Cyberatak poprzez Discord, OneDrive i inne usługi Microsoftu

Platformy, które w firmach i urzędach zwykle nie budzą podejrzeń, trafiły do raportu o cyberatakach na europejskie instytucje rządowe.

Według ESET grupa Webworm, określana przez badaczy jako powiązana z Chinami grupa APT, wykorzystywała Discorda, Microsoft Graph API, OneDrive, GitHub oraz inne popularne usługi do komunikacji ze złośliwym oprogramowaniem, utrzymywania dostępu i wyprowadzania danych.

Na liście celów znalazły się organizacje rządowe w Europie, w tym w Polsce. To ważna informacja nie tylko dla administracji publicznej. Taka metoda działania pokazuje, w jakim kierunku przesuwa się cyberprzestępczość i cyberwywiad: napastnicy coraz rzadziej wyglądają jak ktoś, kto dobija się do drzwi. Częściej korzystają z tych samych korytarzy, którymi codziennie chodzą pracownicy.

Webworm: co wykryli analitycy ESET

Z informacji prasowej ESET wynika, że Webworm prowadził nową serię ataków wymierzonych w europejskie instytucje rządowe. Grupa, wcześniej aktywna przede wszystkim w Azji, miała przenieść część działań do Europy i zaatakować organizacje m.in. w Polsce, Belgii, Włoszech, Hiszpanii i Serbii.

W technicznym raporcie ESET Research badacze piszą, że obserwują Webworm od czasu, gdy grupa została publicznie opisana w 2022 roku. W 2025 roku jej aktywność przesunęła się w stronę europejskich organizacji rządowych. Jednocześnie operatorzy zmieniali zestaw narzędzi: zamiast prostego malware'u i własnej infrastruktury coraz częściej korzystali z legalnych usług internetowych oraz narzędzi open source.

Najważniejsze ustalenia ESET można streścić w kilku punktach:

• - Webworm używał nowych backdoorów nazwanych EchoCreep i GraphWorm.
• - EchoCreep komunikował się przez Discorda.
• - GraphWorm korzystał z Microsoft Graph API i OneDrive.
• - Badacze ESET odszyfrowali ponad 400 wiadomości na Discordzie.
• - W infrastrukturze operatorów znaleziono ślady rozpoznania prowadzonego wobec 56 celów z różnych krajów.
• - W kampanii pojawiły się narzędzia do skanowania podatności, m.in. nuclei i dirsearch.
• - ESET potwierdził przypadek wyprowadzenia plików z hiszpańskiej instytucji rządowej.
• - Operatorzy korzystali również z repozytorium GitHub, które miało ukrywać narzędzia w strukturze przypominającej legalny projekt WordPress.

Raport ESET pokazuje cierpliwe rozpoznanie, szukanie podatnych systemów, ustawianie kanałów komunikacji i budowanie dostępu tak, by jak najdłużej wyglądał jak zwykły ruch w sieci.

Jak działał atak: Discord jako centrum dowodzenia

Discord kojarzy się z grami, społecznościami, streamami i kanałami hobbystycznymi. W kampanii Webworm pełnił inną rolę. Według ESET backdoor EchoCreep używał Discord API do odbierania poleceń i przesyłania danych z zainfekowanych komputerów.

Po stronie ofiary ruch mógł wyglądać jak zwykłe połączenie z popularną usługą internetową. To właśnie siła takiej techniki. W wielu organizacjach Discord bywa blokowany, ale w części firm, agencji, zespołów IT, działów marketingu, gamingu lub komunikacji online jego obecność w sieci nie musi od razu wywołać alarmu.

EchoCreep potrafił m.in.:

• - wysyłać pliki z komputera ofiary na Discorda,
• - pobierać pliki z podanego adresu,
• - wykonywać polecenia w systemowej powłoce Windows,
• - raportować stan działania malware'u.

Badacze ESET ustalili, że pierwsze wiadomości powiązane z EchoCreep pojawiały się już w marcu 2024 roku. Wśród odszyfrowanych komunikatów znalazły się testy, polecenia operatorów oraz ślady pobierania kolejnych komponentów.

GraphWorm: OneDrive i Microsoft Graph w roli kanału ataku

Drugie narzędzie, GraphWorm, wykorzystywało Microsoft Graph API oraz OneDrive. To szczególnie groźny wariant, bo Microsoft 365 jest standardem pracy w wielu firmach i urzędach. Atakujący nie muszą tworzyć podejrzanej domeny ani utrzymywać egzotycznego serwera. Mogą ukrywać komunikację w ruchu do usług, z którymi organizacja i tak łączy się codziennie.

ESET opisuje, że GraphWorm tworzył identyfikator ofiary na podstawie danych urządzenia, a następnie organizował w OneDrive foldery przypisane do konkretnej infekcji. W tych folderach mogły pojawiać się pliki, wyniki poleceń oraz zadania przygotowane przez operatorów. Komunikacja była szyfrowana i kodowana, co dodatkowo utrudniało analizę.

Dla zespołów bezpieczeństwa oznacza to trudne pytanie: jak odróżnić legalny ruch pracownika do OneDrive od ruchu generowanego przez złośliwe oprogramowanie, które też używa OneDrive?

Dlaczego legalne usługi pomagają napastnikom

MITRE ATT&CK opisuje technikę używania legalnych usług webowych jako metodę komunikacji command and control. Popularne strony, serwisy chmurowe i media społecznościowe zapewniają napastnikom przykrycie, bo wiele firmowych komputerów już wcześniej regularnie łączyło się z tymi usługami.

Osobna technika MITRE dotyczy wyprowadzania danych do chmury. Atakujący mogą przesyłać pliki do usług cloud storage, jeśli wiedzą, że organizacja normalnie dopuszcza taki ruch. Ryzyko rośnie wtedy, gdy firma nie widzi, kto, kiedy, z jakiego urządzenia i w jakim kontekście wysyła dane poza sieć przez OneDrive, Google Drive, Dropbox lub inne platformy.

Ten kierunek potwierdzają także badania akademickie. Systematyczny przegląd literatury opublikowany w czasopiśmie "Applied Sciences" wskazywał już w 2023 roku, że nadużywanie publicznych i chmurowych usług jako infrastruktury C2 rośnie, a tradycyjne systemy wykrywania mają z tym problem. Autorzy zauważyli, że tylko niewielka część analizowanych prac skupiała się na metodach detekcji takich nadużyć.

Google/Mandiant: cyberwywiad i podatności nadal są ważne

Kontekst do sprawy Webworm daje również raport M-Trends 2025 przygotowany przez Mandiant, część Google Cloud. W analizowanych przez Mandiant incydentach z 2024 roku większość grup miała motywację finansową, ale cyberwywiad nadal pozostawał istotną kategorią działań. Mandiant zwracał uwagę na liczbę podejrzanych chińskich klastrów cyberwywiadowczych związanych z kampaniami wykorzystującymi podatności.

To dobrze pasuje do ustaleń ESET. Webworm nie ograniczał się do jednego kanału komunikacji. Badacze znaleźli ślady użycia narzędzi nuclei i dirsearch, czyli skanerów stosowanych do wyszukiwania podatności oraz ścieżek na serwerach www. Wśród analizowanych materiałów pojawił się także skrypt wykorzystujący podatność w SquirrelMail. ESET zastrzega, że nie udało się jednoznacznie potwierdzić początkowego wektora infekcji, ale ślady rozpoznania pokazują sposób myślenia operatorów: najpierw mapa, potem wejście, następnie utrzymanie dostępu.

Polska na liście celów

W komunikacie ESET Polska pojawia się wśród państw, w których celem były organizacje rządowe. Dla sektora prywatnego to nie jest odległa sprawa administracji. Współczesny atak na urząd, uczelnię, dostawcę IT, firmę logistyczną, agencję obsługującą kampanie publiczne albo spółkę pracującą dla państwa może przebiegać przez wspólne konta, współdzielone dokumenty, systemy pocztowe, narzędzia do wideokonferencji, repozytoria kodu i usługi chmurowe.

CERT Polska w raporcie za 2025 rok pokazał, że skala zgłoszeń i incydentów w polskiej sieci nadal rośnie. NASK podawał, że CERT Polska otrzymał w 2025 roku 658 320 zgłoszeń i zarejestrował 260 783 unikalne incydenty bezpieczeństwa. Większość dotyczyła oszustw komputerowych, ale dla firm ważniejszy jest szerszy wniosek: liczba zdarzeń rośnie szybciej niż dojrzałość wielu organizacji.

Ataki APT są rzadsze niż masowy phishing. Mają jednak inną stawkę. Celem bywa poczta zarządu, dokumenty przetargowe, plany infrastruktury, listy kontaktów, dane klientów, konfiguracje VPN, dane dostępowe, dokumentacja techniczna, a czasem zwykła skrzynka pracownika, która otwiera drzwi do kolejnych osób.

Co firmy powinny sprawdzić?

Organizacje nie zatrzymają pracy w chmurze. Discord, GitHub, OneDrive, Slack, Teams, Google Drive czy inne platformy są częścią codziennego obiegu informacji. Skuteczna odpowiedź zaczyna się od kontroli kontekstu.

Najpierw warto sprawdzić, które usługi chmurowe są w firmie naprawdę potrzebne. Lista dopuszczonych aplikacji powinna być krótka, aktualna i egzekwowana. Ruch do usług spoza tej listy musi być widoczny w logach, a nie tylko "dozwolony, bo działa przez HTTPS".

Drugi punkt to Microsoft 365 i konta chmurowe. Trzeba kontrolować aplikacje OAuth, uprawnienia nadane aplikacjom zewnętrznym, logowania z nietypowych lokalizacji, tworzenie nowych folderów, masowe pobieranie i wysyłanie plików, anomalie w Microsoft Graph API oraz dostęp z urządzeń, które nie spełniają firmowych zasad bezpieczeństwa.

Trzeci obszar to monitoring komunikacji do usług publicznych. Jeżeli w firmie Discord nie jest narzędziem pracy, ruch do niego powinien być ograniczony albo przynajmniej wyjaśniony. Jeżeli jest potrzebny, administratorzy powinni wiedzieć, które zespoły go używają i dlaczego.

Czwarty element to podatności. Webworm korzystał z narzędzi do rozpoznania serwerów i szukania słabych punktów. Firmy powinny regularnie skanować własną powierzchnię ataku: serwery www, panele administracyjne, pocztę, VPN, systemy CMS, aplikacje testowe, stare subdomeny i porzucone zasoby w chmurze. Atakujący często znajdują te miejsca szybciej niż właściciel infrastruktury.

Piąty punkt to reakcja na incydent. Antywirus bez logów, EDR/XDR i analizy zachowań zostawia zbyt wiele ślepych punktów, gdy malware używa popularnych usług i legalnych API. Potrzebne są reguły wykrywające nietypowe użycie narzędzi systemowych, alerty dotyczące PowerShella, cmd.exe, curl, zadań harmonogramu oraz zmian w rejestrze Windows.

Dla marketingu i e-commerce to też ostrzeżenie

Interaktywnie działają dziś na tych samych platformach, które mogą zostać użyte w ataku. Agencja marketingowa ma dostęp do kont reklamowych, analityki, paneli CMS, baz mailingowych, narzędzi do automatyzacji, folderów z kreacjami, dokumentów strategicznych i kont klientów. Dla cyberprzestępcy przejęcie takiego środowiska może być wygodnym skrótem do wielu marek naraz.

W praktyce oznacza to kilka prostych zasad:

1. - konta reklamowe i menedżery firm powinny mieć wymuszone MFA,
2. - dostęp do Google Ads, Meta Business, TikToka, CMS i narzędzi mailingowych trzeba nadawać imiennie, nie przez wspólne loginy,
3. - foldery z danymi klientów w chmurze powinny mieć właścicieli i terminy przeglądu uprawnień,
4. - zewnętrzne aplikacje podpinane do kont Google i Microsoft wymagają kontroli,
5. - odejście pracownika albo koniec współpracy z freelancerem musi oznaczać natychmiastowe odebranie dostępów,
6. - backupy i eksporty baz nie powinny trafiać na prywatne dyski.

Webworm pokazuje, że atakujący chętnie chowają się w zwykłych narzędziach. W firmach marketingowych "zwykłe narzędzia" to centrum pracy.

Wnioski: bez widoczności chmura staje się ślepą strefą

Znaczenie kampanii opisanej przez ESET polega na połączeniu kilku elementów: legalnych usług, własnych backdoorów, skanerów podatności, GitHuba, OneDrive, Discorda, proxy i pracy etapami.

Dla firm i instytucji najważniejszy wniosek jest praktyczny. Bez widoczności ruchu do chmury, bez kontroli uprawnień i bez analizy nietypowych zachowań użytkowników popularne usługi mogą stać się zasłoną dla ataku. Z zewnątrz wygląda to jak codzienna praca. W środku może już działać ktoś obcy.

Źródła:

1. ESET Research, "Webworm: New burrowing techniques", WeLiveSecurity, 20 maja 2026 r.
2. ESET, "ESET uncovers the expanded arsenal of China-aligned Webworm; European governments targeted", 20 maja 2026 r., 
3. Informacja prasowa ESET przesłana redakcji: "Chińscy cyberprzestępcy atakują Europę i Polskę. Wykorzystują popularne programy: Discord i usługi Microsoftu", 2 czerwca 2026 r.
4. Google Cloud / Mandiant, "M-Trends 2025 Report", 2025
5. MITRE ATT&CK, "Web Service, Technique T1102",
6. MITRE ATT&CK, "Exfiltration to Cloud Storage, Sub-technique T1567.002", 
7. Talal Al Lelah, Choo-Yee Ting, Azween Abdullah, "Abuse of Cloud-Based and Public Legitimate Services as Command-and-Control (C&C) Infrastructure: A Systematic Literature Review", Applied Sciences 13, nr 17 (2023), 
8. NASK, "Prawie 2 tys. zgłoszeń każdego dnia. Raport CERT Polska za 2025 rok", 2026, 
9. CERT Polska, "Raport roczny z działalności CERT Polska w 2025 roku", 2026, 
10. ENISA, "ENISA Threat Landscape 2025", 2026,

 

Pobierz ebook "Wielki ranking agencji marketingowych 2026 roku i e-book o trendach w promocji w sieci"