Spreparowany plik w folderze wystarczy, by Windows wysłał napastnikowi skrót danych logowania, bez otwierania pliku. Kampanie celowały w Polskę, CISA potwierdza ataki. Zainstaluj aktualizację z marca 2025 lub nowszą.
Ten alert jest dla zarządu, CTO i CFO wszystkich firm pracujących na Windows, szczególnie tych, w których pracownicy pobierają załączniki i korzystają z folderów sieciowych. Werdykt: jeśli któryś komputer lub serwer nie ma aktualizacji z marca 2025 roku lub nowszej, zainstaluj ją dziś, bo do wycieku danych logowania wystarczy kliknąć plik w folderze, a ataki były wymierzone także w instytucje i firmy w Polsce.
Amerykańska agencja CISA 17 kwietnia 2025 roku dopisała CVE-2025-24054 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Błąd dotyczy mechanizmu logowania NTLM w Windows. Spreparowany plik (np. .library-ms) wskazuje systemowi adres serwera napastnika, a Windows automatycznie próbuje się tam uwierzytelnić i wysyła skrót danych logowania użytkownika. Według Microsoft wystarczy minimalne działanie: zaznaczenie pliku, kliknięcie prawym przyciskiem lub przejście do folderu.
Check Point Research opisał wykorzystanie od 19 marca 2025 roku, osiem dni po poprawce, w tym kampanię z 20 i 21 marca 2025 roku wymierzoną w instytucje rządowe i prywatne w Polsce i Rumunii. Termin naprawy wg CISA minął 8 maja 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-24054 |
Data dodania do CISA KEV | 2025-04-17 |
Termin naprawy wg CISA | 2025-05-08 |
Produkt | Microsoft Windows, mechanizm uwierzytelniania NTLM |
Wersje zagrożone | Windows 10 (1507, 1607, 1809, 21H2, 22H2), Windows 11 (22H2, 23H2, 24H2), Windows Server 2008 R2 SP1, 2012, 2012 R2, 2016, 2019, 2022, 2022 23H2, 2025, także instalacje Server Core, bez aktualizacji z 11 marca 2025. Atak wymaga minimalnego działania użytkownika |
Wersje bezpieczne | Kompilacje wg NVD: Windows 10 1507: 10240.20947; 1607 i Server 2016: 14393.7876; 1809 i Server 2019: 17763.7009; 21H2/22H2: 19044/19045.5608; Windows 11 22H2/23H2: 22621/22631.5039; 24H2: 26100.3403; Server 2022: 20348.3270; Server 2022 23H2: 25398.1486. Server 2025: NVD podaje 26100.3403, europejska baza 26100.3476, bezpieczniej przyjąć wyższą. Każda późniejsza aktualizacja zbiorcza zawiera poprawkę |
Typ podatności | Ujawnienie skrótu NTLM przez podszycie; zewnętrzna kontrola nazwy pliku lub ścieżki (CWE-73) |
Ocena CVSS | Microsoft: 6.5 ŚREDNIA (CVSS 3.1, pełny wpływ na poufność). NVD: 5.4 ŚREDNIA (CVSS 3.1, częściowy wpływ na poufność i integralność). Atak przez sieć, bez uprawnień, wymaga działania użytkownika |
Wyobraź sobie pracownika, który ma w kieszeni klucz do biura. Ktoś zostawia na jego biurku kopertę z napisem „dla ochrony budynku”. Pracownik nawet jej nie otwiera, tylko przesuwa na bok. Koperta jest jednak tak zrobiona, że samo jej dotknięcie powoduje odciśnięcie klucza w ukrytej plastelinie, która wraca do nadawcy. Klucz zostaje u pracownika, ale ktoś ma teraz wszystko, żeby dorobić własny.
Tak działa ta luka. Windows w sieciach firmowych sam przedstawia się serwerom w imieniu użytkownika (mechanizm NTLM), żeby nie pytać o hasło przy każdym folderze sieciowym. Spreparowany plik wskazuje adres serwera napastnika, a system wysyła tam skrót danych logowania. Skrót to nie hasło, ale napastnik może z niego odgadnąć słabe hasło na własnym sprzęcie albo w części konfiguracji użyć go do podszycia się pod pracownika. Zasada „nie otwieraj podejrzanych plików” tu nie chroni.
💡 NTLM to starszy mechanizm uwierzytelniania Windows, w którym komputer automatycznie przedstawia się serwerom. Skrót (hash) hasła to wynik przeliczenia hasła funkcją jednokierunkową; z hasła da się policzyć skrót, z powrotem nie, ale słabe hasła można odgadnąć. Plik .library-ms to plik opisujący bibliotekę folderów w Windows, który może wskazywać lokalizację sieciową. SMB to protokół udostępniania plików w sieci Windows. Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik rozpakowuje archiwum z załącznika | Pliki leżą w folderze | Samo przejście do folderu lub kliknięcie pliku wysyła skrót |
Zasada „nie otwieraj podejrzanych plików” | Chroni przed większością ataków | Nie chroni, plik nie musi być otwarty |
Windows przedstawia się serwerowi | Tylko firmowym serwerom | Także serwerowi napastnika |
Krótkie lub słownikowe hasło | Trudne do zdobycia z zewnątrz | Odgadnięte ze skrótu w godziny |
Ślady zdarzenia | Brak zdarzenia | Brak widocznych objawów u pracownika |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności, dopasowany do kampanii opisanych przez Check Point Research. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga dostarczenia pliku i minimalnego działania pracownika, ale nie jego otwarcia.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wysyłka | T+0 | Mail z linkiem do archiwum (np. w Dropbox) lub z plikiem | Plik trafia do pracownika |
2. Wyzwolenie | T+minuty do godzin | Pracownik rozpakowuje archiwum, przegląda folder lub klika plik prawym przyciskiem | Windows łączy się z serwerem SMB napastnika |
3. Przechwycenie | T+sekundy | Serwer napastnika zbiera skrót NTLMv2 użytkownika | Skrót danych logowania poza firmą |
4. Łamanie lub podszycie | T+godziny | Odgadywanie hasła offline lub użycie skrótu w podatnej konfiguracji | Hasło lub możliwość logowania jako pracownik |
5. Wejście | T+dni | Logowanie do poczty, VPN, folderów sieciowych | Dostęp do danych i korespondencji |
6. Nadużycie | T+dni do tygodni | Wysyłka wiadomości do klientów z firmowej skrzynki, dalsze włamania | Oszustwa, wyciek danych |
Średnia ocena CVSS usypia czujność, ale prognoza EPSS stawia tę lukę w górnym jednym procencie wszystkich podatności. Ocena mówi, jak bardzo boli, prognoza, jak często się zdarza. Ta luka boli umiarkowanie, ale zdarza się bardzo często, a kampanie celowały także w Polskę.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana haseł wszystkich kont, do których pracownik miał dostęp, przegląd logowań | Dni | 10 tys. do 60 tys. PLN (praca IT) |
Bezpieczeństwo danych | Dostęp do poczty, folderów sieciowych i systemów przez przejęte konto | Godziny do dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Fałszywe faktury i podmienione numery kont wysłane z firmowej skrzynki | Dni do tygodni | 20 tys. do 500 tys. PLN (zależnie od kwot) |
Reputacyjny | Klienci otrzymują oszukańcze wiadomości z adresu firmy | Tygodnie | 20 tys. do 200 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla komputerów z Windows
bez aktualizacji z marca 2025
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . . . ■ ← WYSOKIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest bardzo wysokie (publiczny kod ataku, kampanie w Polsce, EPSS około 0,59), a wpływ średni, bo wyciekają skróty, a nie gotowe hasła; przy krótkich hasłach i braku drugiego składnika logowania wpływ rośnie do wysokiego.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Wygenerować listę komputerów i serwerów bez aktualizacji z marca 2025 lub nowszej | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Zainstalować najnowszą aktualizację zbiorczą na zaległych maszynach, także tych z „wyłączonymi aktualizacjami” | Dziś | Administrator |
3 | 🟠 PILNIE | Zablokować ruch SMB (port 445) z sieci firmowej do internetu na zaporze | Do 3 dni | Administrator sieci |
4 | 🟠 PILNIE | Włączyć drugi składnik logowania do poczty, VPN i systemów w chmurze | Do 7 dni | CTO |
5 | 🟠 PILNIE | Sprawdzić politykę haseł: długość co najmniej kilkunastu znaków, bez słów słownikowych | Do 7 dni | Administrator |
6 | 🟡 WAŻNIE | Blokować w filtrze poczty załączniki | Do 30 dni | Administrator poczty |
7 | 🟡 WAŻNIE | Zaplanować ograniczenie użycia NTLM w sieci na rzecz Kerberos | Do 30 dni | CTO |
Microsoft wydał poprawki 11 marca 2025 roku dla wszystkich wspieranych wersji Windows. Dla systemów, których nie da się od razu zaktualizować, pomagają środki utrudniające wysłanie skrótu na zewnątrz i jego wykorzystanie. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokada wychodzącego ruchu SMB (port 445) do internetu | Wysoka wobec serwerów napastnika w internecie | Łatwa |
Drugi składnik logowania do poczty, VPN i chmury | Średnia do wysokiej: skradzione hasło nie wystarcza | Łatwa do średniej |
Długie, niesłownikowe hasła | Średnia: utrudnia odgadnięcie hasła ze skrótu | Łatwa |
Blokowanie typów plików | Średnia: zamyka jedną drogę dostarczenia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Aktualizacje Windows | Część stanowisk bez poprawek od marca 2025 | Wszystkie z aktualną aktualizacją zbiorczą |
Ruch SMB do internetu | Dozwolony | Zablokowany na zaporze |
Skutek kliknięcia pliku w folderze | Wyciek skrótu danych logowania | Brak wycieku |
Przejęte hasło | Wystarcza do logowania | Wymaga drugiego składnika |
Stanowiska bez aktualizacji | „Bo program do etykiet” | Rozwiązany problem z programem lub odizolowane stanowiska |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Check Point Research: od 19 marca 2025, w tym kampania 20 i 21 marca 2025 przeciw instytucjom rządowym i prywatnym w Polsce i Rumunii. Microsoft w swoim rekordzie nadal oznacza „niewykorzystywana” |
Grupy przestępcze | Nieustalone; Check Point zauważa, że jeden z adresów serwera był wcześniej wiązany przez HarfangLab z APT28, ale nie potwierdza powiązania |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 6.5 ŚREDNIA (Microsoft, CVSS 3.1); 5.4 ŚREDNIA (NVD, CVSS 3.1) |
PoC dostępny publicznie? | TAK, NVD podlinkowuje exploity w Exploit-DB (52478, 52480) i publikację na liście Full Disclosure |
Liczba atakowanych firm | Brak publicznych liczb; Check Point opisuje kilka kampanii w ciągu dwóch tygodni, także wobec firm na całym świecie |
Prognoza EPSS | Około 0,589 (percentyl 0,99), górny 1% luk (wg analizy źródłowej) |
Średnia ocena CVSS i bardzo wysoka prognoza nie są sprzeczne, tylko mierzą co innego:
Sygnały zagrożenia dla CVE-2025-24054
CVSS 3.1 (Microsoft) 6.5/10 █████████████░░░░░░░ ŚREDNIA
CVSS 3.1 (NVD) 5.4/10 ███████████░░░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~59% ████████████░░░░░░░░ górny 1% luk
Publiczny exploit TAK ████████████████████ Exploit-DB
CISA KEV TAK ████████████████████ ataki, także w Polsce 2025-03-11 Microsoft publikuje poprawkę (Patch Tuesday), publikacja CVE
2025-03-19 Początek wykorzystania w atakach (wg Check Point Research)
2025-03-20 Kampania przeciw instytucjom w Polsce i Rumunii (20-21 marca)
2025-03-25 Kampania z nieskompresowanymi plikami .library-ms na całym świecie
2025-04-16 Check Point Research publikuje raport
2025-04-17 CISA dodaje lukę do katalogu KEV
2025-05-08 Termin naprawy wg CISA dla agencji federalnych
... ponad 16 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Microsoft z listą aktualizacji: MSRC, CVE-2025-24054 . Analiza kampanii: Check Point Research, NTLM Exploit in the Wild . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-24054 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać liczbę komputerów bez aktualizacji z marca 2025 lub nowszej | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastowe aktualizacje, także na stanowiskach „wyłączonych z aktualizacji” | CTO | DZISIAJ |
3 | Potwierdzić blokadę ruchu SMB do internetu na zaporze | CTO | DZISIAJ |
4 | Zatwierdzić wdrożenie drugiego składnika logowania do poczty i VPN | CTO | DO JUTRA |
5 | Wprowadzić procedurę telefonicznego potwierdzania zmian numerów kont u kontrahentów | CFO | DO JUTRA |
6 | Zarezerwować budżet na rozwiązanie problemu z programem blokującym aktualizacje | CFO | DO JUTRA |
7 | Poinformować pracowników, że nawet nieotwarty plik z maila może być groźny | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile stanowisk i serwerów nie ma aktualizacji zbiorczej z marca 2025 lub nowszej? | [liczba] | 🔴 |
2 | Które komputery mają wstrzymane aktualizacje i z jakiego powodu? | [lista] | 🔴 |
3 | Czy zapora blokuje wychodzący ruch SMB (port 445) do internetu? | TAK / NIE | 🔴 |
4 | Czy poczta i VPN wymagają drugiego składnika logowania? | TAK / NIE | 🟠 |
5 | Jaka jest minimalna długość hasła w firmowej polityce? | [liczba znaków] | 🟠 |
6 | Czy filtr poczty blokuje pliki | TAK / NIE | 🟠 |
7 | W jakim zakresie sieć nadal korzysta z NTLM? | [zakres] | 🟡 |
CVE-2025-24054 w mechanizmie NTLM Windows pozwala wykraść skrót danych logowania, gdy pracownik tylko zaznaczy spreparowany plik lub przejdzie do folderu. Publiczny kod ataku istnieje, a kampanie od marca 2025 roku celowały także w instytucje i firmy w Polsce, więc instalacja aktualizacji na wszystkich stanowiskach i blokada ruchu SMB do internetu to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.