--- id: CP-181 slug: autopsja-equifax-struts lang: pl title: Analiza włamania do Equifax w 2017 roku description: "Luka w Apache Struts z marca 2017 (CVE-2017-5638): jak można przejąć serwer dostępny z Internetu z nieaktualnym komponentem i co robi pracownik." canonical_url: https://startbrain.io/cyberpedia/pl/articles/autopsja-equifax-struts/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/autopsja-equifax-struts.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Analiza włamania do Equifax w 2017 roku”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/autopsja-equifax-struts/ (CC BY 4.0) wing: 2 theme: report_incidents reflex: cr-031 schema: G4 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/autopsja-equifax-struts/ fr: https://startbrain.io/cyberpedia/fr/articles/autopsie-equifax-struts/ en: https://startbrain.io/cyberpedia/en/articles/equifax-breach-struts-autopsy/ de: https://startbrain.io/cyberpedia/de/articles/equifax-struts-analyse/ es: https://startbrain.io/cyberpedia/es/articles/autopsia-equifax-struts/ it: https://startbrain.io/cyberpedia/it/articles/autopsia-equifax-struts/ nl: https://startbrain.io/cyberpedia/nl/articles/equifax-struts-autopsie/ pt: https://startbrain.io/cyberpedia/pt/articles/autopsia-equifax-struts-pt/ sources: - "n": 1 title: Vulnérabilité dans Apache Struts publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/alerte/CERTFR-2017-ALE-004/ published: "2017-03-10" accessed: "2026-11-03" - "n": 2 title: Exploit Public-Facing Application publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1190/ accessed: "2026-11-03" - "n": 3 title: "Server Software Component: Web Shell" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1505/003/ accessed: "2026-11-03" - "n": 4 title: Exfiltration Over C2 Channel publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1041/ accessed: "2026-11-03" - "n": 5 title: "[MaJ] Vulnérabilité dans Apache Log4j" publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/alerte/CERTFR-2021-ALE-022/ published: "2021-12-10" accessed: "2026-11-03" - "n": 6 title: Mitigating Log4Shell and Other Log4j-Related Vulnerabilities publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-356a accessed: "2026-11-03" - "n": 7 title: Vulnerability management publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/vulnerability-management published: "2024-02-12" accessed: "2026-11-03" --- # Analiza włamania do Equifax w 2017 roku Serwer WWW otwarty na Internet i oprogramowanie, które nie dostało aktualizacji: taka sytuacja naraża sieć na włamanie. Ta fiszka śledzi lukę Apache Struts CVE-2017-5638, ujawnioną publicznie w marcu 2017 roku [1], i porównuje ją z nowszym przypadkiem, Log4Shell. Uwaga o źródłach: dokumentacja źródłowa tej fiszki opisuje lukę, jej wykorzystanie i dobre praktyki, ale nie dokumentuje szczegółów włamania do Equifax (czas trwania, ilość danych, monitorowanie). Dlatego nie ma ich tutaj. ## W 30 sekund - Gdzie to się zdarza: na serwerze lub w aplikacji dostępnej z Internetu, na przykład na stronie internetowej, której komponent nie jest aktualny. - Czego chce atakujący: zdalnie wykonywać polecenia, a potem utrzymać dostęp i wyprowadzić dane. - Odruch: bez zwłoki zgłosić działowi IT każde nietypowe zachowanie strony lub narzędzia firmy, nie próbując samodzielnie go diagnozować. - Jeśli to już się stało: powiadomić zespół bezpieczeństwa, który zdecyduje, czy trzeba odizolować daną aplikację. ## Pytania wprost ### Na czym polegała luka z marca 2017 roku? Podatność w Apache Struts pozwalała atakującemu doprowadzić do zdalnego wykonania dowolnego kodu [1]. Dotyczyła wersji 2.3.x starszych niż 2.3.32 i 2.5.x starszych niż 2.5.10.1 [1]. Apache opublikował biuletyn S2-045 6 marca 2017 roku, aby udostępnić poprawkę [1]. ### Czy trzeba było być ekspertem, żeby ją wykorzystać? Nie. CERT-FR zwracał uwagę na „le faible niveau de technicité nécessaire à l'exploitation de cette vulnérabilité” i zalecał wdrożenie poprawki w możliwie najkrótszym czasie [1]. Luka była aktywnie wykorzystywana od publikacji biuletynu [1]. ### Czy pracownik może coś zrobić? Nie instaluje poprawek, ale czasem widzi pierwszy sygnał: stronę, która źle odpowiada, narzędzie, które zachowuje się inaczej. Brytyjskie NCSC wychodzi z założenia, że aktualizacje są kontrolą typu „business as usual” [7]. ### Co zrobić z podatną aplikacją, która zawiera wrażliwe dane? CERT-FR uznawał, że należy ją wyłączyć do czasu zastosowania aktualizacji: pisał, że jest to „fortement conseillé” [1]. ## W skórze atakującego Atakujący szuka drzwi, które już są otwarte. MITRE opisuje tę technikę: wykorzystanie słabości systemu dostępnego z Internetu, by po raz pierwszy uzyskać dostęp do sieci. Słabością może być błąd w oprogramowaniu, przejściowa usterka lub błąd konfiguracji [2]. Wykorzystywane aplikacje to często strony i serwery WWW [2]. W przypadku luki Struts CERT-FR mówi o „faible niveau de technicité” potrzebnym do jej wykorzystania [1]. Źródła nie opisują dokładnej postaci ataku i ta fiszka jej nie wymyśla. Następnie atakujący zadomawia się w systemie. MITRE opisuje web shell: skrypt umieszczony na dostępnym serwerze WWW, który służy jako brama do sieci i może udostępniać funkcje wykonywania poleceń lub wiersz poleceń na maszynie hostującej serwer [3]. Celem jest trwały dostęp (taktyka „Persistence” w MITRE) [3]. Na końcu wyprowadza dane. MITRE opisuje eksfiltrację kanałem dowodzenia i kontroli, który już został ustanowiony: wykradzione dane są kodowane w zwykłym strumieniu komunikacji, tym samym protokołem [4]. ## Co widać na ekranie Ekran może nie pokazywać niczego nietypowego. Warto wtedy zgłaszać drobne szczegóły: nietypową powolność, zmienioną stronę, usługę restartującą się bez powodu, alert narzędzia bezpieczeństwa. Te objawy same w sobie niczego nie dowodzą. Pracownik nie musi rozstrzygać: opisuje, co zobaczył (godzina, aplikacja, zachowanie), i pozostawia wnioski zespołowi bezpieczeństwa. ## Pod maską Mechanizm sprowadza się do czterech etapów, z których każdy opiera się na źródłach. - Luka: błąd w komponencie (tu Struts), który naprawia poprawka Apache [1]. - Wejście: wykorzystanie aplikacji dostępnej z Internetu, co umożliwia zdalne wykonanie kodu [1][2]. - Instalacja: web shell lub inny trwały dostęp [3]. - Wyjście: dane opuszczają sieć kanałem dowodzenia i kontroli [4]. Po stronie obrony MITRE wymienia środki przeciw wykorzystaniu aplikacji dostępnej z zewnątrz. Regularnie aktualizować wystawione oprogramowanie. Regularnie skanować wystawione systemy i przewidzieć procedury szybkiego naprawiania, gdy wykryta zostanie krytyczna luka. Oddzielić wystawione serwery od reszty sieci. Ograniczyć ruch wychodzący z serwerów publicznych: nie zapobiega to pierwotnemu wykorzystaniu luki, ale atakującemu trudniej potem kontrolować przejęty serwer [2]. NCSC przypomina istotną kwestię: wszystkie systemy zawierają podatności, a skuteczne zarządzanie pozwala wiedzieć, które z nich występują i gdzie aktualizacje się nie udają [7]. ## Analizy incydentów ### Apache Struts, marzec 2017 6 marca 2017 roku Apache publikuje biuletyn S2-045 [1]. 10 marca 2017 roku CERT-FR wydaje swój alert, z którego wynika, że luka jest aktywnie wykorzystywana od publikacji [1]. Alert zostaje zamknięty 10 maja 2017 roku [1]. W dniu alertu, cztery dni po biuletynie, CERT-FR stwierdza więc aktywne wykorzystywanie luki [1]. ### Log4Shell, grudzień 2021 CERT-FR publikuje pierwszy alert dotyczący Log4j 10 grudnia 2021 roku [5]. Biblioteka jest bardzo często używana w projektach w Javie i przez producentów oprogramowania pudełkowego (COTS) [5]. Atakujący może doprowadzić do zdalnego wykonania kodu bez uwierzytelnienia, na przykład przez stronę logowania, która zapisuje błędy w dzienniku [5]. Według informacji publicznych przytoczonych we wspólnym komunikacie CISA i jej partnerów wykorzystywanie Log4Shell rozpoczęło się 1 grudnia 2021 roku lub około tej daty, a publiczny kod wykorzystujący lukę istnieje [6]. FBI zaobserwowało próby wykorzystania i masowe skanowania mające na celu instalację oprogramowania do kopania kryptowalut i oprogramowania botnetowego [6]. Komunikat każe najpierw zidentyfikować zasoby, których sprawa dotyczy: sporządzić inwentarz wszystkich zasobów używających biblioteki Log4j, w tym w chmurze [6]. ## Źródła 1. CERT-FR (ANSSI), „Vulnérabilité dans Apache Struts”, 10 marca 2017. https://cert.cyber.gouv.fr/alerte/CERTFR-2017-ALE-004/ (dostęp 3 listopada 2026) 2. MITRE ATT&CK, „Exploit Public-Facing Application”. https://attack.mitre.org/techniques/T1190/ (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Server Software Component: Web Shell”. https://attack.mitre.org/techniques/T1505/003/ (dostęp 3 listopada 2026) 4. MITRE ATT&CK, „Exfiltration Over C2 Channel”. https://attack.mitre.org/techniques/T1041/ (dostęp 3 listopada 2026) 5. CERT-FR (ANSSI), „[MaJ] Vulnérabilité dans Apache Log4j”, 10 grudnia 2021. https://cert.cyber.gouv.fr/alerte/CERTFR-2021-ALE-022/ (dostęp 3 listopada 2026) 6. CISA, „Mitigating Log4Shell and Other Log4j-Related Vulnerabilities”. https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-356a (dostęp 3 listopada 2026) 7. NCSC (Royaume-Uni), „Vulnerability management”, 12 lutego 2024. https://www.ncsc.gov.uk/collection/vulnerability-management (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/autopsja-equifax-struts/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.