Cyberpediaod Brain
PLDEENESFRITNLPT

Analiza włamania do Equifax w 2017 roku

Luka w Apache Struts z marca 2017 (CVE-2017-5638): jak można przejąć serwer dostępny z Internetu z nieaktualnym komponentem i co robi pracownik.

W 30 sekund

Gdzie to się zdarza
Na serwerze lub w aplikacji dostępnej z Internetu, na przykład na stronie internetowej, której komponent nie jest aktualny.
Czego chce atakujący
Zdalnie wykonywać polecenia, a potem utrzymać dostęp i wyprowadzić dane.
Odruch
Bez zwłoki zgłosić działowi IT każde nietypowe zachowanie strony lub narzędzia firmy, nie próbując samodzielnie go diagnozować.
Jeśli to już się stało
Powiadomić zespół bezpieczeństwa, który zdecyduje, czy trzeba odizolować daną aplikację.

O co chodzi

Serwer WWW otwarty na Internet i oprogramowanie, które nie dostało aktualizacji: taka sytuacja naraża sieć na włamanie. Ta fiszka śledzi lukę Apache Struts CVE-2017-5638, ujawnioną publicznie w marcu 2017 roku1, i porównuje ją z nowszym przypadkiem, Log4Shell.

Uwaga o źródłach: dokumentacja źródłowa tej fiszki opisuje lukę, jej wykorzystanie i dobre praktyki, ale nie dokumentuje szczegółów włamania do Equifax (czas trwania, ilość danych, monitorowanie). Dlatego nie ma ich tutaj.

Pytania wprost

Na czym polegała luka z marca 2017 roku?

Podatność w Apache Struts pozwalała atakującemu doprowadzić do zdalnego wykonania dowolnego kodu1. Dotyczyła wersji 2.3.x starszych niż 2.3.32 i 2.5.x starszych niż 2.5.10.11. Apache opublikował biuletyn S2-045 6 marca 2017 roku, aby udostępnić poprawkę1.

Czy trzeba było być ekspertem, żeby ją wykorzystać?

Nie. CERT-FR zwracał uwagę na „le faible niveau de technicité nécessaire à l'exploitation de cette vulnérabilité” i zalecał wdrożenie poprawki w możliwie najkrótszym czasie1. Luka była aktywnie wykorzystywana od publikacji biuletynu1.

Czy pracownik może coś zrobić?

Nie instaluje poprawek, ale czasem widzi pierwszy sygnał: stronę, która źle odpowiada, narzędzie, które zachowuje się inaczej. Brytyjskie NCSC wychodzi z założenia, że aktualizacje są kontrolą typu „business as usual”7.

Co zrobić z podatną aplikacją, która zawiera wrażliwe dane?

CERT-FR uznawał, że należy ją wyłączyć do czasu zastosowania aktualizacji: pisał, że jest to „fortement conseillé”1.

1W skórze atakującego1 min

Atakujący szuka drzwi, które już są otwarte. MITRE opisuje tę technikę: wykorzystanie słabości systemu dostępnego z Internetu, by po raz pierwszy uzyskać dostęp do sieci. Słabością może być błąd w oprogramowaniu, przejściowa usterka lub błąd konfiguracji2. Wykorzystywane aplikacje to często strony i serwery WWW2.

W przypadku luki Struts CERT-FR mówi o „faible niveau de technicité” potrzebnym do jej wykorzystania1. Źródła nie opisują dokładnej postaci ataku i ta fiszka jej nie wymyśla.

Następnie atakujący zadomawia się w systemie. MITRE opisuje web shell: skrypt umieszczony na dostępnym serwerze WWW, który służy jako brama do sieci i może udostępniać funkcje wykonywania poleceń lub wiersz poleceń na maszynie hostującej serwer3. Celem jest trwały dostęp (taktyka „Persistence” w MITRE)3.

Na końcu wyprowadza dane. MITRE opisuje eksfiltrację kanałem dowodzenia i kontroli, który już został ustanowiony: wykradzione dane są kodowane w zwykłym strumieniu komunikacji, tym samym protokołem4.

2Co widać na ekranie1 min

Ekran może nie pokazywać niczego nietypowego. Warto wtedy zgłaszać drobne szczegóły: nietypową powolność, zmienioną stronę, usługę restartującą się bez powodu, alert narzędzia bezpieczeństwa.

Te objawy same w sobie niczego nie dowodzą. Pracownik nie musi rozstrzygać: opisuje, co zobaczył (godzina, aplikacja, zachowanie), i pozostawia wnioski zespołowi bezpieczeństwa.

3Pod maskąZespoły IT1 min

Mechanizm sprowadza się do czterech etapów, z których każdy opiera się na źródłach.

  • Luka: błąd w komponencie (tu Struts), który naprawia poprawka Apache1.
  • Wejście: wykorzystanie aplikacji dostępnej z Internetu, co umożliwia zdalne wykonanie kodu12.
  • Instalacja: web shell lub inny trwały dostęp3.
  • Wyjście: dane opuszczają sieć kanałem dowodzenia i kontroli4.

Po stronie obrony MITRE wymienia środki przeciw wykorzystaniu aplikacji dostępnej z zewnątrz. Regularnie aktualizować wystawione oprogramowanie. Regularnie skanować wystawione systemy i przewidzieć procedury szybkiego naprawiania, gdy wykryta zostanie krytyczna luka. Oddzielić wystawione serwery od reszty sieci. Ograniczyć ruch wychodzący z serwerów publicznych: nie zapobiega to pierwotnemu wykorzystaniu luki, ale atakującemu trudniej potem kontrolować przejęty serwer2.

NCSC przypomina istotną kwestię: wszystkie systemy zawierają podatności, a skuteczne zarządzanie pozwala wiedzieć, które z nich występują i gdzie aktualizacje się nie udają7.

4Analizy incydentówPrawdziwe przypadki1 min

Apache Struts, marzec 2017

6 marca 2017 roku Apache publikuje biuletyn S2-0451. 10 marca 2017 roku CERT-FR wydaje swój alert, z którego wynika, że luka jest aktywnie wykorzystywana od publikacji1. Alert zostaje zamknięty 10 maja 2017 roku1. W dniu alertu, cztery dni po biuletynie, CERT-FR stwierdza więc aktywne wykorzystywanie luki1.

Log4Shell, grudzień 2021

CERT-FR publikuje pierwszy alert dotyczący Log4j 10 grudnia 2021 roku5. Biblioteka jest bardzo często używana w projektach w Javie i przez producentów oprogramowania pudełkowego (COTS)5. Atakujący może doprowadzić do zdalnego wykonania kodu bez uwierzytelnienia, na przykład przez stronę logowania, która zapisuje błędy w dzienniku5.

Według informacji publicznych przytoczonych we wspólnym komunikacie CISA i jej partnerów wykorzystywanie Log4Shell rozpoczęło się 1 grudnia 2021 roku lub około tej daty, a publiczny kod wykorzystujący lukę istnieje6. FBI zaobserwowało próby wykorzystania i masowe skanowania mające na celu instalację oprogramowania do kopania kryptowalut i oprogramowania botnetowego6. Komunikat każe najpierw zidentyfikować zasoby, których sprawa dotyczy: sporządzić inwentarz wszystkich zasobów używających biblioteki Log4j, w tym w chmurze6.

Karta

Identyfikator
CP-181
Skrzydło
2. Złośliwe oprogramowanie i analizy incydentów
Kompetencja Brain
Zgłaszać incydenty (report_incidents)
Odruch Brain
cr-031
Schemat
G4 · Oś czasu incydentu (analiza)
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 7
ŹródłaŹródła: 7
  1. CERT-FR (ANSSI), „Vulnérabilité dans Apache Struts”, 10 marca 2017. https://cert.cyber.gouv.fr/alerte/CERTFR-2017-ALE-004/ (dostęp 3 listopada 2026)
  2. MITRE ATT&CK, „Exploit Public-Facing Application”. https://attack.mitre.org/techniques/T1190/ (dostęp 3 listopada 2026)
  3. MITRE ATT&CK, „Server Software Component: Web Shell”. https://attack.mitre.org/techniques/T1505/003/ (dostęp 3 listopada 2026)
  4. MITRE ATT&CK, „Exfiltration Over C2 Channel”. https://attack.mitre.org/techniques/T1041/ (dostęp 3 listopada 2026)
  5. CERT-FR (ANSSI), „[MaJ] Vulnérabilité dans Apache Log4j”, 10 grudnia 2021. https://cert.cyber.gouv.fr/alerte/CERTFR-2021-ALE-022/ (dostęp 3 listopada 2026)
  6. CISA, „Mitigating Log4Shell and Other Log4j-Related Vulnerabilities”. https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-356a (dostęp 3 listopada 2026)
  7. NCSC (Royaume-Uni), „Vulnerability management”, 12 lutego 2024. https://www.ncsc.gov.uk/collection/vulnerability-management (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Analiza włamania do Equifax w 2017 roku”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/autopsja-equifax-struts/

BibTeX 
@misc{brain_cp181_pl_2026,
  author = {Brain},
  title = {Analiza włamania do Equifax w 2017 roku},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/autopsja-equifax-struts/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0