-day wykorzystywany w atakach.
Cel: zapory sieciowe wystawione do internetu
Kampania koncentruje się na interfejsach zarządzania zaporami sieciowymi, które są:
- dostępne z internetu
- wartościowymi celami
- często słabo monitorowane
Cisco potwierdziło, że:
- Luka dotyczy FMC oraz Security Cloud Control (SCC)
- ASA i FTD NIE są podatne
Łańcuch ataku Interlock od środka
Badacze z AWS uzyskali rzadki wgląd w arsenał atakujących po odkryciu błędnie skonfigurowanego serwera infrastruktury Interlock.
Ujawnił on pełny, wieloetapowy łańcuch ataku, obejmujący:
1. Uzyskanie dostępu początkowego
- Wykorzystanie luki zero-day
2. Rozpoznanie
- Skrypty PowerShell do mapowania środowiska
- Zbieranie danych z przejętych systemów
3. Utrzymanie dostępu
- Wdrażanie trojanów zdalnego dostępu (RAT)
- Backdoory w JavaScript i Javie
- Złośliwe oprogramowanie działające w pamięci, aby uniknąć wykrycia
4. Unikanie wykrycia i odporność
- Wiele backdoorów zapewniających redundancję
- Legalne narzędzia zdalnego dostępu jako zapasowa droga wejścia
- Infrastruktura przekaźnikowa ukrywająca pochodzenie atakującego
5. Etap końcowy
- Wdrożenie ransomware + eksfiltracja danych (podwójny szantaż)
Dlaczego ten atak ma znaczenie
Ta kampania nie dotyczy tylko jednej luki.
Pokazuje fundamentalny problem:
Nawet idealne łatanie nie ochroni przed atakami zero-day.
Jak zauważył CISO AWS, CJ Moses:
- Atakujący mieli kilka tygodni nieograniczonego dostępu
- Tradycyjne zabezpieczenia były w tym czasie nieskuteczne
- Niebezpieczne jest połączenie zero-day i zaawansowanych narzędzi
Zapory sieciowe: rosnąca powierzchnia ataku
Najnowsze dane pokazują, że:
- 17% wykorzystywanych luk w zabezpieczeniach dotyczy urządzeń brzegowych, takich jak zapory sieciowe i VPN
- Przejęcie zapory sieciowej jest często początkowym punktem wejścia w atakach ransomware
Dlaczego atakujący uwielbiają zapory sieciowe:
- 🌐 Z założenia są wystawione do internetu
- 🧩 Skomplikowane, często własnościowe oprogramowanie
- 🔄 Idealny punkt przesiadkowy do ruchu bocznego
- ⚠️ Często zaniedbywane pod względem utrzymania
Jak bronić się przed zagrożeniami zero-day
Ponieważ luk zero-day nie da się załatać z wyprzedzeniem, organizacje muszą polegać na obronie warstwowej (defense in depth):
1. Ogranicz dostęp do interfejsów zarządzania
- Nigdy nie wystawiaj zarządzania zaporą sieciową do publicznego internetu
2. Monitoruj intensywnie
- Wykrywaj nietypowe zachowanie urządzeń brzegowych
- Zwracaj uwagę na nieoczekiwane połączenia wychodzące
3. Segmentuj sieć
- Uniemożliwiaj atakującym ruch boczny
4. Stosuj poprawki natychmiast
- Gdy tylko staną się dostępne, nadaj priorytet aktualizacjom infrastruktury krytycznej
5. Stosuj warstwowe mechanizmy zabezpieczeń
- EDR, NDR, rejestrowanie zdarzeń i wykrywanie anomalii
Najważniejszy wniosek
Ta kampania potwierdza kluczową prawdę o cyberbezpieczeństwie:
Bezpieczeństwo nie polega na jednym zabezpieczeniu — polega na warstwach.
Gdy atakujący wykorzystują luki zero-day, Twoją jedyną ochroną jest to, jak dobrze nakładają się na siebie Twoje zabezpieczenia.
