Grupa Webworm atakuje instytucje w Polsce. Nowe backdoory i techniki unikania wykrycia

Grupa Webworm, określana jako zaawansowane i trwałe zagrożenie (APT) powiązane z Chinami, od kilku lat ewoluuje. Jak wynika z analizy badaczy ESET, w 2025 roku Webworm znacząco zmodyfikował swoje narzędzia i cele – z Azji przeniósł uwagę na Europę, w tym na Polskę. Ataki wymierzone są w instytucje rządowe, a ich skuteczność opiera się na nowych backdoorach i technikach maskowania ruchu sieciowego.

Nowa jakość: backdoory z Discordem i Microsoft Graph

Webworm porzucił dotychczas stosowane, dobrze znane konie trojańskie (RAT), takie jak McRat czy Trochilus. Zamiast nich w 2025 roku wprowadził dwa nowe backdoory: EchoCreep i GraphWorm. EchoCreep wykorzystuje platformę Discord do komunikacji z serwerem dowodzenia (C&C). Badaczom ESET udało się odszyfrować ponad 400 wiadomości Discord, co doprowadziło ich do repozytorium GitHub kontrolowanego przez atakujących. GraphWorm z kolei używa Microsoft Graph API i OneDrive do wymiany danych. Każda ofiara otrzymuje osobny katalog OneDrive, co ułatwia grupie zarządzanie wykradzionymi plikami. To sprawia, że ruch backdoorów miesza się z legalnym ruchem chmurowym, co utrudnia wykrycie przez tradycyjne systemy bezpieczeństwa.

Techniki unikania i eksfiltracji

Webworm nie tylko zmienił backdoory, ale też rozbudował zestaw narzędzi proxy. Oprócz znanych rozwiązań, takich jak SoftEther VPN, grupa stosuje własne, autorskie proxy: WormFrp, ChainWorm, SmuxProxy i WormSocket. Są one zdolne do szyfrowania komunikacji i tworzenia łańcuchów połączeń przez wiele hostów, zarówno wewnątrz, jak i na zewnątrz sieci ofiary. ESET odkrył również, że atakujący wykorzystują skompromitowany bucket Amazon S3 do przechowywania i wymiany plików. W jednym z plików znaleziono zrzuty ekranu z maszyn wirtualnych należących do włoskiej instytucji rządowej, co sugeruje, że Webworm mógł uzyskać dostęp do środowiska zarządzającego wirtualizacją.

„Wierzymy, że operatorzy używają tych narzędzi w połączeniu z SoftEther VPN, aby lepiej zacierać ślady i zwiększyć ukrycie swoich działań” – podkreślają badacze ESET.

Skala i cele w Polsce

W kampanii z 2025 roku Webworm zaatakował instytucje rządowe w Belgii, Włoszech, Serbii oraz Polsce. Dodatkowo grupa przeprowadziła atak na uniwersytet w Afryce Południowej. Na serwerze operacyjnym Webworm znaleziono historię poleceń bash, która zawierała komendy rekonesansu wymierzone w ponad 50 unikalnych celów. Oznacza to, że grupa prowadzi systematyczne rozpoznanie, zbierając informacje o potencjalnych ofiarach. ESET podkreśla, że wszystkie wykorzystane w kampanii proxy i serwery VPN działają w chmurze na infrastrukturze Vultr i IT7 Networks.

Jak się chronić przed Webworm?

Kampania Webworm pokazuje, że zagrożenie ze strony APT jest realne i dotyczy także Polski. Choć przeciwdziałanie wymaga zaawansowanych zabezpieczeń, można podjąć kilka podstawowych kroków:

• Aktualizuj i monitoruj – regularnie aktualizuj oprogramowanie, zwłaszcza systemy zarządzania tożsamością i narzędzia zdalnego dostępu.
• Kontroluj dostęp do chmury – sprawdzaj konfigurację bucketów S3 i innych usług chmurowych pod kątem nieuprawnionego dostępu.
• Monitoruj ruch do usług zewnętrznych – nietypowe połączenia do Discord API czy Microsoft Graph mogą być sygnałem alarmowym.
• Segmentuj sieć – ogranicz możliwość lateralnego przemieszczania się zagrożeń wewnątrz organizacji.
• Szkol personel – phishing i inżynieria społeczna to nadal główne wektory początkowego dostępu.

Webworm nie jest jedyną grupą APT działającą w Polsce, ale jej ewolucja – od prostych RAT-ów po złożone narzędzia ukrywające ruch w popularnych usługach – stanowi ważne ostrzeżenie. Firmy i instytucje powinny traktować doniesienia ESET jako sygnał do przeglądu własnych procedur bezpieczeństwa i gotowości na ataki wymierzone w dane oraz infrastrukturę krytyczną.

Badacze ESET podkreślają, że współpraca z organami ścigania doprowadziła do zamknięcia części serwerów i repozytoriów wykorzystywanych przez grupę. To jednak nie oznacza końca działalności Webworm – należy spodziewać się dalszych modyfikacji narzędzi i nowych kampanii.