W analizie opublikowanej 16 czerwca 2026 r. ESET Research opisuje dwa wcześniej nieopisane warianty SprySOCKS dla Windows. Według badaczy jeden z nich, WIN_DRV, wykorzystuje sterownik jądra do ukrywania m.in. połączeń i plików. Dla zespołów odpowiedzialnych za integralność środowisk Windows to powód, by sprawdzić, na ile obraz hosta zależy od danych raportowanych przez sam system.

Wyobraź sobie recepcję biurowca, w której księga gości jest jedynym źródłem wiedzy o tym, kto przebywa w budynku. Ochrona przegląda wpisy, liczy przepustki i uznaje, że wszystko się zgadza. Jeśli jednak ktoś potrafi wymazywać z księgi wybrane nazwiska, porządek w dokumentacji przestaje mówić cokolwiek o tym, kto naprawdę chodzi po korytarzach. Według ESET wariant WIN_DRV używa sterownika jądra właśnie do takiego wymazywania: do ukrywania m.in. połączeń i plików. Analogia ma granice i nie opisuje szczegółów technicznych, których przytoczone ustalenia nie podają. Pokazuje jednak pytanie na przegląd monitoringu Windows: skąd wiemy, że lista połączeń i plików widoczna na hoście jest pełna? Poniższe zalecenia są wnioskami redakcyjnymi z opisanego mechanizmu, a nie relacją z incydentu w konkretnej organizacji.

WIN_DRV przenosi ukrywanie do sterownika jądra

Według ESET Research SprySOCKS dla Windows występuje w dwóch wariantach, które wcześniej nie były opisane. Dla oceny ochrony hosta najważniejszy jest WIN_DRV: badacze wskazują, że wykorzystuje sterownik jądra do ukrywania m.in. połączeń i plików. Sformułowanie „m.in.” oznacza, że lista ukrywanych elementów jest szersza od tych dwóch przykładów. Przytoczone fakty nie wymieniają pozostałych, nie opisują też szczegółowo drugiego wariantu, dlatego tego nie uzupełniajmy.

Konsekwencja dla monitoringu jest prosta. Jeśli sterownik ukrył połączenie albo plik, narzędzie, które pyta o nie ten sam system, może ich nie zobaczyć. Pusty wynik zapytania nie rozstrzyga wtedy, czy aktywności nie było, czy tylko system jej nie pokazał.

Chronologię także zapiszmy precyzyjnie. Analiza opublikowana 16 czerwca 2026 r. opisuje obserwacje z lat 2023–2024. Data publikacji nie wyznacza początku działań z użyciem SprySOCKS ani nie dowodzi ich nasilenia w ostatnich miesiącach.

Gdy złośliwy kod działa w sterowniku jądra, pusty wynik na hoście przestaje być dowodem braku aktywności.

Procedura integralności Windows powinna obejmować sterowniki

Po lekturze opisu WIN_DRV proponujemy sprawdzić, czy kontrola integralności Windows w organizacji w ogóle dotyka sterowników. Zapytajmy wprost, czy istnieje lista sterowników jądra uznanych za oczekiwane na serwerach i stacjach. Kto zatwierdza nowe pozycje? Kto porównuje stan faktyczny z tą listą i jak często?

Nie zakładajmy z góry odpowiedzi. W części organizacji taki rejestr może istnieć, w innych kontrola integralności może dotyczyć wyłącznie aplikacji i konfiguracji. Przedmiotem przeglądu powinien być dokument lub zapis, który zespół potrafi pokazać, a nie deklaracja, że „sterowniki są pod kontrolą”.

Drugie pytanie dotyczy telemetrii. Dla wybranego hosta Windows ustalmy, skąd pochodzą informacje o połączeniach sieciowych i plikach, na których opiera się monitoring. Jeśli każda z nich pochodzi wyłącznie z samego hosta, zapiszmy to jako ustalenie. Opis WIN_DRV pokazuje, że właśnie te dwie kategorie danych sterownik jądra może ukryć.

Zarząd powinien wiedzieć, na czym opiera obraz hostów

Po analizie SprySOCKS postawmy zespołowi bezpieczeństwa zadanie z wyraźnym wynikiem: opisać, które informacje o hostach Windows pochodzą z samego systemu, a które z niezależnego punktu obserwacji, i kto odpowiada za zarządzanie sterownikami. Raport z tego przeglądu ma wartość dla zarządu, bo pokazuje granice pewności. Decyzje o reakcji na incydent, o zamknięciu sprawy czy o zgłoszeniu zdarzenia zapadają na podstawie tego, co widać w telemetrii.

Ustalenia ESET nie podają kosztu dostosowania monitoringu ani tego, czy konkretne narzędzia wykryją WIN_DRV. Decyzję o wydatku oprzyjmy więc na wynikach własnego przeglądu. Jeśli zespół proponuje nowe narzędzie lub zmianę konfiguracji, niech wskaże, na które otwarte pytanie z przeglądu ma ono odpowiedzieć.

Odpowiedzialność rozdzielmy jawnie. Jeśli zarządzanie sterownikami leży po stronie administratorów systemów, a telemetria po stronie zespołu monitoringu, opis WIN_DRV łączy oba zakresy odpowiedzialności w jednym ryzyku. Wskażmy wtedy osobę, która odpowiada za ich styk.

Telemetria z hosta jest tak wiarygodna, jak integralność systemu, który ją wytwarza. Zarządzanie sterownikami należy do tej samej rozmowy co monitoring.

Polski kontekst: przegląd Windows bez przypisywania ofiar

Przytoczone ustalenia o SprySOCKS nie dają podstaw do twierdzenia, że warianty dla Windows dotknęły polskie organizacje. Nie przedstawiajmy ich więc jako zagrożenia wymierzonego w krajowe firmy. W polskim zespole wykorzystajmy opis WIN_DRV jako punkt odniesienia do oceny integralności własnych środowisk Windows.

Zadanie dla analityka nazwijmy przeglądem zarządzania sterownikami i źródeł telemetrii. Nie nazywajmy go poszukiwaniem potwierdzonego incydentu SprySOCKS. Jeśli pojawią się braki w widoczności, opiszmy je jako wynik własnej weryfikacji. Sam opis mechanizmu z obserwacji z lat 2023–2024 nie rozstrzyga, czy organizację zaatakowano ani czy używane narzędzia wykryłyby ten wariant.

Co z tym zrobić w poniedziałek

Na każdy punkt przeznacz najwyżej 30 minut. Jeśli w tym czasie nie uzyskasz odpowiedzi, zapisz brak i osobę, która ma go wyjaśnić.

  1. Sprawdź listę sterowników na jednym hoście. Wybierz serwer lub stację Windows, pobierz listę załadowanych sterowników jądra i porównaj ją z listą oczekiwanych pozycji. Jeśli takiej listy nie ma, zapisz to jako pierwsze ustalenie przeglądu i wskaż jej przyszłego właściciela.
  2. Opisz źródła danych o połączeniach i plikach. Dla tego samego hosta ustal, które informacje o połączeniach sieciowych i plikach monitoring pobiera wyłącznie z samego systemu. Zapisz, czy istnieje drugi punkt obserwacji, z którego da się je porównać.
  3. Zadaj pytanie o ukrywanie przez sterownik. Poproś zespół monitoringu lub dostawcę narzędzia o pisemną odpowiedź, jak rozwiązanie zachowuje się, gdy sterownik jądra ukrywa połączenia i pliki. Dołącz odpowiedź do notatki z przeglądu i oznacz, czy opiera się na dokumentacji, czy na deklaracji.

Opis WIN_DRV przypomina, że widoczność hosta Windows zależy od integralności tego hosta. Kontrola sterowników i ocena telemetrii powinny więc trafić do jednego przeglądu z jednym właścicielem. Wynikiem ma być spis tego, co organizacja naprawdę widzi, oraz jawnie opisane miejsca, w których polega na zaufaniu do samego systemu.

Źródła

  1. ESET Research: FishMonger’s arsenal upgraded: SprySOCKS for Windows, publikacja: 16 czerwca 2026 r.

Redakcja cyberinsight.pl.