Wczoraj, 25 czerwca, ESET opublikował analizę działań grupy Gamaredon w 2025 roku wobec ukraińskich instytucji rządowych i wojskowych. Według badaczy grupa rozwijała wyprowadzanie danych do magazynów chmurowych i ukrywała serwery sterowania za usługami pośredniczącymi. Dla firm, które wymieniają dane z partnerami z regionu, to sygnał, że obecność domeny na liście zaufanych jeszcze nic nie mówi o tym, czyje dane nią płyną i dokąd trafiają.

Wyobraź sobie recepcję biurowca, w której ochrona przepuszcza każdego kuriera w kurtce znanej firmy przewozowej. Nikt nie zagląda do paczek, bo logo budzi zaufanie, a sprawdzanie każdej przesyłki spowolniłoby pracę całego piętra. Taka recepcja zatrzymuje obcych w przypadkowych ubraniach. Gorzej radzi sobie z kimś, kto zdobył właściwą kurtkę i wynosi z budynku segregatory. Lista zaufanych domen chmurowych w firmowej sieci działa podobnie: ocenia adres docelowy ruchu. Zawartości przesyłki i tego, kto ją nadał, zwykle nie sprawdza. Opis ESET pokazuje, dlaczego ta różnica ma znaczenie. Według analizy obejmującej 2025 rok Gamaredon sięgał po legalne usługi tam, gdzie obrońca widzi przede wszystkim codzienną pracę biurową.

Magazyn w chmurze posłużył Gamaredon do odbioru danych

Publikacja ESET nosi tytuł „Gamaredon in 2025: Leveraging tunnels, workers, dead drops, and new alliances”. Z jej ustaleń bierzemy do tego tekstu dwa wątki. Pierwszy to rozwój eksfiltracji, czyli wyprowadzania danych, do magazynów chmurowych. Drugi to ukrywanie serwerów sterowania za usługami pośredniczącymi.

Oba wątki prowadzą do tego samego efektu w firmowych logach. Gdy dane trafiają do magazynu w chmurze, sieć rejestruje połączenie z usługą, z której mogą korzystać także pracownicy. Gdy serwer sterowania stoi za pośrednikiem, w zapisach widać adres pośrednika. Właściwy serwer grupy pozostaje za nim. W obu przypadkach ocena oparta wyłącznie na reputacji adresu daje wynik uspokajający.

Fakty, na których opieramy ten tekst, nie zawierają nazw konkretnych usług, liczby zaatakowanych instytucji ani objętości wyprowadzonych danych. Tych liczb tu nie podajemy. Nie rozwijamy też pozostałych pojęć z tytułu publikacji, bo przytoczone ustalenia ich nie opisują.

Reputacja domeny mówi, kto prowadzi usługę. Nie mówi, kto akurat z niej korzysta ani co przez nią wysyła.

Wyjątek dla chmury zostawia lukę w obserwacji ruchu

ESET opisuje działania wobec ukraińskich instytucji rządowych i wojskowych. Przytoczone ustalenia nie mówią, jakie zasady filtrowania ruchu obowiązywały w tych organizacjach ani jak reagowały na nie zespoły bezpieczeństwa. Zderzenie procedury z praktyką przeprowadźmy więc na własnej sieci.

Lista zaufanych domen może powstać z prostego powodu: usługi chmurowe są potrzebne do pracy, a blokowanie ich albo dokładne sprawdzanie każdego połączenia generuje zgłoszenia od użytkowników. Jeśli w Twojej firmie magazyny chmurowe trafiły na listę wyjątków, ustal, co dokładnie ten wyjątek wyłącza. Czy ruch do tych usług nadal jest zapisywany? Czy ktoś widzi, który komputer albo serwer wysłał dane i ile ich było?

Te dwa pytania przesuwają kontrolę z adresu na zachowanie. Serwer plików, który przez miesiące nie łączył się z magazynem chmurowym, a nagle zaczyna do niego wysyłać dane, budzi wątpliwości niezależnie od reputacji domeny docelowej. Podobnie stały, regularny ruch do usługi pośredniczącej z maszyny, która nie ma powodu z niej korzystać. Lista domen takiej zmiany nie wychwyci, bo z jej perspektywy wszystko jest w porządku.

Wyjątek na liście zaufanych domen powinien zawężać blokowanie. Obserwację ruchu i danych powinien zostawić włączoną.

Zarząd pyta o przepływ danych zamiast o długość listy

Dla zarządu analiza ESET z 25 czerwca nie jest dowodem nasilenia ataków w bieżącym kwartale. Dotyczy obserwacji z 2025 roku, a jej podstawą jest otwarty dokument pierwotny jednego dostawcy, bez niezależnego potwierdzenia w mediach. Nie uzasadnia więc nagłych zakupów ani przeliczania ryzyka na konkretne kwoty strat. Tych danych w przytoczonych ustaleniach nie ma.

Uzasadnia natomiast pytanie o odpowiedzialność. Kto w organizacji zatwierdza wyjątki dla usług chmurowych? Kiedy ostatnio je przeglądano? Czy każdy wyjątek ma przypisany wymóg rejestrowania ruchu, czy oznacza po prostu przepuszczenie wszystkiego? Odpowiedzi pokażą, czy firma kontroluje przepływ danych, czy tylko utrzymuje listę adresów uznanych za bezpieczne.

Koszt takiego przeglądu to głównie czas osób odpowiedzialnych za sieć i bezpieczeństwo. Wynik powinien wskazać, dla których usług brakuje zapisów o przesyłanych danych, i właściciela decyzji o ich uzupełnieniu.

Polskie firmy w obiegu danych z partnerami z regionu

Analiza ESET dotyczy ukraińskich instytucji rządowych i wojskowych. Przytoczone ustalenia nie wskazują polskich ofiar Gamaredon i ten tekst takich ofiar nie sugeruje. Polski kontekst wynika z relacji. Firma, która wymienia dokumenty z ukraińskimi instytucjami albo z partnerami z regionu, uczestniczy w tym samym obiegu informacji, który opisują badacze.

W takiej relacji ochrona danych obejmuje także dane powierzone przez partnera. Jeśli wymiana plików odbywa się przez magazyn chmurowy, właściciel relacji z partnerem powinien wiedzieć, która usługa jest uzgodniona z drugą stroną i kto po obu stronach ma do niej dostęp. Zaufanie do partnera łatwiej utrzymać, gdy obie strony wiedzą, jakim kanałem płyną dokumenty i kto może zauważyć wysyłkę poza ten kanał.

Co z tym zrobić w poniedziałek

  1. Wypisz wyjątki dla usług chmurowych. Z konfiguracji filtrowania ruchu wybierz domeny magazynów chmurowych i usług pośredniczących, które są przepuszczane bez sprawdzania. Przy każdej zanotuj, czy ruch jest nadal zapisywany, oraz kto zatwierdził wyjątek.
  2. Sprawdź widoczność wysyłki danych z jednego serwera. Wybierz serwer z wrażliwymi danymi i zapytaj zespół bezpieczeństwa, czy potrafi pokazać jego połączenia z magazynami chmurowymi z ostatniego tygodnia oraz objętość wysłanych danych. Zapisz odpowiedź jako punkt wyjścia do przeglądu.
  3. Potwierdź kanał wymiany plików z partnerami z regionu. Sporządź listę partnerów, z którymi wymieniasz dokumenty przez usługi chmurowe, i przy każdym wpisz uzgodnioną usługę. Brak uzgodnienia zgłoś właścicielowi relacji jako sprawę do zamknięcia.

Gamaredon, według ESET, umieścił kradzież danych i sterowanie atakiem w miejscach, które firmowe zabezpieczenia mogą traktować jako bezpieczne z założenia. Lista zaufanych domen pozostaje przydatna, ale bez wglądu w to, kto i ile danych wysyła, chroni głównie przed napastnikiem, który z legalnych usług nie korzysta. Przegląd wyjątków kosztuje mniej niż późniejsze wyjaśnianie, dokąd wyszły dokumenty partnera.

Źródła

Redakcja cyberinsight.pl.