Przejdź do treści
Malware

CloudZ RAT kradnie SMS i kody OTP przez Microsoft Phone Link. Jak działa atak?

Nowa kampania phishingowa podszywa się pod aktualizację ScreenConnect i instaluje złośliwe oprogramowanie CloudZ, które kradnie hasła oraz jednorazowe kody SMS. Atakujący wykorzystują legalną funkcję Microsoft Phone Link do przechwytywania wiadomości z telefonu ofiary.

3 min read
An abstract composition of a glowing smartphone connected by a thin cable to a dark laptop silhouette, with a translucent shield hovering above the phone and a shadowy hand reaching toward the cable from below.

Nowa kampania phishingowa podszywa się pod aktualizację ScreenConnect i instaluje złośliwe oprogramowanie CloudZ, które kradnie hasła oraz jednorazowe kody SMS. Atakujący wykorzystują legalną funkcję Microsoft Phone Link do przechwytywania wiadomości z telefonu ofiary. Użytkownicy systemów Windows powinni zachować ostrożność przy pobieraniu rzekomych poprawek i rozważyć rezygnację z uwierzytelniania SMS.

Jak działa atak z użyciem CloudZ i Pheno

Badacze z Cisco Talos opisali nową wersję narzędzia zdalnego dostępu CloudZ, które rozszerzono o wtyczkę Pheno. Pheno przechwytuje dane z aplikacji Microsoft Phone Link – wbudowanego w Windows 10 i 11 narzędzia do synchronizacji połączeń, SMS-ów i powiadomień z telefonem. Monitoruje aktywne sesje Phone Link i odczytuje lokalną bazę SQLite, w której mogą znajdować się treści SMS-ów oraz jednorazowe kody uwierzytelniające (OTP).

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Jak podkreślają badacze: „przy potwierdzonej aktywności Phone Link na maszynie ofiary atakujący może przechwycić plik bazy danych aplikacji, potencjalnie uzyskując dostęp do kodów SMS i powiadomień z aplikacji uwierzytelniających”. Włamywacz nie musi przejmować kontroli nad samym telefonem – wystarczy, że zainfekuje komputer.

Łańcuch infekcji i możliwości CloudZ

Według raportu Cisco Talos infekcja rozpoczyna się od fałszywej aktualizacji programu ScreenConnect. Ofiara pobiera plik, który uruchamia ładunek w języku Rust, a następnie .NET, instalujący właściwe narzędzie CloudZ. Złośliwe oprogramowanie utrwala się w systemie poprzez zaplanowane zadanie i stosuje techniki anty-analityczne: sprawdza obecność narzędzi takich jak Wireshark, Fiddler, Procmon czy Sysmon oraz wykrywa środowiska wirtualne.

CloudZ to zaawansowane narzędzie RAT. Oprócz kradzieży danych z przeglądarek i plików konfiguracyjnych umożliwia: zarządzanie plikami, wykonywanie poleceń w shellu, nagrywanie ekranu oraz ładowanie dodatkowych wtyczek. Atakujący może też przechwytywać dane logowania do chmury – AWS, Azure, GCP – oraz wykradać tokeny GitHub.

Kto jest zagrożony i jak się chronić

Atak wymaga od ofiary ręcznego uruchomienia fałszywej aktualizacji, dlatego głównym wektorem pozostaje socjotechnika. Zagrożeni są przede wszystkim pracownicy firm, którzy mogą otrzymać spreparowaną wiadomość z prośbą o aktualizację narzędzia zdalnego wsparcia. Badacze nie zidentyfikowali jeszcze wektora początkowego, ale sam mechanizm infekcji wskazuje na kampanie phishingowe lub fałszywe strony.

Cisco Talos opublikowało zestaw wskaźników kompromitacji (adresy IP, domeny, hashe plików), które mogą wykorzystać zespoły SOC i administratorzy. Dla zwykłych użytkowników kluczowe jest: nie instalować aktualizacji z nieznanych źródeł, weryfikować komunikaty o konieczności aktualizacji bezpośrednio u producenta oprogramowania oraz – co najważniejsze – unikać uwierzytelniania SMS. Jak radzą badacze, lepiej używać aplikacji uwierzytelniających (np. Microsoft Authenticator, Google Authenticator) lub kluczy sprzętowych odpornych na phishing.

Co dalej

Kampania z CloudZ i Pheno pokazuje, że atakujący coraz częściej łączą malware z legalnymi funkcjami systemu, by ominąć zabezpieczenia. Microsoft Phone Link, choć wygodny, staje się kolejnym elementem ataku. Warto śledzić aktualizacje zabezpieczeń i komunikaty producentów, a w

#CloudZ #kradzież OTP #Microsoft Phone Link #Pheno #phishing #RAT
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A realistic stock-style photo of a middle-aged Polish man sitting at a home desk in a typical Polish apartment, looking worried and frustrated at his laptop screen. Evening lighting from a desk lamp. The laptop is open, screen facing away, showing only the back of the device. No visible text, numbers, or interfaces on the screen. The man's hand is on the mouse, his expression conveys concern and surprise. Shallow depth of field, warm tones, natural grain, 16:9 crop. No logos, no brand names, no signs. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

70 fałszywych stron z aplikacjami Windows. Twoje dane w niebezpieczeństwie

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe, Polska scena biurowa: młody mężczyzna w okularach przed komputerem, wygląda na zaskoczonego i zmartwionego, patrząc na ekran (ale ekran widoczny tylko z tyłu, bez interfejsu), w tle otwarta przestrzeń biurowa z kilkoma biurkami. Naturalne światło dzienne, głębia ostrości, kadr 16:9, twarz z bliska, emocja: zaniepokojenie. Zero tekstu, cyfr ani ekranów z interfejsem. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

Atakują przez Teams i podszywają się pod IT. Masz firmowe konto?

26 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Photorealistic stock-style close-up photo of a worried middle-aged man looking at his laptop screen at home, evening natural light from window, his hand hesitating over the mouse, screen visible only from the back (no interface visible), the room is a typical Polish apartment with a radiator and a plant, shallow depth of field, realistic skin texture, slightly grainy, 16:9. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

Podszywają się pod UPS i kradną wszystkie hasła z przeglądarki. Jak się bronić?

25 lipca, 2026 4 min read