TerminalFix: BSI wyjaśnia wektor ataku na berlińskie urzędy

Co się wydarzyło?

Federalny Urząd ds. Bezpieczeństwa Informacji (BSI) potwierdził na Mastodonie, że kampania ataku „TerminalFix” była punktem wejścia dla cyberataku na berlińskie urzędy senackie. Dotknięte zostały Senackie Wydziały ds. Rozwoju Miasta, Budownictwa i Mieszkalnictwa oraz ds. Mobilności, Transportu, Środowiska i Ochrony Klimatu. Atak stał się znany w połowie sierpnia 2026 roku i doprowadził do masowego wycieku danych, w tym częściowo krytycznych informacji. Według doniesień magazynu Spiegel za atakiem stoi znana grupa ransomware Rhysida.

Szczegóły

Chronologia incydentu pokazuje skalę kryzysu: już od 7 do 12 sierpnia 2026 roku napastnicy wyprowadzali dane, jednak sam atak rozpoczął się znacznie wcześniej. 14 sierpnia dotknięte urzędy senackie zostały odizolowane od sieci krajowej, trzy dni później Kancelaria Senatu poinformowała publicznie o „incydencie ICT w sieci krajowej Berlina” i powołała sztab kryzysowy. BKA i LKA (Federalny i Krajowy Urząd Kryminalny) wszczęły śledztwo.

Skutki były odczuwalne również dla obywateli: 21 sierpnia doszło do problemów z wypłatami świadczeń transferowych, m.in. 50 000 uprawnionych gospodarstw domowych w Berlinie nie otrzymało dodatku mieszkaniowego. Dopiero 24 sierpnia wszystkie części urzędu senackiego zostały ponownie podłączone do sieci. 28 sierpnia potwierdzono, że napastnicy wykradli dane i zażądali okupu – Burmistrz Rządzący Kai Wegner oświadczył, że kraj związkowy Berlin nie da się szantażować. Na stronie Rhysida w darknecie pojawiło się żądanie 30 bitcoinów, co odpowiadało kwocie ok. 2 milionów euro, wraz z rzekomymi fragmentami danych, w tym listami haseł w postaci jawnego tekstu, dokumentami sądowymi oraz ponad 46 500 umowami kraju związkowego.

4 września przestępcy opublikowali ostatecznie ok. 1,44 miliona plików w darknecie, w tym dokumenty kadrowe, informacje o postępowaniach dyscyplinarnych, dokumenty finansowe oraz szczegóły dotyczące infrastruktury krytycznej Berlina. BSI ostrzegło następnie 5 września przed „podwyższonym zagrożeniem” dla społeczeństwa.

Techniczny przebieg ataku TerminalFix

Według Microsoftu TerminalFix jest wariantem znanej już od lutego 2026 roku kampanii złośliwego oprogramowania „ClickFix”. Użytkownicy są nakłaniani do otwarcia terminala Windows – jednak w przeciwieństwie do ClickFix, który wykorzystuje kombinację klawiszy [Windows]+[R], TerminalFix wykorzystuje ścieżkę przez [Windows]+[X], a następnie [I], co daje bezpośredni dostęp do PowerShell.

Za pośrednictwem PowerShell wykonywane jest złośliwe polecenie, które użytkownik musi sam wkleić ze schowka. Trafia ono tam, ponieważ spreparowana strona internetowa automatycznie skopiowała je za pomocą JavaScript. Strony te symulują fałszywą captchę Cloudflare – element socjotechniki wykorzystujący fakt, że prawdziwe captchy Cloudflare i tak wymagają różnych działań użytkownika, dzięki czemu nietypowe wprowadzanie danych z klawiatury nie wzbudza natychmiastowych podejrzeń.

Wykonane polecenie pobiera w tle, za pomocą skryptu, pierwsze szkodliwe oprogramowanie, podczas gdy spreparowana strona internetowa odwraca uwagę użytkownika fałszywą captchą. Przy tym nadużywany jest m.in. podpisany, w rzeczywistości nieszkodliwy plik Windows „LockScreenContentServer.exe”, w celu zainstalowania poprzez sideloading pliku „dui70.dll”. Ten z kolei pobiera pliki graficzne PNG, w których za pomocą steganografii ukryte są kolejne szkodliwe programy.

Złośliwe oprogramowanie zakorzenia się następnie trwale poprzez klucze rejestru, co godzinę sprawdza swój własny status i czeka na nowe polecenia napastników. Dodatkowo konfigurowany jest serwer proxy SOCKS, który zapewnia napastnikom tunel do sieci zaatakowanej organizacji. Pliki i katalogi są przy tym ukrywane w Eksploratorze Windows, aby utrudnić wykrycie.

Ocena

Szczególnie niepokojące jest to, że w berlińskich urzędach hasła były najwyraźniej przechowywane w postaci jawnego tekstu, co według raportu dało Rhysidzie relatywnie łatwe zadanie. W jaki sposób napastnicy ostatecznie uzyskali dostęp do niemal wszystkich danych obu urzędów senackich, pozostaje niewyjaśnione.

Administracje publiczne uchodzą za szczególnie podatne na ataki cele, ponieważ nazwiska, adresy e-mail i struktury kadrowe są często częściowo publicznie dostępne – stanowi to idealną pożywkę dla socjotechniki. Takie ataki nazywane są również „water-holing”, ponieważ spreparowane strony internetowe umieszczane są tam, gdzie ofiary regularnie się znajdują, np. poprzez e-maile phishingowe, linki w mediach społecznościowych lub wpisy na forach. Nawet jeśli próba powiedzie się dopiero po wielu podejściach, wysiłek się opłaca w obliczu żądania okupu w wysokości ok. 2 milionów euro.

BSI odwołuje się ponadto do niewymienionego z nazwy zewnętrznego dostawcy usług, według którego Rhysida w 92 procentach przypadków, w których grozi publikacją danych, faktycznie realizuje tę groźbę. Grupa koncentruje się przede wszystkim na sektorze zdrowia i edukacji, jednak administracje publiczne należą również do pięciu najczęściej wymienianych typów celów.

Ostrzeżenie przed dalszymi szkodami

Rzecznik CCC (Chaos Computer Club) Joachim Selzer ostrzegał już 30 sierpnia przed możliwą kradzieżą tożsamości i dalszymi próbami oszustwa. Obywatele, których dane osobowe mogą znajdować się w opublikowanym zbiorze danych, mogą ponadto łatwo paść ofiarą prób wyłudzeń.

Wskazówki praktyczne

• Pracownicy powinni być szkoleni w zakresie krytycznego podchodzenia do podejrzanych wezwań do korzystania z terminala, PowerShell lub okna dialogowego Uruchom – szczególnie gdy pojawiają się one w kontekście captchy lub weryfikacji.
• Hasła w żadnym wypadku nie mogą być przechowywane w postaci jawnego tekstu; stosowanie menedżerów haseł z szyfrowaniem jest obowiązkowe.
• Regularna kontrola wpisów w rejestrze oraz nietypowego ruchu sieciowego (np. połączeń typu SOCKS-proxy) może pomóc we wczesnym wykryciu trwale zakorzenionego złośliwego oprogramowania.
• Ponieważ podpisane, legalne pliki Windows mogą być nadużywane do sideloadingu, sensowne jest stosowanie rozwiązań Endpoint Detection, które monitorują również zachowanie podpisanego oprogramowania.
• Urzędy i organizacje powinny, jak miało to miejsce w przypadku Berlina, w sytuacji kryzysowej konsekwentnie izolować swoje systemy oraz komunikować się transparentnie zarówno na zewnątrz, jak i wewnętrznie.

Perspektywy

Kraj związkowy Berlin utworzył tymczasem „jednostkę koordynacyjną”, za pośrednictwem której osoby dotknięte wyciekiem danych mają być kontaktowane drogą e-mailową i listowną. Jednocześnie, jak podaje administracja senacka, trwa „całodobowa” kontrola wszystkich ok. 12 000 systemów kraju związkowego. W jaki dokładnie sposób napastnikom udało się uzyskać dostęp praktycznie do wszystkich danych obu urzędów, pozostaje nadal przedmiotem śledztwa prowadzonego przez BKA i LKA. Wyjaśnienie tej kwestii będzie prawdopodobnie decydujące dla tego, jak w przyszłości zapobiegać podobnym atakom na inne urzędy. Biorąc pod uwagę ogłoszone przez BSI „podwyższone zagrożenie”, należy spodziewać się kolejnych szczegółów dotyczących incydentu oraz działalności grupy Rhysida.