Platforma n8n wykorzystywana do rozsyłania malware. Jak automatyzacja AI stała się narzędziem atakujących
Badacze Cisco Talos ujawnili gwałtowny wzrost liczby e-maili wykorzystujących webhooki platformy n8n do dostarczania złośliwego oprogramowania i fingerprintingu urządzeń. Mechanizm ataku omija tradycyjne filtry bezpieczeństwa, podszywając się pod zaufaną infrastrukturę.
W ostatnich miesiącach gwałtownie wzrosła liczba e-maili wykorzystujących n8n – popularną platformę do automatyzacji procesów z wykorzystaniem AI – do dostarczania złośliwego oprogramowania i zbierania informacji o urządzeniach. Badacze Cisco Talos przeanalizowali ten trend i wskazują, że tylko w marcu 2026 roku liczba takich wiadomości była o 686% wyższa niż w styczniu 2025 roku. Atakujący nie przełamują zabezpieczeń – wykorzystują zaufanie do legalnych narzędzi chmurowych.
Jak działa nadużycie webhooków n8n
n8n umożliwia tworzenie automatycznych przepływów pracy łączących różne aplikacje i modele AI. Kluczowym elementem ataków są webhooki – publicznie dostępne adresy URL, które odbierają dane i zwracają dynamicznie generowaną treść. Użytkownik platformy może bezpłatnie utworzyć subdomenę w domenie tti.app.n8n.cloud, co daje atakującemu wiarygodnie wyglądający adres.
Gdy odbiorca kliknie link w e-mailu, jego przeglądarka wysyła żądanie do webhooka, który zwraca stronę HTML z kodem JavaScript. Cały proces sprawia wrażenie, jakby pobierana treść pochodziła bezpośrednio z serwerów n8n, a nie z zewnętrznego, złośliwego źródła. To skutecznie omija filtry bezpieczeństwa oparte na reputacji domeny.
Dwie kampanie malware pod przykrywką OneDrive
Talos opisał dwie odrębne kampanie phishingowe podszywające się pod udostępniony folder Microsoft OneDrive. W pierwszej z nich wiadomość zawierała link do webhooka n8n, który po kliknięciu wyświetlał fałszywą CAPTCHA. Po jej rozwiązaniu pobierany był plik wykonywalny DownloadedOneDriveDocument.exe. Plik instalował zmodyfikowaną wersję narzędzia Datto Remote Monitoring and Management i uruchamiał łańcuch poleceń PowerShell, zapewniając atakującym stały zdalny dostęp.
Druga kampania działała podobnie, ale wykorzystywała prostszy mechanizm CAPTCHA i dostarczała plik MSI o nazwie OneDrive_Document_Reader_pHFNwtka_installer.msi. Instalator, zabezpieczony pakerem Armadillo, wdrażał backdoor oparty na narzędziu ITarian Endpoint Management. Podczas instalacji wyświetlany był fałszywy pasek postępu, który po zakończeniu resetował się, symulując nieudaną instalację.
Fingerprinting przez niewidoczny obraz
Oprócz dostarczania malware, webhooki n8n są wykorzystywane do fingerprintingu urządzeń. W e-mailach umieszczany jest znacznik <img> z atrybutami CSS display:none i opacity:0, który odwołuje się do adresu webhooka. Gdy klient pocztowy próbuje pobrać obraz, wysyła żądanie GET zawierające m.in. adres e-mail ofiary zakodowany w parametrach URL. Atakujący otrzymuje potwierdzenie, że skrzynka jest aktywna, oraz dane o przeglądarce i systemie operacyjnym.
Jak ograniczyć ryzyko
Opisane ataki nie wykorzystują luk w oprogramowaniu – polegają na zaufaniu do legalnej infrastruktury. Dlatego kluczowe znaczenie ma edukacja użytkowników: nawet jeśli wiadomość wydaje się pochodzić ze znanej domeny, należy weryfikować nadawcę i unikać klikania linków w nieoczekiwanych e-mailach. Administratorzy powinni rozważyć blokowanie na poziomie bramki pocztowej komunikacji z subdomenami tti.app.n8n.cloud, o ile nie są one wykorzystywane w organizacji. Warto również wdrożyć uwierzytelnianie wieloskładnikowe i monitorować ruch sieciowy pod kątem połączeń z nietypowymi domenami.
Przypadek n8n pokazuje, że automatyzacja AI to miecz obosieczny. Te same mechanizmy, które usprawniają pracę zespołów, mogą zostać przejęte przez cyberprzestępców. Śledzenie tego typu nadużyć będzie jednym z ważniejszych zadań zespołów bezpieczeństwa w najbliższych miesiącach.
