Agent LANSCOPE Endpoint Manager On-Premises wykonywał polecenia od każdego, kto dotarł do niego przez sieć. Grupa BRONZE BUTLER użyła luki do kradzieży danych. Zaktualizuj agentów MR i DA na wszystkich komputerach klienckich.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają komputerami przez LANSCOPE Endpoint Manager w wersji instalowanej na własnym serwerze (On-Premises), w tym oddziałów i spółek współpracujących z Japonią. Werdykt: jeśli agent LANSCOPE (MR lub DA) na stanowiskach ma wersję 9.4.7.1 lub starszą bez poprawki, zaktualizuj wszystkie komputery klienckie w tym tygodniu, bo luka była wykorzystywana przez chińską grupę szpiegowską jeszcze przed publikacją poprawki.
Amerykańska agencja CISA 22 października 2025 roku dopisała podatność CVE-2025-61932 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy agentów instalowanych na komputerach przez LANSCOPE Endpoint Manager japońskiej firmy MOTEX: programu klienckiego (MR) i agenta wykrywania (DA). Agent nie sprawdzał, czy polecenia naprawdę przychodzą z serwera zarządzającego, więc spreparowane pakiety sieciowe pozwalały wykonać dowolny kod na komputerze z uprawnieniami systemu.
MOTEX ogłosił poprawkę 20 października 2025 roku i potwierdził, że u klientów zaobserwowano odbieranie nieuprawnionych pakietów z zewnątrz. Sophos Counter Threat Unit opisał kampanię grupy BRONZE BUTLER (znanej też jako Tick), która w połowie 2025 roku wykorzystywała tę lukę jako lukę dnia zerowego do kradzieży poufnych informacji. Termin naprawy wyznaczony przez CISA minął 12 listopada 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-61932 (JVN: JVN86318557) |
Data dodania do CISA KEV | 2025-10-22 |
Termin naprawy wg CISA | 2025-11-12 |
Produkt | MOTEX LANSCOPE Endpoint Manager On-Premises: program kliencki (MR) i agent wykrywania (DA). Wersja chmurowa nie jest podatna (wg producenta) |
Wersje zagrożone | Agenci MR i DA w wersji 9.4.7.1 i starszych, we wszystkich liniach wymienionych przez producenta |
Wersje bezpieczne | Wg producenta: 9.3.2.7, 9.3.3.9, 9.4.0.5, 9.4.1.5, 9.4.2.6, 9.4.3.8, 9.4.4.6, 9.4.5.4, 9.4.6.3, 9.4.7.3, każda dla swojej linii. Uwaga: w linii 9.4.7 NVD kończy zakres podatny na 9.4.7.1, ale producent jako naprawioną wskazuje dopiero 9.4.7.3. Aktualizuje się komputery klienckie; aktualizacja serwera zarządzającego nie jest wymagana |
Typ podatności | Nieprawidłowa weryfikacja źródła kanału komunikacji prowadząca do wykonania kodu; CWE-940 |
Ocena CVSS | JPCERT/CC: 9.8 (CVSS 3.0, KRYTYCZNA) oraz 9.3 (CVSS 4.0, KRYTYCZNA). Atak przez sieć, bez uprawnień, bez udziału użytkownika. NVD nie wystawiło własnej oceny |
Wyobraź sobie księgową, która dostaje telefon od kogoś przedstawiającego się jako prezes z prośbą o pilny przelew. Głos brzmi pewnie, numer wygląda znajomo, więc przelew idzie. Nikt nie oddzwania na znany numer, żeby potwierdzić, kto naprawdę dzwonił. Agent LANSCOPE robił to samo, tylko szybciej i bez wahania: wykonywał polecenia każdego, kto „zadzwonił” do niego przez sieć, zakładając, że to serwer zarządzający.
Narzędzia do zarządzania komputerami działają na każdym stanowisku w firmie, mają wysokie uprawnienia i z założenia wykonują polecenia bez pytania użytkownika. Dlatego przejęcie agenta jest tak cenne dla napastnika: kto potrafi udawać centralę, dostaje w jednym ruchu dostęp do wszystkich komputerów naraz. Sophos zauważa, że urządzeń z tą usługą dostępnych bezpośrednio z internetu jest niewiele, ale napastnik, który jest już w sieci firmowej, może przez agentów przechodzić z komputera na komputer.
💡 Agent to mały program na każdym komputerze, który wykonuje polecenia centralnego serwera zarządzającego. Weryfikacja źródła kanału to sprawdzenie, czy wiadomość naprawdę pochodzi od uprawnionego nadawcy. Luka dnia zerowego (zero-day) to luka wykorzystywana, zanim producent wyda poprawkę. Ruch boczny to przechodzenie napastnika z jednego komputera na kolejne w tej samej sieci.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Serwer zarządzający wysyła polecenie | Agent je wykonuje | Agent je wykonuje |
Obcy komputer w sieci wysyła polecenie | Agent je odrzuca | Agent może je wykonać z uprawnieniami systemu |
Napastnik ma jeden zainfekowany laptop w sieci | Musi atakować każdy komputer osobno | Może sięgnąć do wszystkich komputerów z agentem |
Użytkownik komputera | Nic nie zauważa | Też nic nie zauważa |
Aktualizacja | Zwykle najpierw serwer | Tu wyłącznie komputery klienckie |
źródło: Pexels, Pedro SilvaPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na ogólnym opisie kampanii przez Sophos. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Warunkiem jest możliwość wysłania pakietów do usługi agenta: bezpośrednio z internetu (rzadko) albo z już przejętego komputera w sieci firmowej. CISA ocenia atak jako możliwy do zautomatyzowania.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie komputerów z agentem LANSCOPE osiągalnych z internetu lub z przejętej sieci | Lista celów |
2. Wykonanie kodu | T+minuty | Wysłanie spreparowanych pakietów do agenta MR lub DA | Kod napastnika działa z uprawnieniami systemu |
3. Tylne drzwi | T+godziny | Instalacja narzędzi zdalnego dostępu (w kampanii BRONZE BUTLER: Gokcpdoor lub Havoc) | Stały kanał kontroli |
4. Ruch boczny | T+dni | Użycie agentów na kolejnych komputerach do przejęcia innych stanowisk | Kontrola nad wieloma komputerami |
5. Zbieranie danych | T+dni do tygodni | Wyszukiwanie i pakowanie poufnych dokumentów | Przygotowane archiwa danych |
6. Wyprowadzenie | T+tygodnie | Przesyłanie danych do usług przechowywania plików w chmurze | Wyciek informacji poufnych |
Narzędzie, które miało zapewniać kontrolę nad komputerami, staje się najwygodniejszą drogą do przejęcia ich wszystkich. Po takim incydencie żadnemu komputerowi z agentem nie można już w pełni ufać, a uczciwą reakcją bywa przeinstalowanie stanowisk. Przypadek BRONZE BUTLER pokazuje, że celem są dane poufne, a nie szybki okup, więc atak może trwać długo i po cichu.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przeinstalowanie wielu stanowisk, praca części zespołu wstrzymana | Tydzień lub dłużej | 30 tys. do 300 tys. PLN (praca IT, przestój pracowników) |
Bezpieczeństwo danych | Kradzież dokumentacji technicznej, ofert, danych klientów | Tygodnie cichej obecności | 50 tys. do 400 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Utrata przewagi konkurencyjnej, koszty specjalistów | Miesiące | 100 tys. do 1 mln PLN, zależnie od wartości danych |
Reputacyjny | Utrata zaufania partnerów, w tym spółki matki lub zleceniodawców | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekną dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; możliwe roszczenia z tytułu naruszenia tajemnicy przedsiębiorstwa partnerów | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z agentami LANSCOPE bez poprawki
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (kod z uprawnieniami systemu na każdym komputerze z agentem), a prawdopodobieństwo wysokie dla firm, które używają produktu: potwierdzona kampania szpiegowska i możliwa automatyzacja; niski EPSS wynika z niszowości produktu w skali świata, a nie z bezpieczeństwa konkretnej instalacji.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma lub jej spółka powiązana używa LANSCOPE Endpoint Manager On-Premises i w jakiej wersji agentów | Dziś | Kierownik IT |
2 | 🔴 NATYCHMIAST | Zablokować dostęp do usług agentów LANSCOPE z internetu | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Rozpocząć aktualizację agentów MR i DA na wszystkich komputerach klienckich do wersji z poprawką dla swojej linii | Dziś | Administrator LANSCOPE |
4 | 🟠 PILNIE | Sprawdzić listę komputerów, które nie przyjęły aktualizacji (wyłączone, poza siecią, w trasie) i domknąć ją | Do 7 dni | Administrator LANSCOPE |
5 | 🟠 PILNIE | Ograniczyć na zaporach ruch do agentów tylko z adresu serwera zarządzającego | Do 7 dni | Administrator sieci |
6 | 🟠 PILNIE | Poszukać śladów włamania: nieznane usługi nasłuchujące (Sophos wskazuje porty 38000 i 38002), nietypowe archiwa, połączenia do usług wymiany plików | Do 14 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Wprowadzić zasadę, że każde narzędzie z agentem na wszystkich komputerach ma właściciela i jest aktualizowane w pierwszej kolejności | Do 30 dni | CTO |
MOTEX udostępnia poprawki dla wszystkich linii przez portal dla klientów. Obejścia w postaci ustawienia producent nie opisał. Poniższe miary ograniczają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Brak dostępu do agentów z internetu (zalecenie Sophos: przegląd publicznie dostępnych instalacji) | Wysoka wobec ataków z zewnątrz, nie chroni przed ruchem bocznym | Łatwa |
Reguły zapory na komputerach: połączenia do agenta tylko z adresu serwera zarządzającego | Wysoka, jeśli konsekwentnie wdrożone | Średnia |
Segmentacja sieci między działami | Średnia: ogranicza ruch boczny | Trudna |
Monitorowanie nowych usług nasłuchujących na komputerach | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja agentów | 9.4.7.1 lub starsza | Wersja z poprawką na każdym komputerze |
Kto może wydać polecenie agentowi | Każdy, kto dotrze do niego przez sieć | Tylko serwer zarządzający |
Komputery poza biurem | Pomijane przy akcji aktualizacji | Wyszukane i zaktualizowane |
Dostęp z internetu | Możliwy na części instalacji | Zablokowany |
Ślady włamania | Niesprawdzone | Przejrzane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). MOTEX potwierdził nieuprawnione pakiety u klientów; Sophos opisał kampanię z połowy 2025 roku |
Grupy przestępcze | BRONZE BUTLER (Tick), grupa wspierana przez państwo chińskie, aktywna od 2010 roku (wg Sophos) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown); celem kampanii była kradzież poufnych informacji |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.0) i 9.3 KRYTYCZNA (CVSS 4.0), obie wg JPCERT/CC |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji; Sophos ocenia liczbę podatnych urządzeń dostępnych z internetu jako niską |
Automatyzacja (CISA) | TAK |
Prognoza EPSS | Poniżej 0,03 (wg analizy źródłowej): produkt niszowy w skali świata |
Dwie oceny CVSS pochodzą od tego samego zespołu, ale z dwóch wersji skali. Wersja 4.0 osobno liczy skutki dla innych systemów i tu zapisała je jako zerowe, stąd niższy wynik przy identycznym opisie szkód na samym komputerze.
Sygnały zagrożenia dla CVE-2025-61932
CVSS 3.0 (JPCERT/CC) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (JPCERT/CC) 9.3/10 ███████████████████░ KRYTYCZNA
EPSS <0,03 █░░░░░░░░░░░░░░░░░░░ NISKIE (produkt niszowy)
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ możliwa 2025 (połowa) Sophos obserwuje kampanię BRONZE BUTLER z użyciem
luki dnia zerowego w LANSCOPE
2025-10-20 MOTEX ogłasza lukę i poprawki, publikacja CVE w NVD
2025-10-22 JPCERT/CC publikuje ostrzeżenie; CISA dodaje lukę do KEV
2025-10-22 Ostatnia aktualizacja komunikatu MOTEX
2025-11-12 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 10 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta z listą wersji naprawionych: motex.co.jp/news/notice/2025/release251020 . Ostrzeżenie JVN: jvn.jp/en/jp/JVN86318557 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-61932 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma, spółka matka lub partner IT używa LANSCOPE On-Premises na naszych komputerach | CTO | DZISIAJ |
2 | Uzyskać pisemnie wersję agentów i liczbę komputerów z agentem | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację wszystkich komputerów klienckich | CTO | DZISIAJ |
4 | Wezwać pracowników mobilnych do podłączenia laptopów do sieci firmowej w celu aktualizacji | CTO | DO JUTRA |
5 | Zlecić sprawdzenie śladów włamania na komputerach z agentem | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową i ewentualne przeinstalowanie stanowisk | CFO | DO JUTRA |
7 | Poinformować spółkę matkę lub partnerów, jeśli dzielimy z nimi sieć lub dane | Zarząd | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy LANSCOPE Endpoint Manager w wersji On-Premises? | TAK / NIE | 🔴 |
2 | Jaka jest najstarsza wersja agenta MR lub DA na naszych komputerach? | [wersja] | 🔴 |
3 | Ile komputerów ma agenta, a ile już ma wersję z poprawką? | [liczba] / [liczba] | 🔴 |
4 | Czy usługi agentów są osiągalne z internetu? | TAK / NIE | 🟠 |
5 | Czy ruch do agentów jest ograniczony do adresu serwera zarządzającego? | TAK / NIE | 🟠 |
6 | Czy sprawdzono komputery pod kątem nieznanych usług nasłuchujących i narzędzi zdalnego dostępu? | TAK / NIE, [data] | 🟠 |
7 | Kiedy ostatni komputer z agentem został zaktualizowany? | [data] | 🟡 |
CVE-2025-61932 pozwalała każdemu, kto dotrze do agenta LANSCOPE przez sieć, wykonać kod na komputerze z uprawnieniami systemu, a grupa BRONZE BUTLER wykorzystywała ją do kradzieży poufnych informacji, zanim pojawiła się poprawka. MOTEX wydał poprawki w październiku 2025 roku, termin CISA minął 12 listopada, więc aktualizacja wszystkich komputerów klienckich i sprawdzenie śladów włamania to zadania na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.