Wczoraj, 20 maja, ESET Research opublikował analizę działań grupy Webworm z 2025 roku, wymierzonych w administrację m.in. w Polsce, Belgii, Włoszech i Serbii. Według badaczy nowe backdoory EchoCreep i GraphWorm komunikowały się z operatorami przez Discord i Microsoft Graph. Dla polskich instytucji i ich dostawców to sygnał, że kanał sterowania atakiem może w logach wyglądać jak zwykła praca w chmurze.

Zadaj zespołowi bezpieczeństwa proste pytanie: czy połączenie ze stacji roboczej do Microsoft Graph albo do Discorda powinno trafić do kolejki analityka? Łatwo o odpowiedź, która brzmi rozsądnie. Ruch do Graph to tło codziennej pracy. Discord to najwyżej sprawa regulaminu korzystania ze sprzętu służbowego. Obie odpowiedzi mają ten sam słaby punkt: oceniają usługę, z którą łączy się komputer, a pomijają program, który to połączenie nawiązał. Według ESET właśnie te dwie usługi posłużyły nowym backdoorom Webworm do komunikacji z serwerami sterowania. Dalsze zalecenia są wnioskami redakcji z opisanego mechanizmu. Nie opisują konkretnego incydentu w polskiej instytucji.

EchoCreep i GraphWorm przeniosły sterowanie do znanych usług

ESET opisuje dwa nowe backdoory przypisane grupie Webworm: EchoCreep i GraphWorm. Według badaczy do komunikacji C2, czyli wymiany poleceń i danych między zainfekowanym systemem a operatorem, wykorzystywały one Discord i Microsoft Graph.

Konsekwencja dla obrońcy jest czytelna. Klasyczny kanał C2 kończy się na serwerze, którego adres można zablokować albo ocenić po reputacji. Tutaj połączenie trafia do infrastruktury usług, z których korzystają także zwykli użytkownicy. Reputacja adresu docelowego nie powie więc niczego złego, bo adres należy do legalnego dostawcy.

Chronologię zapiszmy precyzyjnie. Publikacja ESET z 20 maja 2026 r. opisuje operacje z 2025 roku. Data raportu nie oznacza, że kampania zaczęła się w maju 2026 r., a przytoczone fakty nie wskazują też jej nasilenia w ostatnich miesiącach.

Gdy kanał sterowania biegnie przez legalne API, o ocenie ruchu decyduje to, kto i po co z niego korzysta.

Lista zaufanych usług nie odróżnia pracownika od backdoora

Zderzenie procedury z praktyką przeprowadźmy na własnej sieci.

Polityka ruchu wychodzącego może zawierać kategorie typu „usługi Microsoft” albo „komunikatory”. Pierwsza bywa przepuszczana bez inspekcji, bo jej blokada zatrzymałaby pracę biura. Druga bywa dozwolona, zablokowana albo nieuregulowana. Sprawdźmy, która z tych sytuacji dotyczy Discorda w naszej organizacji. Jeśli serwer proxy rejestruje wyłącznie domenę i liczbę bajtów, analityk zobaczy w logach ruch do Microsoft Graph i nie odróżni klienta poczty od programu, który pobiera polecenia.

Kontrola musi objąć dwie warstwy. Pierwsza to legalne API: kto i z jakimi uprawnieniami może wywoływać Microsoft Graph w imieniu użytkownika lub organizacji. Druga to narzędzia proxy i inne punkty kontroli ruchu wychodzącego: czy zapisują, który proces lub który host nawiązał połączenie. Procedura, która opisuje tylko listę dozwolonych domen, nie odpowiada na żadne z tych pytań.

Zarząd powinien wiedzieć, kto odpowiada za uprawnienia do Graph

Opis Webworm łączy zadania, które zwykle mają różnych właścicieli. Uprawnienia aplikacji do Microsoft Graph nadaje administrator środowiska Microsoft 365. Serwer proxy utrzymuje zespół sieci. Alerty analizuje zespół monitoringu albo zewnętrzny dostawca usług SOC. Każdy z nich może uznać, że ruch do Graph jest sprawą kogoś innego.

ESET nie podaje kosztu dostosowania monitoringu ani tego, które narzędzia wykrywają EchoCreep i GraphWorm. Decyzji o wydatku nie opierajmy więc na samym raporcie. Najpierw zlećmy przegląd z jasnym wynikiem: lista aplikacji z uprawnieniami do Microsoft Graph, opis tego, co proxy zapisuje o ruchu do usług chmurowych, oraz wskazanie osoby odpowiedzialnej za styk tych dwóch zadań. Dopiero z takim dokumentem zespół może uzasadnić, czy potrzebuje nowego narzędzia, czy innej konfiguracji istniejących.

Uprawnienia aplikacji do Microsoft Graph są częścią obrony przed szpiegostwem. Ich przegląd powinien trafić do planu bezpieczeństwa obok monitoringu sieci.

Polska na liście celów, bez listy ofiar

Raport ESET wprost wymienia Polskę wśród państw, w których Webworm w 2025 roku działał przeciw administracji. Nazw instytucji, liczby celów ani skutków ataków w Polsce tu nie podajemy i nie przypisujemy incydentu żadnemu urzędowi.

Na dzień publikacji opieramy się na jednym, pierwotnym badaniu ESET, bez zewnętrznego potwierdzenia. To wystarcza, by polskie instytucje publiczne potraktowały opis jako punkt odniesienia dla własnego przeglądu. Dotyczy to także dostawców, którzy obsługują administrację: firm utrzymujących środowiska Microsoft 365, integratorów i operatorów usług monitoringu. Jeśli zarządzają aplikacjami z dostępem do Graph w imieniu klienta albo analizują jego ruch wychodzący, kanał C2 w legalnej chmurze trafia także na ich biurko.

Co z tym zrobić w poniedziałek

Na każdy punkt przeznacz najwyżej 30 minut. Jeśli w tym czasie nie uzyskasz odpowiedzi, zapisz brak i osobę, która ma go wyjaśnić.

  1. Wypisz aplikacje z dostępem do Microsoft Graph. Poproś administratora Microsoft 365 o eksport aplikacji, którym nadano uprawnienia do Graph, wraz z datą nadania i właścicielem. Oznacz pozycje, których nikt w zespole nie potrafi przypisać do znanego procesu biznesowego.
  2. Sprawdź Discord w logach proxy. Ustal, czy polityka ruchu wychodzącego dopuszcza Discord, i wyszukaj w logach z ostatniego tygodnia hosty, które się z nim łączyły. Osobno wypisz serwery i stacje, na których nikt nie powinien korzystać z komunikatora.
  3. Zapytaj monitoring o kanał C2 w Graph. Poproś zespół SOC lub dostawcę usługi o pisemną odpowiedź, czy potrafi odróżnić ruch backdoora do Microsoft Graph od pracy użytkownika i na jakich danych opiera tę ocenę. Dołącz odpowiedź do notatki z przeglądu.

Webworm pokazuje, że w 2025 roku administracja w Polsce była celem operacji, której kanał sterowania korzystał z usług uznawanych za codzienne narzędzia pracy. Obrona, która ocenia wyłącznie adres docelowy, takiego kanału nie zauważy. Przegląd uprawnień do Microsoft Graph i zawartości logów proxy jest pierwszym krokiem, który pozwala ocenić, czy organizacja w ogóle zobaczyłaby taki ruch.

Źródła

  1. ESET Research: Webworm: New burrowing techniques, publikacja: 20 maja 2026 r.

Redakcja cyberinsight.pl.