Raport Cisco Talos za I kwartał 2025: gwałtowny wzrost phishingu i ewolucja taktyk ransomware

Zespół Cisco Talos Incident Response opublikował analizę zagrożeń cybernetycznych za pierwszy kwartał 2025 roku, wskazując na znaczący wzrost phishingu jako metody początkowego dostępu oraz utrzymującą się popularność ataków ransomware. Przemysł okazał się najczęściej atakowanym sektorem, stanowiąc cel 25% wszystkich zarejestrowanych incydentów.

W I kwartale 2025 roku phishing zdominował metody uzyskiwania początkowego dostępu do systemów, odpowiadając za 50% przeanalizowanych przypadków. Stanowi to drastyczny wzrost w porównaniu z poprzednim kwartałem, kiedy odsetek ten nie przekraczał 10%. Najpowszechniejszą formą phishingu okazał się vishing (voice phishing), czyli oszustwa telefoniczne, które stanowiły ponad 60% wszystkich ataków phishingowych. Głównym celem tych działań było przejęcie kontroli nad kontami użytkowników oraz utrzymanie długotrwałej obecności w sieci ofiary, a nie, jak często bywało w przeszłości, wyłudzenie poufnych danych czy bezpośrednie transfery pieniężne. W jednej z zaobserwowanych kampanii vishingowych atakujący nakłaniali użytkowników telefonicznie do ustanowienia sesji zdalnego dostępu, którą następnie wykorzystywali do instalacji złośliwego oprogramowania, zapewnienia sobie trwałej obecności w systemie i wyłączania zabezpieczeń punktów końcowych. W innych sytuacjach cyberprzestępcy kradli legalne tokeny dostępu użytkowników lub klonowali aktywne tokeny, nadając nowe poświadczenia dla połączeń wychodzących, by następnie próbować eskalować uprawnienia.

Incydenty związane z ransomware i działaniami przygotowawczymi do takich ataków (pre-ransomware) stanowiły ponad połowę wszystkich interwencji zespołu Cisco Talos, co oznacza wzrost z niecałych 30% w poprzednim kwartale. W ponad 60% ataków ransomware kluczową rolę odegrały złożone kampanie vishingowe, skierowane przeciwko firmom z sektora przemysłowego i budowlanego. Ataki te często rozpoczynały się od masowej wysyłki spamu, po czym przestępcy kontaktowali się z ofiarami za pośrednictwem Microsoft Teams, nakłaniając do uruchomienia Microsoft Quick Assist, co umożliwiało instalację narzędzi do zbierania danych i ustanowienie mechanizmów trwałej obecności. Początkowo w tych kampaniach wykorzystywano ransomware BlackBasta, jednak po upublicznieniu informacji na ten temat, atakujący przeszli na oprogramowanie Cactus, którego nowsza wersja oferowała większe możliwości kontroli.

W analizowanym okresie Cisco Talos po raz pierwszy odnotował wzmożoną aktywność grupy Crytox, wykorzystującej narzędzie HRSword do wyłączania systemów ochrony EDR (endpoint detection and response). Crytox szyfruje dyski lokalne i sieciowe, pozostawiając ofiarom żądanie okupu z pięciodniowym ultimatum i komunikując się z nimi za pośrednictwem komunikatora uTox. Zarejestrowano incydent, w którym atakujący uzyskali początkowy dostęp poprzez publicznie dostępną aplikację niechronioną uwierzytelnianiem wieloskładnikowym (MFA), a następnie przeprowadzili atak ransomware, szyfrując dwa hypervisory obsługujące wiele serwerów wirtualnych.

Kluczowe znaczenie w ograniczaniu skutków ataków ma wykrywanie i reagowanie na etapie pre-ransomware. Aż 75% incydentów związanych z ransomware w I kwartale 2025 roku dotyczyło tej właśnie fazy, kiedy atakujący uzyskali już dostęp do środowiska ofiary, ale nie zdążyli jeszcze uruchomić oprogramowania szyfrującego. Zespół Cisco Talos wskazał kilka czynników decydujących o skutecznym powstrzymaniu ataków: wdrożenie prawidłowo skonfigurowanego MFA (problemy z MFA wystąpiły w połowie wszystkich incydentów), szybka reakcja zespołów ds. reagowania na incydenty, odpowiednia ochrona punktów końcowych (w blisko 20% przypadków atakujący wyłączyli rozwiązania EDR) oraz edukacja użytkowników w zakresie phishingu i ataków socjotechnicznych.

Cyberprzestępcy stale modyfikują swoje techniki i taktyki w odpowiedzi na ujawniane informacje o ich działaniach. Można spodziewać się, że będą kontynuować ten trend, wdrażając nowe narzędzia i rodziny ransomware. Skuteczne reagowanie i szybka identyfikacja aktywności na etapie pre-ransomware pozostają kluczowe dla minimalizowania skutków cyberataków.

Cisco prezentuje postępy w sieciach kwantowych

Prowadzisz lub chcesz prowadzić sklep internetowy? Te proste zasady pomogą Ci zabezpieczyć dane i finanse przed oszustami

Mówiąc o oszustwach internetowych w e-commerce, najczęściej na myśl przychodzą zagrożenia czekające na kupujących. Wielu użytkowników sieci spotkało się z próbami wyłudzenia danych lub pieniędzy poprzez fałszywe transakcje – jest to temat często podejmowany przez media. Ale czy świadomość zagrożeń dotyczących sprzedawców jest równie wysoka?

Ataki na sprzedających są trudne do zweryfikowania i zatrzymania. Platformy sprzedażowe, analitycy cyberbezpieczeństwa i organy ścigania często polegają na zgłoszeniach samych poszkodowanych, co sprawia, że skala tego zjawiska może być większa, niż się wydaje. Tymczasem coraz częściej to właśnie sprzedawcy stają się celem oszustów. Dlaczego? Według Cisco Talos na ten stan rzeczy wpływają 3 istotne czynniki:

• Sprzedawcy często dysponują znacznymi środkami na koncie – regularnie otrzymują wpłaty za sprzedawane produkty, co czyni ich atrakcyjnym celem.
• Oszust może śledzić publiczne ogłoszenia – obserwuje, gdy sprzedający oferują drogie przedmioty i śledzi moment ich zakupu, co pozwala mu przewidzieć wpływ większej sumy na konto sprzedawcy.
• Sprzedawcy są przyzwyczajeni do „oficjalnych” komunikatów o weryfikacji konta – wiele platform wysyła powiadomienia o konieczności potwierdzenia tożsamości. Oszuści mogą to wykorzystać, podszywając się pod platformę i wyłudzić dane dostępowe.

Nowy atak ransomware Interlock – celem duże firmy i ich dane

Jak nie dać się oszukać?

Eksperci ds. cyberbezpieczeństwa z Cisco Talos przeanalizowali najnowsze metody stosowane przez oszustów i podpowiadają, jak skutecznie się przed nimi chronić. Oto najczęściej spotykane zagrożenia, które czyhają na sprzedawców w Internecie:

Oszustwo przez wiadomości prywatne

Wygląda jak zwykłe zapytanie o produkt, ale to pułapka. Oszust może podszywać się pod zainteresowanego kupującego, a w rzeczywistości próbować wyłudzić dane bankowe lub informacje o karcie kredytowej. Jak się zabezpieczyć?

Nigdy nie należy podawać wrażliwych danych w wiadomościach prywatnych. Jeśli coś wydaje się podejrzane – warto zgłosić użytkownika do administratora platformy.

Przejęcie konta sprzedawcy

Posługując się skradzionymi lub pozyskanymi na drodze phishingu danymi logowania oszuści mogą przejąć konto sprzedawcy i manipulować ofertami czy zmieniać ustawienia wypłat, a nawet kontaktować się z klientami. Jak się zabezpieczyć?

Eksperci Cisco Talos nieprzerwanie przypominają o konieczności implementacji uwierzytelniania wieloskładnikowego (MFA). Posiadając to zabezpieczenie, nawet w sytuacji utraty hasła, oszust nie będzie w stanie zalogować się bez dodatkowego kodu weryfikacyjnego.

Fałszywa weryfikacja konta

„Twoje konto wymaga natychmiastowej weryfikacji” – po otrzymaniu wiadomości o tej treści należy zachować wzmożoną czujność. Oszuści często podszywają się pod działy obsługi klienta platform sprzedażowych i wysyłają fałszywe linki do rzekomej „weryfikacji”. W rzeczywistości przekierowują na stronę kontrolowaną przez przestępców, gdzie dane logowania i informacje finansowe mogą ulec kompromitacji. Jak się zabezpieczyć?

Zawsze należy weryfikować takie wiadomości, kontaktując się bezpośrednio z oficjalnym działem wsparcia platformy inną metodą niż informacja jaką otrzymaliśmy. Dane kontaktowe są dostępne zawsze na oficjalnej stronie danej platformy.

Oszustwo na zmianę adresu dostawy

Zdarza się, że po finalizacji sprzedaży klient prosi o zmianę adresu dostawy. Choć taka sytuacja nie jest niczym niezwykłym, bywa również wykorzystywana przez oszustów. Liczą oni na to, że sprzedawca prześle towar na ich adres zamiast do rzeczywistego nabywcy. Jak się zabezpieczyć?

Zmiany adresu dostawy powinniśmy dokonywać wyłącznie przez oficjalną platformę sprzedażową. Można również skontaktować się z obsługą, by potwierdzić, czy wszystko jest w porządku.

Omijanie platformy płatniczej

Portale społecznościowe, takie jak Reddit czy Facebook Marketplace, stały się popularnym miejscem sprzedaży. W niektórych krajach oszuści często próbują nakłonić kupujących do skorzystania z opcji płatności „przyjaciele i rodzina” w systemach takich jak PayPal, Zelle czy Venmo. Tego typu przelew traktowany jest jak darowizna – nie obejmuje ochrony kupujących. Jeśli sprzedawca okaże się oszustem, pieniądze przepadną, bez możliwości odzyskania ich przez platformę płatniczą. Jak się zabezpieczyć?

Choć w Polsce opcja płatności „przyjaciele i rodzina” nie jest jeszcze powszechnie dostępna warto pamiętać, że tylko portale z pełną ochroną transakcji są bezpieczne dla obu stron. Wszelkie próby omijania tradycyjnego procesu sprzedaży powinny być dla nas alarmujące.

Sprzedaż online może być bezpieczna, jeśli wiemy, na co zwrócić szczególną uwagę. Choć internetowe transakcje oferują ogromne możliwości, to niestety również stanowią pole do działania oszustów, którzy potrafią skutecznie manipulować sprzedawcami. Aby uniknąć nieprzyjemnych sytuacji – warto stosować tych kilka zasad, aby chronić swoje dane i finanse.

Wyciek danych po ataku cybernetycznym na EuroCert – Ministerstwo Cyfryzacji ma zalecenia

Cyberprzestępcy zmieniają strategię – oto największe zagrożenia końcówki 2024 roku

Końcówka 2024 roku przyniosła zmianę w taktyce hakerów. Zamiast przejmować konta użytkowników, cyberprzestępcy coraz częściej atakowali luki w aplikacjach internetowych, instalując web shelle i uzyskując trwały dostęp do systemów. Z raportu Cisco Talos wynika, że to właśnie ten trend zdominował IV kwartał. Co jeszcze działo się w świecie cyberzagrożeń?

Web shell na topie – podatne aplikacje na celowniku

Jeszcze niedawno cyberprzestępcy skupiali się na przejmowaniu legalnych kont użytkowników. Teraz ich uwaga przesunęła się w stronę podatnych aplikacji internetowych. W 35% incydentów w IV kwartale wykorzystywano web shelle – czyli złośliwe interfejsy, które pozwalają na zdalne sterowanie zaatakowanym serwerem. To ogromny wzrost w porównaniu do wcześniejszych 10%.

Hakerzy nie ograniczali się do nowych metod – łączyli web shelle z klasycznymi technikami, co jeszcze bardziej utrudniało wykrycie ataków. Wniosek? Firmy muszą szczególnie uważać na niezałatane systemy i stale monitorować aktywność aplikacji.

Ransomware w odwrocie? Niekoniecznie

Dobra wiadomość: aktywność ransomware w IV kwartale nieco spadła. Zła? W okresie okołoświątecznym zagrożenie znów się nasiliło, głównie za sprawą grupy BlackBasta. Cyberprzestępcy doskonale wiedzą, że koniec roku to czas mniejszej czujności w firmach – i potrafią to wykorzystać.

Choć ogólnie liczba ataków ransomware spadła z 40% do 30% wszystkich incydentów, nie można jeszcze mówić o odwrocie. Nowe zagrożenia, takie jak Interlock ransomware, oraz aktywność BlackBasta i RansomHub wskazują, że 2025 rok może przynieść kolejną falę ataków.

Co ciekawe, analiza Cisco Talos wykazała, że hakerzy potrafią czekać – średni czas ich obecności w systemie przed uruchomieniem szyfratora wynosił od 17 do 44 dni. W jednym z przypadków RansomHub działał w ukryciu przez ponad miesiąc, najpierw skanując sieć i kradnąc dane, zanim uderzył.

3 największe zagrożenia IV kwartału 2024

• Przejęcia kont – MFA nie zawsze pomaga

W 75% przypadków ransomware atakujący zdobywali dostęp do systemów poprzez przejęte konta użytkowników. Brak uwierzytelniania wieloskładnikowego (MFA) lub jego błędna konfiguracja były głównymi przyczynami sukcesu hakerów.

Co gorsza, cyberprzestępcy nauczyli się obchodzić MFA, stosując techniki socjotechniczne. W jednym z przypadków operatorzy BlackBasta podszyli się pod dział IT, by wyłudzić dane logowania.

• Luki w aplikacjach publicznych

W 40% przypadków atakujący uzyskali dostęp do systemów dzięki podatnym aplikacjom publicznym. W poprzednich kwartałach dominowało przejmowanie kont – teraz to właśnie luki w oprogramowaniu stały się głównym wektorem ataków.

Dla firm oznacza to jedno: regularne aktualizacje systemów i skuteczne zarządzanie podatnościami to podstawa bezpieczeństwa.

• Masowe ataki password spraying

Grudzień 2024 przyniósł falę ataków password spraying – czyli prób odgadnięcia haseł poprzez zautomatyzowane logowanie do różnych kont. W jednym z przypadków Cisco Talos wykryło aż 13 milionów prób logowania w ciągu 24 godzin!

Efekt? Masowe blokowanie kont i niedostępność usług VPN. To pokazuje, jak ważne jest stosowanie silnych haseł i ograniczanie liczby nieudanych prób logowania.

Eksperci Cisco ujawniają poważne luki w zabezpieczeniach modelu AI DeepSeek R1

Kto był na celowniku hakerów?

Sektor edukacyjny po raz kolejny okazał się najbardziej narażony – odpowiadał za 30% wszystkich ataków ransomware. Dlaczego? Placówki edukacyjne mają często ograniczone zasoby IT i dużą liczbę użytkowników, co ułatwia ataki socjotechniczne.

Jak bronić się przed atakami? Cisco Talos radzi:

• Włącz MFA – ale zadbaj o jego poprawną konfigurację. Hakerzy coraz częściej obchodzą źle wdrożone uwierzytelnianie.
• Aktualizuj systemy – aż 15% incydentów wynikało z przestarzałego oprogramowania.
• Segmentuj sieć – w 40% ataków z web shellem winna była słaba segmentacja.
• Korzystaj z EDR – 25% incydentów mogło zostać powstrzymanych, gdyby organizacje miały odpowiednie narzędzia wykrywające zagrożenia.

Cyberprzestępcy nie próżnują – i nie zapowiada się, by 2025 rok przyniósł spokój. Najważniejsza lekcja z IV kwartału? Cyberbezpieczeństwo to proces, który wymaga ciągłego dostosowywania się do nowych zagrożeń.

Badanie Cisco: CEO dostrzegają potencjał AI, ale brak kompetencji może hamować strategiczne decyzje i rozwój

Cisco Talos ostrzega przed nową kampanią cyberprzestępczą wymierzoną w polskich użytkowników

Badacze z Cisco Talos odkryli nową kampanię cyberprzestępczą, aktywną od lipca 2024 roku na terenie Polski oraz Niemiec. Cyberprzestępcy podszywają się pod zaufane instytucje i firmy, które działają w sektorach finansowym, produkcyjnym i logistycznym, wykorzystując phishingowe wiadomości e-mail, które wyglądają jak autentyczne potwierdzenia zamówień lub przelewów finansowych. Te pozornie nieszkodliwe wiadomości skrywają jednak złośliwe załączniki, prowadzące do infekcji urządzeń.

Diagram przedstawiający schemat ataku. Źródło: Cisco Talos

Analiza przeprowadzona przez Cisco Talos wykazuje, że główną motywacją stojącą za działaniami atakujących są korzyści finansowe. Istnieje prawdopodobieństwo, że ataki zostały starannie zaplanowane, a ich skala może wykraczać poza pierwotnie zaatakowane regiony, co sugerują również odnotowane przypadki wiadomości w języku angielskim.

Pierwszym krokiem w ataku jest wysyłka phishingowych wiadomości e-mail, które wzbudzają zaufanie ofiar dzięki dopracowanemu wyglądowi i treści. Wiadomości te są pisane w języku polskim oraz niemieckim, co wyraźnie wskazuje na geograficzny cel kampanii. W załącznikach tych wiadomości znajdowały się pliki o rozszerzeniu „.tgz”, będące skompresowanymi archiwami TAR, które ukrywają złośliwe oprogramowanie. Kompresja przy użyciu GZIP ma na celu ominięcie systemów bezpieczeństwa stosowanych w poczcie e-mail.

Gdy odbiorca otwiera załącznik, uruchamiany jest plik wykonywalny .NET, pełniący rolę tzw. „loadera”. Ten niewielki program, po uruchomieniu, łączy się z serwerem kontrolowanym przez atakujących, skąd pobiera właściwe złośliwe oprogramowanie – w tym przypadku jest to PureCrypter. Cechą charakterystyczną tego złośliwego narzędzia jest fakt, że działa wyłącznie w pamięci operacyjnej urządzenia ofiary, co znacząco utrudnia jego wykrycie przez tradycyjne programy antywirusowe.

PureCrypter odgrywa kluczową rolę w tym ataku, ponieważ odpowiada za uruchamianie kolejnego etapu złośliwego kodu, którym jest zaawansowany backdoor nazwany przez Cisco Talos – TorNet. TorNet umożliwia cyberprzestępcom pełną kontrolę nad zainfekowanym urządzeniem, pozwalając im na przesyłanie, uruchamianie i modyfikowanie kolejnych plików. Dodatkowo, TorNet integruje się z anonimową siecią TOR, co utrudnia jego wykrycie i śledzenie działań przestępców.

Przykład wiadomości e-mail – pułapki. Źródło: Cisco Talos

Złośliwe oprogramowanie PureCrypter zostało zaprojektowane tak, aby działało w ukryciu. Po uruchomieniu na komputerze ofiary, wykorzystuje różnorodne techniki utrudniające wykrywanie i analizę. Oprogramowanie to przeprowadza m.in. testy sprawdzające obecność środowisk sandboxowych czy oprogramowania do analizy złośliwego kodu. W przypadku wykrycia takich mechanizmów, PureCrypter może zmodyfikować swoje działanie lub całkowicie zakończyć proces, aby uniknąć zidentyfikowania.

Po przejściu testów unikania wykrycia, PureCrypter uruchamia złośliwy kod, który zrzuca do pamięci urządzenia ofiary. Następnie kod ten instaluje backdoor TorNet, który otwiera szerokie możliwości dalszych działań przestępców. Dzięki wbudowanym funkcjom, TorNet pozwala na dynamiczne uruchamianie dodatkowego złośliwego kodu oraz kontrolowanie zainfekowanego systemu w czasie rzeczywistym.

Aby zwiększyć trwałość infekcji, PureCrypter modyfikuje kluczowe ustawienia systemowe, takie jak rejestr Windows, i tworzy zadania w Harmonogramie Zadań, które regularnie uruchamiają złośliwy loader. Zastosowano również technikę uruchamiania zaplanowanego zadania w systemie Windows, nawet przy niskim poziomie naładowania baterii w urządzeniu ofiary, aby zapewnić nieprzerwaną infekcję.

Atak, który zespół Cisco Talos odkrył, jest kolejnym dowodem na coraz bardziej zaawansowane metody działania cyberprzestępców. Kampania ta pokazuje, jak ważne jest zachowanie ostrożności w kontaktach e-mailowych, szczególnie w przypadku wiadomości dotyczących finansów. Warto pamiętać, aby nigdy nie otwierać podejrzanych załączników i zawsze dokładnie weryfikować nadawcę wiadomości. Działania takie mogą pomóc w uniknięciu poważnych konsekwencji związanych z atakiem tego typu.

Cisco Talos apeluje o zwiększenie czujności, aby ograniczyć skutki tej kampanii oraz przeciwdziałać kolejnym próbom ataków. Regularne aktualizacje systemów oraz korzystanie z zaawansowanych narzędzi ochrony mogą znacząco podnieść poziom bezpieczeństwa w sieci.