CERT Polska opisuje podatność klientów TeamViewer dla systemu Linux, której wykorzystanie wymaga kliknięcia specjalnie przygotowanego linku w czacie. Domyślna blokada wiadomości od nieznajomych ogranicza ten scenariusz, ale pozostawia możliwość ataku przez nadawcę z listy kontaktów operatora. Reguły pomocy zdalnej powinny więc obejmować również komunikator i sposób traktowania wiadomości od znanych rozmówców.

Czy wpis na liście kontaktów wystarczy, żeby uznać link przesłany operatorowi za bezpieczny? Ostrzeżenie CERT Polska z 28 sierpnia 2026 r. daje powód, aby zakwestionować takie założenie w procedurze pomocy zdalnej. Na początek września proponujemy przegląd obejmujący klientów Linux, ustawienia wiadomości i proces aktualizacji. Punktem wyjścia niech będzie sposób pracy operatora: od kogo może otrzymać wiadomość i jak ma postąpić z zawartym w niej odnośnikiem. Sam zapis, że wolno rozmawiać ze znanymi kontaktami, zostawia bez odpowiedzi pytanie o bezpieczeństwo treści. W tym przeglądzie potraktujmy zatem listę kontaktów jako element wymagający oceny, a przyzwolenie na rozmowę oddzielmy od decyzji o kliknięciu linku.

Link w czacie jest warunkiem wykorzystania luki

Według CERT Polska problem dotyczy TeamViewer Full Client oraz TeamViewer Host dla systemu Linux. Opisany mechanizm łączy kliknięcie spreparowanego odnośnika w wiadomości czatu z wykonaniem poleceń. W ocenie tego scenariusza zachowajmy warunek działania użytkownika: samo otrzymanie wiadomości nie wystarcza do opisania przebiegu ataku.

Jak podaje CERT Polska, domyślnie wiadomości od osób spoza listy kontaktów są wyłączone. Ta blokada ogranicza drogę dostarczenia linku, jednak nie zamyka jej przed nadawcą, który znajduje się na liście. Dla procedury oznacza to, że sprawdzenie ustawienia wiadomości od nieznajomych powinno iść w parze z oceną kontaktów dopuszczonych do rozmowy.

Przy przeglądzie klientów Linux zapiszmy osobno stan oprogramowania, ustawienia czatu i zasady otwierania odnośników. Odpowiedź dotycząca jednego z tych elementów nie powinna zastępować pozostałych ustaleń. Jeżeli administrator potwierdzi wyłączone wiadomości od nieznajomych, poprośmy również o sprawdzenie, jak procedura traktuje linki od zapisanych kontaktów.

Dopuszczenie rozmówcy do czatu nie powinno oznaczać automatycznej zgody na otwieranie jego linków.

Procedura operatora powinna obejmować znanych rozmówców

Przełóżmy opis CERT Polska na kontrolę własnych zasad. Znajdźmy fragment instrukcji pomocy zdalnej dotyczący wiadomości i odnośników. Sprawdźmy, czy obejmuje kontakty zapisane przez operatora. Jeżeli instrukcja kończy się na zakazie przyjmowania wiadomości od nieznajomych, uzupełnijmy ją o postępowanie z linkiem otrzymanym od znanego nadawcy. To rekomendacja wynikająca z warunków opisanej podatności; dostępne fakty nie dokumentują naruszenia procedur przez konkretnych pracowników.

Podczas przeglądu poprośmy operatora klienta Linux o wskazanie, z których zapisanych kontaktów korzysta przy pomocy zdalnej. Kontakty o nieustalonym przeznaczeniu oznaczmy jako do wyjaśnienia i zapiszmy przy nich osobę odpowiedzialną za decyzję o ich dalszym utrzymaniu. Nie przypisujmy rozmówcy zamiaru ataku wyłącznie na podstawie obecności na liście. Przedmiotem sprawdzenia jest uzasadnienie dopuszczonej komunikacji.

Instrukcję dla operatora uzupełnijmy o sposób postępowania, gdy cel przesłanego linku jest niejasny. Zalecamy wstrzymanie kliknięcia i wyjaśnienie, do czego odnośnik ma służyć. Sam status kontaktu nie powinien zwalniać z tej zasady. Uporządkowanie listy potraktujmy jako część przeglądu komunikatora, a stan aktualizacji klienta Linux sprawdźmy odrębnie.

Zarząd powinien wymagać wyniku przeglądu i właściciela aktualizacji

Wniosek zarządczy z ostrzeżenia CERT Polska dotyczy granic odpowiedzialności za pomoc zdalną. Do osoby nadzorującej tę usługę skierujmy prośbę o potwierdzenie, czy przegląd obejmuje klientów Linux oraz komunikator operatora. W odpowiedzi oczekujmy wskazania zakresu sprawdzenia, ustaleń i brakujących danych. Ogólne zapewnienie o korzystaniu z zaufanych kontaktów pozostawia ustawienia i stan oprogramowania bez rozstrzygnięcia.

W procesie aktualizacji wyznaczmy osobę, która ustali stan używanych klientów, zaplanuje potrzebne działania i potwierdzi ich wykonanie. W zestawieniu dla zarządu rozróżnijmy aktualizację wykonaną, zaplanowaną i niepotwierdzoną. Przy ostatnim statusie zapiszmy, jakiej informacji brakuje oraz kto ma ją dostarczyć. Zakończenie zadania powiążmy z potwierdzeniem dotyczącym sprawdzanych instalacji, zamiast uznawać samo przekazanie ostrzeżenia administratorowi za wynik przeglądu.

Dostępne fakty nie pozwalają wycenić potencjalnych strat ani określić prawdopodobieństwa ataku na konkretną firmę. Rozmowę o zasobach oprzyjmy więc na zadaniach do wykonania: ustaleniu używanych klientów Linux, sprawdzeniu czatu i uzyskaniu statusu aktualizacji. Jeśli brakuje czasu na pełny przegląd, nazwijmy jego wykonany zakres i zaplanujmy pozostałe sprawdzenia. Nie rozszerzajmy wyniku z wybranego stanowiska na całą organizację.

Zamknięcie przeglądu pomocy zdalnej powinno wymagać ustaleń dotyczących aktualizacji i komunikatora operatora.

Ostrzeżenie CERT Polska wyznacza zakres lokalnego sprawdzenia

Polskim punktem odniesienia jest komunikat CERT Polska opublikowany 28 sierpnia. W wewnętrznym zadaniu przeglądu podajmy jego tytuł, datę i link, aby osoby odpowiedzialne za pomoc zdalną odnosiły odpowiedzi do tego samego problemu. Dla kierującego zespołem będzie to także sposób na sprawdzenie, czy otrzymana informacja dotyczy właśnie klientów Linux i opisanego scenariusza z czatem.

Nie mamy podstaw, by przedstawiać ten komunikat jako dowód wzrostu liczby ataków ani opis incydentu w określonej polskiej firmie. Nie znamy też stanu instalacji u czytelnika. Dlatego w rozmowie z administratorem zacznijmy od ustalenia, czy wskazane oprogramowanie jest używane. Jeśli tak, rozszerzmy zadanie o ustawienia komunikatora i proces aktualizacji; jeśli odpowiedź pozostaje nieustalona, wpiszmy ten brak do wyniku przeglądu. Samo przeczytanie ostrzeżenia CERT Polska nie rozstrzyga sytuacji własnej organizacji.

Co z tym zrobić w poniedziałek

Każdy punkt ogranicz do 30 minut i wybranego stanowiska albo dostępnego wykazu. Zapisz zakres sprawdzenia, aby jego wynik można było później rozszerzyć.

  1. Sprawdź klientów Linux. Przejrzyj dostępny wykaz oprogramowania pod kątem klientów wskazanych przez CERT Polska. Zapisz znalezione instalacje i osoby odpowiedzialne za ich utrzymanie. Brak danych oznacz jako zadanie do uzupełnienia, z wyznaczonym właścicielem.
  2. Sprawdź czat i kontakty operatora. Na wybranym stanowisku odczytaj ustawienie wiadomości od nieznajomych. Przejrzyj z operatorem zapisane kontakty oraz instrukcję otwierania linków. Zanotuj ustawienie i potrzebne wyjaśnienia dotyczące listy lub procedury.
  3. Ustal status aktualizacji. Sprawdź dostępny zapis prac dotyczących klientów Linux. Jeśli nie potwierdza ich stanu, skieruj do administratora prośbę o weryfikację z linkiem do komunikatu CERT Polska. Zapisz odpowiedzialnego i termin odpowiedzi; w tym kroku ustalasz status oraz dalsze działania.

Reguły pomocy zdalnej powinny sięgać aż do wiadomości czytanych przez operatora. Zaufanie do kontaktu potraktujmy jako zgodę na rozmowę, a przesłany link oceńmy osobno. W przeglądzie klientów Linux połączmy tę zasadę z potwierdzeniem stanu aktualizacji.

Źródła

Redakcja cyberinsight.pl.