Komunikaty

📝 Poza standardową informacją o opóźnionej paczce i linkiem do strony phishingowej, warto zwrócić uwagę na ostatni akapit. Przestępcy proszą o odpisanie na wiadomość, dzięki czemu uaktywni się link kierujący do wyłudzającej dane strony - obchodzą w ten sposób mechanizm zabezpieczający przed klikaniem w linki od nieznanych nadawców.

🛡️ Pamiętajcie, że podejrzane wiadomości możecie przesłać na darmowy numer 8080 - chronimy w ten sposób siebie i innych!

Załączone obrazy

Potwierdzono ją w wersjach od 1.9.14 do 1.9.17 włącznie.

Podatność została oznaczona jako CVE-2025-32463 i umożliwia eskalację uprawnień i tym samym wykonywanie działań z poziomu użytkownika root.

Luka ta została oceniona jako krytyczna z wynikiem CVSS 9.3 i może prowadzić do pełnego przejęcia kontroli nad systemem przez atakującego.

Niektóre podstawowe konfiguracje nowszych wersji różnych dystrybucji systemu Linux pozwalają na wykorzystanie tej podatności, w tym:

• Ubuntu 24.04, 24.10, 25.04

• Fedora 41 Server

• Red Hat Enterprise Linux 10

Podatność może być wykorzystana również przez użytkowników, którzy nie są dodani w pliku sudoers i występuje nawet, jeśli system korzysta z domyślnej konfiguracji narzędzia sudo.

Zalecamy aktualizację narzędzia sudo do wersji pozbawionej tej podatności, tj. 1.9.17p1 lub wyższej. Zwracamy uwagę, że starsze dystrybucje mogły wypuścić łatkę na starszej wersji narzędzia sudo.

Więcej informacji na temat tej podatności mogą Państwo poznać na poniższych stronach:

• https://nvd.nist.gov/vuln/detail/CVE-2025-32463

• https://www.stratascale.com/vulnerability-alert-CVE-2025-32463-sudo-chroot

Reklamy w mediach społecznościowych obiecujące "rekompensatę dla polskich obywateli" to kolejny trik oszustów.

Najpierw wyłudzają dane osobowe, a następnie przekierowują na fałszywą bramkę płatności, za pomocą której kradną dane kart płatniczych (i pieniądze!) pod pozorem wykonania "wpłaty autoryzacyjnej".

Zachowajcie czujność i pamiętajcie, że podobne strony można zgłaszać do nas z pomocą formularza dostępnego na stronie https://incydent.cert.pl

Załączone obrazy

📥 Aby dołączyć do spotkania online musisz rzekomo pobrać program Zoom-Installer. W rzeczywistości instalujesz jednak oprogramowanie, które umożliwia atakującym przejęcie Twojego urządzenia.

🔎 Gdy otrzymasz wiadomość kierującą na stronę, z której musisz pobrać oprogramowanie - zatrzymaj się i zastanów, sprawdź dokładnie adres i wygląd strony, a jeśli możesz zweryfikuj treść maila u źródła.

Pamiętaj też o możliwości zgłoszenia na http://incydent.cert.pl

Załączone obrazy

💻 Po wejściu na stronę wystarczy odpowiedzieć na parę pytań, by wziąć udział w fikcyjnym losowaniu. Wygrywa każdy, a do odebrania nagrody potrzebne jest jedynie udostępnienie linku znajomym i podanie danych osobowych oraz danych karty płatniczej, które tak trafią prosto w ręce oszustów.

🐒 Sprawdzając adres strony zwróć szczególną uwagę na znak @️ - to za nim kryje się prawdziwa domena, wszystko co przed nim, to podszycie pod stronę znanej marki w celu uwiarygodnienia oszustwa.

🍹 Sącząc orzeźwiające napoje poświęć chwilę na zastanowienie się czy konkurs na pewno jest prawdziwy - a jeśli masz podejrzenia, zgłoś stronę na incydent.cert.pl

Załączone obrazy

Ostrzegamy przed fałszywymi reklamami informującymi o możliwości wygrania biletu okresowego na komunikację miejską.

Obserwujemy różne warianty oszustwa, ukierunkowane na mieszkańców wielu miast w Polsce. 🏢

💳 Fałszywe strony pod pozorem możliwości uczestnictwa w loterii wyłudzają dane karty płatniczej, co pozwala oszustom na kradzież pieniędzy z konta.

Zachowajcie czujność i pamiętajcie, że tego typu strony możecie do nas zgłaszać przez formularz na stronie https://incydent.cert.pl!

Załączone obrazy

🔗 Link zawarty w fałszywej wiadomości e-mail przekierowuje na stronę przygotowaną przez oszustów, która pod pretekstem dokończenia procedury zwrotu podatku, wyłudza dane osobowe i dane karty płatniczej.

❗ Zawsze gdy otrzymujecie taką wiadomość:

👉 zweryfikujcie adres e-mail nadawcy,

👉 sprawdźcie adres strony internetowej,

👉 zastanówcie się zanim podacie swoje dane.

‼️ Wszystkie podejrzane wiadomości możecie zgłosić na incydent.cert.pl

🌐 W ten sposób razem budujemy cyberbezpieczeństwo Polski.

Załączone obrazy

‼️ Oszuści informują o rzekomym obowiązku wypełnienia dokumentacji dołączonej do fałszywej wiadomości. Załącznik to w rzeczywistości szkodliwy program, który po uruchomieniu pozwala przestępcom na zdalny dostęp do komputera ofiary i wykradanie z niego danych logowania.

⚠️ Znany podmiot i szczegółowa stopka mogą skutecznie wprowadzać w błąd. Przypominamy, że zawsze warto sprawdzać adres nadawcy wiadomości! Zachowajcie ostrożność i zapoznajcie się z poradnikiem: https://cert.pl/falszywe-zalaczniki/

IOC powiązane z odnotowaną kampanią:

• b.begildash@moynak[.]kz - adres wykorzystywany przez oszustów

• Fwd: F01 za 2025 - tytuł fałszywego maila

• PL_Oficjalny_dokument_574627488483949943756.7z - nazwa załącznika

• PL_Oficjalny_dokument_574627488483949943756.cmd - nazwa szkodliwego programu

• hxxps[://]ballotlinllc[.]top/Bogtilrettelggeren[.]dsp - źródło pliku z kolejnymi komendami

• Ddssynd.Ruf - nazwa nadawana pobieranemu plikowi

Jeżeli odnotowali Państwo w swojej sieci komunikację z powyższą domeną lub uruchomienie pliku o wskazanej nazwie i podejrzewają Państwo zainfekowanie urządzenia szkodliwym oprogramowaniem, zalecamy odizolowanie urządzenia od sieci i reinstalację systemu operacyjnego, gdyż jedynie ten sposób gwarantuje usunięcie szkodliwego oprogramowania.

Zalecamy także zmianę haseł we wszystkich używanych serwisach. Zwracamy uwagę, że taka zmiana powinna nastąpić z innego komputera lub dopiero po reinstalacji systemu.

Zalecamy korzystanie z uwierzytelniania dwuskładnikowego wszędzie tam, gdzie jest to możliwe. Przypominamy, aby korzystać z unikalnych i silnych haseł - zachęcamy do zapoznania się z naszym poradnikiem: https://cert.pl/posts/2022/01/kompleksowo-o-haslach/

Załączone obrazy

Podatność została oznaczona jako CVE-2025-49113 i umożliwia uwierzytelnionemu użytkownikowi zdalne wykonanie kodu (RCE).

Luka ta została oceniona jako krytyczna z wynikiem CVSS 9.9 i może prowadzić do pełnego przejęcia kontroli nad systemem przez atakującego.

Więcej informacji na temat najnowszej dostępnej wersji oprogramowania oraz zagrożeń wynikających ze wspomnianej podatności mogą Państwo poznać na poniższych stronach:

• https://roundcube.net/news/2025/06/01/security-updates-1.6.11-and-1.5.10

• https://nvd.nist.gov/vuln/detail/CVE-2025-49113

Aktualizacja [05.06.2025]: podatność jest już wykorzystywana w atakach. Więcej informacji: https://fearsoff.org/research/roundcube

💥 Zamiast rzekomego dokumentu użytkownik pobiera skrypt, który po otwarciu instaluje się na urządzeniu. Jego główne funkcje to wykradanie haseł do kont pocztowych oraz kopanie kryptowalut na zainfekowanym urządzeniu.

👀 Zachowajcie ostrożność i zapoznajcie się z poradnikiem: https://cert.pl/falszywe-zalaczniki/

Załączone obrazy