Według opublikowanego 28 lipca raportu Cisco Talos IR w obsługiwanym incydencie Sinobi zmodyfikowany MeshAgent utrzymywał dostęp przez około trzy dni przed wdrożeniem ransomware. Dla osób zarządzających wsparciem IT to powód, by sprawdzić listę dozwolonych agentów, przypisanych im właścicieli i kontrolę kont usługowych.

Czy przy narzędziu do zdalnej obsługi wystarczy adnotacja „używa go dostawca”? Przypadek MeshAgent opisany przez Talos IR daje powód, by poprosić o dokładniejszą odpowiedź: kto zatwierdził użycie agenta, w jakim celu i kto odpowiada za sprawdzanie tego dostępu? Odpowiedź powinna wskazywać osobę, która potrafi uzasadnić obecność agenta w firmie i wyjaśnić, do jakich zadań jest potrzebny. Do rozmowy o wsparciu IT połóżmy obok siebie listę dopuszczonych agentów i wskazanie ich właścicieli. Przy każdym wpisie sprawdźmy potwierdzenie zasadności dostępu. Dopiero z takim zestawieniem przejdźmy do oceny, czy firma potrafi rozliczyć uprawnienia przyznane na potrzeby obsługi.

MeshAgent utrzymywał dostęp przed wdrożeniem ransomware

Jak podaje Cisco Talos IR, zespół po raz pierwszy opisał obsługiwany incydent Sinobi. Obsługa przypadła na kwiecień, natomiast raport opublikowano 28 lipca 2026 r.

Według Talos IR rolą zmodyfikowanego MeshAgent było utrzymywanie dostępu. Podany okres około trzech dni dotyczy czasu przed wdrożeniem ransomware w analizowanym zdarzeniu. Ta obserwacja nie wyznacza terminu reakcji dla innych organizacji. Nie daje też podstaw, by uznać każdą instalację MeshAgent za ślad ataku.

Przy ocenie agenta sprawdzajmy jego zatwierdzone zastosowanie i odpowiedzialność za dostęp. Sama nazwa nie wystarczy. W rejestrze dozwolonych agentów zapiszmy również zakres dopuszczonego użycia oraz osobę, która potwierdza, że wpis nadal odpowiada potrzebom usługi.

Lista dozwolonych agentów zdalnej obsługi powinna wskazywać właściciela i zakres zatwierdzonego dostępu przy każdym wpisie.

Procedurę wsparcia sprawdźmy na konkretnym wpisie agenta

Przypadek zmodyfikowanego MeshAgent to powód, by porównać dokumentację z praktyką we własnej firmie. Wybierzmy wpis dotyczący zdalnej obsługi i poprośmy właściciela usługi IT o wskazanie odpowiadającego mu zatwierdzenia. Sprawdźmy, czy można ustalić, czego ono dotyczy i kto ma je weryfikować.

Jeżeli odpowiedź kończy się na nazwie dostawcy, dopiszmy pytanie o osobę odpowiedzialną po stronie firmy. Jeżeli zatwierdzenie obejmuje ogólnie „wsparcie IT”, ustalmy zakres dostępu dla wybranego agenta. Wynikiem powinna być decyzja o potwierdzeniu wpisu albo wskazanie brakującego ustalenia.

Przy tym samym przeglądzie uwzględnijmy konta usługowe. Odnotujmy właściciela konta, uzasadnienie jego użycia i osobę zatwierdzającą uprawnienia. Dla wybranego konta wskażmy również, kto rozstrzygnie, czy obecny zakres uprawnień pozostaje potrzebny. Zapiszmy wynik tego sprawdzenia przy koncie, tak aby kolejny przegląd mógł odwołać się do konkretnej decyzji. Gdy właściciel potwierdza, że konto jest nadal potrzebne, poprośmy go o odniesienie się także do poszczególnych uprawnień. Samo uzasadnienie celu konta nie powinno kończyć ich kontroli.

Odpowiedzialność za dostęp przypiszmy właścicielowi usługi IT

Rozmowę zarządu z właścicielem usługi zacznijmy od rezultatu przeglądu: które wpisy agentów i kont mają potwierdzenie, a które wymagają wyjaśnienia? Przy pozycji bez właściciela wyznaczmy osobę odpowiedzialną za zebranie informacji. Przy pozycji bez uzasadnienia dostępu ustalmy, kto podejmie decyzję o dalszym używaniu. Pytajmy o konkretny wpis.

Odnotowanych przez Talos IR około trzech dni nie zamieniajmy w dopuszczalny czas zwłoki. We własnym przeglądzie zapiszmy sposób zgłoszenia agenta, którego użycia nie udało się potwierdzić, oraz osobę przyjmującą takie zgłoszenie. Ustalmy też, kto ma prawo zdecydować o ograniczeniu dostępu po ocenie sytuacji. Zapiszmy tę ścieżkę decyzji przy rejestrze, żeby osoba sprawdzająca agenta wiedziała, komu przekazać wątpliwości.

Właściciel usługi IT powinien umieć wskazać, kto zatwierdza dostęp i kto rozstrzyga przypadki bez potwierdzenia.

Koszt przeglądu oraz skutki ewentualnego ograniczenia wsparcia IT pozostają do oceny we własnej organizacji. Do decyzji przygotujmy zakres planowanych zmian i wskazanie usług, których miałyby dotyczyć. Właściciel usługi powinien wskazać, które zadania wsparcia korzystają z dostępu objętego decyzją. Na tej podstawie ustalmy z nim zakres ewentualnego ograniczenia oraz to, jak sprawdzimy, że ograniczenie weszło w życie.

Przegląd relacji z dostawcą zacznijmy od zestawienia uzgodnionego zakresu usługi z listą dopuszczonych agentów i kont usługowych. Uzgodnijmy, kto po stronie firmy ocenia, czy agent jest potrzebny, a kto po stronie dostawcy potwierdza jego zastosowanie w usłudze IT. Do przeglądu wróćmy z odpowiedziami przypisanymi do wpisów wymagających wyjaśnienia.

Co z tym zrobić w poniedziałek

  1. Rozpocznij listę dozwolonych agentów. W 30 minut przejrzyj dostępny rejestr dla wybranej usługi wsparcia IT. Zapisz agenta, zakres zatwierdzonego użycia i brakujące potwierdzenia. Zakończ zadanie listą pytań do właściciela tej usługi.
  2. Sprawdź przypisanie właściciela. Poświęć 30 minut na wybrany wpis agenta zdalnej obsługi. Wskaż osobę zatwierdzającą dostęp oraz osobę przyjmującą zgłoszenia o niepotwierdzonym użyciu. Jeśli danych brakuje, przypisz zadanie ich uzupełnienia.
  3. Zacznij kontrolę konta usługowego. W 30 minut sprawdź dostępną dokumentację wybranego konta używanego do wsparcia IT: właściciela, cel i zatwierdzone uprawnienia. Niewyjaśnione pozycje zapisz do dalszego przeglądu z osobą odpowiedzialną za odpowiedź.

Przypadek MeshAgent uzasadnia postawienie właścicielowi wsparcia IT konkretnego wymagania: każdy dopuszczony agent ma mieć potwierdzony cel, zakres użycia i odpowiedzialną osobę. Tę samą zasadę zastosujmy do kont usługowych objętych przeglądem. Od zarządzających usługą oczekujmy decyzji przy wpisach wymagających wyjaśnienia, a następnie sprawdzenia, czy te decyzje wykonano.

Źródła

Redakcja cyberinsight.pl.