Jak Lazarus omija Twoje „nie do przejścia” zabezpieczenia?

Mimo to, napastnicy z grupy Lazarus nie potrzebowali łamać skomplikowanych haseł ani forsować firewalla. Wykorzystali technikę Adversary-in-the-Middle (AitM), która pozwoliła im na przejęcie aktywnego tokena sesyjnego bezpośrednio z przeglądarki administratora. Dane operacyjne dokumentują, że intruzi weszli do sieci jako w pełni "zaufany" użytkownik. Zanim system SIEM wygenerował pierwszy alert o nietypowym eksporcie danych, informacje o 40 tysiącach klientów znajdowały się już na serwerach w Azji Południowo-Wschodniej.

Raport CrowdStrike 2025 wskazuje jednoznacznie: 81% skutecznych włamań to obecnie ataki typu malware-free. Tradycyjne rozwiązania antywirusowe stają się zbędnym balastem w momencie, gdy napastnik posługuje się Twoim własnym, legalnie wystawionym kluczem dostępu. Dogmat głoszący, że wdrożenie MFA rozwiązuje problem bezpieczeństwa tożsamości, jest niebezpiecznym mitem. Standardowe uwierzytelnianie wieloskładnikowe skutecznie blokuje jedynie amatorów korzystających z baz skradzionych haseł na BreachForums. Dla grup typu APT (Advanced Persistent Threat) jest to zaledwie drobna niedogodność techniczna. Prawdziwym punktem zapalnym pozostaje kradzież ciasteczek sesyjnych, czyli Session Hijacking. Gdy napastnik przejmie token __Host-GAPS lub jego odpowiednik, system Zero Trust rozpoznaje go jako zweryfikowany podmiot. Żaden mechanizm nie zapyta o drugi składnik, ponieważ z perspektywy architektury sesja już trwa i została poprawnie zautoryzowana.

Architektura pozorów: Gdzie segmentacja zawodzi biznes

Praktyka audytowa wykazuje, że mikrosegmentacja sieci w większości firm kończy się na martwych schematach w dokumentacji. W 2025 roku projekty separacji zasobów upadają pod ciężarem własnej złożoności szybciej niż startupy bez finansowania. Dane Cisco potwierdzają, że 54% organizacji porzuca te inicjatywy ze względu na zbyt splątane środowiska hybrydowe. Poleganie na VLANach jako metodzie izolacji to archaizm techniczny z lat 90., który nie przystaje do dynamiki chmury. Nowoczesna obrona wymaga segmentacji opartej na tożsamości logicznej, a nie na fizycznej lokalizacji w sieci. Jeśli serwer bazy danych nawiązuje połączenie z terminalem działu marketingu, następuje krytyczna awaria polityk, która powinna skutkować natychmiastowym odcięciem zasobów.

Wdrażanie rozwiązań ZTNA (Zero Trust Network Access) jako prostego następcy technologii VPN to kosztowny błąd strategiczny. Jeśli system ZTNA dopuszcza ruch w trybie "tunnel mode" do całych podsieci, w rzeczywistości buduje się autostradę dla ruchów bocznych (lateral movement). Napastnik po sforsowaniu jednego punktu styku zyskuje dostęp do wszystkiego, co znajduje się wewnątrz zdefiniowanego tunelu. Prawdziwa odporność systemowa wymaga przejścia na model ZTDA (Zero Trust Data Access). Kontrola musi być sprawowana na poziomie konkretnego wywołania API i pojedynczego obiektu danych. Incydenty z 2024 roku pokazały falę ataków na zaufane aplikacje SaaS, gdzie intruzi nadpisywali uprawnienia wewnątrz platformy. Omijali w ten sposób cały obwód sieciowy, na którego zabezpieczenie wydano miliony dolarów.

Inżynieria zaufania a rachunek strat

Zasada awersji do straty w cyberbezpieczeństwie jest bezlitosna. Nikt nie kupuje "bezpieczeństwa", bo ono nie jest mierzalne. Kupuje się brak przestojów, ochronę reputacji i uniknięcie kar od regulatorów. Gdy system zawiedzie, marka budowana dekadami zostaje skażona w ciągu jednej godziny wycieku. Efekt rogów sprawia, że po jednym incydencie klienci zaczynają kwestionować każdy aspekt działalności firmy, od jakości produktu po rzetelność obsługi. Inwestycja w zaawansowane SIEM czy UEBA (User and Entity Behavior Analytics) nie może być postrzegana jako koszt. To jedyny sposób na skrócenie czasu wykrycia intruza (Mean Time to Detect), który według raportu Mandiant M-Trends 2025 wciąż wynosi zbyt wiele dni.

Wdrażanie analityki behawioralnej bez jasnych reguł automatyzacji to generowanie szumu informacyjnego. Systemy muszą reagować w czasie rzeczywistym. Jeśli administrator loguje się o godzinie 3:00 rano z nietypowego adresu IP i rozpoczyna masowe pobieranie logów z bazy produkcyjnej, algorytm musi ubić sesję natychmiast. Oczekiwanie na reakcję człowieka w centrum operacyjnym SOC (Security Operations Center) to proszenie się o katastrofę. Napastnik operuje szybciej niż procedury korporacyjne. Wykorzystanie narzędzi CASB (Cloud Access Security Brokers) pozwala na wymuszenie tych samych rygorystycznych zasad w chmurze, które obowiązują w infrastrukturze lokalnej. Bez spójności polityk między AWS, Azure a własną serwerownią, architektura Zero Trust pozostaje jedynie zbiorem niepołączonych wysp.

Plan operacyjny na poniedziałek rano

Działania naprawcze należy rozpocząć od wymuszenia stosowania kluczy sprzętowych zgodnych ze standardem FIDO2 lub Passkeys. To obecnie jedyna technologia uwierzytelniania, która fizycznie uniemożliwia przeprowadzenie phishingu typu AitM poprzez powiązanie klucza z konkretną domeną. Kolejnym krokiem jest drastyczne skrócenie czasu życia tokenów sesyjnych oraz implementacja mechanizmu Device Binding. Ukradziony token nie może mieć żadnej wartości, jeśli zostanie użyty na urządzeniu o innym odcisku cyfrowym niż ten, z którego pochodzi.

Należy zrewidować procesy sprawdzania stanu urządzeń (Posture Check). Certyfikat na dysku laptopa to za mało. System musi weryfikować, czy EDR jest aktywny, czy system operacyjny posiada najnowsze poprawki i czy urządzenie nie wykazuje oznak infekcji przed każdym, pojedynczym udzieleniem dostępu do aplikacji. Ostatnim etapem jest audyt uprawnień API. Należy zidentyfikować wszystkie "martwe" konta serwisowe i ograniczyć im dostęp zgodnie z zasadą Least Privilege. Każde nadmiarowe uprawnienie to potencjalny wektor ataku, który zostanie wykorzystany w najmniej spodziewanym momencie.

Bibliografia:

1. Microsoft Digital Defense Report 2024: Analiza trendów kradzieży tożsamości chmurowej.
   
2. CrowdStrike Global Threat Report 2025: Statystyki dotyczące ataków bez użycia złośliwego oprogramowania.
   
3. Mandiant M-Trends 2025: Studium przypadków lateral movement w środowiskach hybrydowych.
   
4. r/netsec: Dokumentacja techniczna nowych metod bypassowania systemów EDR.