malware-as-a-service (MaaS)

Malware-as-a-service (MaaS) to model biznesowy, w którym przestępcy za opłatą udostępniają innym złośliwe oprogramowanie (malware) razem z infrastrukturą do jego obsługi ^[1]. Jest przestępczym odpowiednikiem oprogramowania w modelu SaaS: klient dostaje panel, aktualizacje i wsparcie techniczne, a nie musi niczego programować ^[1]. Kaspersky zauważa, że model ten obniża próg wejścia w cyberprzestępczość i utrudnia przypisanie ataku, bo to samo narzędzie pojawia się w wielu niezależnych kampaniach ^[1].

Jak działa

Za usługą stoi zorganizowana grupa z podziałem ról: twórcy kodu, administratorzy systemów, menedżerowie i pomoc techniczna ^[1]. Kaspersky podaje, że takie usługi są zwykle utrzymywane w darknecie ^[1]. Klient, nazywany często afiliantem, płaci za dostęp do panelu, w którym buduje własne pliki złośliwego programu i zarządza serwerami C2 (command and control) ^[5]. W przypadku Lumma Stealer twórca pobierał dodatkową opłatę za prywatne domeny C2 ^[5]. Podział pracy pokazuje schemat poniżej.

RYS. 1Podział ról w modelu MaaS

Formy rozliczenia są różne: jednorazowy zakup, abonament miesięczny lub roczny albo podział zysku, na przykład procent okupu przy ransomware ^[1]. Ten ostatni wariant ma osobną nazwę: ransomware-as-a-service (RaaS).

Poprzednikiem modelu były exploit kity wynajmowane na doby i miesiące; sekurak opisywał najem za 40 USD na dobę i 450 USD na miesiąc ^[7].

Rodzaje oferowanego oprogramowania

Kaspersky wymienia pięć typowych grup narzędzi sprzedawanych w tym modelu ^[1].

Oferty upodabniają się do produktów komercyjnych. OnyxC2, opisany przez sekurak w czerwcu 2026 roku, kosztował 250 USD miesięcznie w wersji podstawowej i 500 USD w wersji rozszerzonej, a pakiet z kodem źródłowym 6000 USD ^[2]. Narzędzie łączyło funkcje stealera i RAT (remote access trojan), obsługiwało około 210 aplikacji i rozszerzeń i przy każdym budowaniu automatycznie zmieniało kod, żeby ominąć sygnatury ^[2]. To zbliża je do malware polimorficznego (polymorphic malware). Autorzy dbali też o ukrycie: kod korzystał z bezpośrednich wywołań systemowych i ładowania bibliotek DLL podstawionych obok legalnych programów, a komunikację z serwerem szyfrował algorytmem AES-256 ^[2]. W chwili publikacji artykułu serwis VirusTotal nie pokazywał wykryć, a próbki oznaczały tylko 2 z 18 silników antywirusowych ^[2].

W WordPressie

Model MaaS dotyczy stron WordPress z dwóch stron. Po pierwsze, przejęte witryny służą jako kanał dystrybucji. Microsoft opisał, że Lumma Stealer rozpowszechniano między innymi przez przejęte strony z wstrzykniętym kodem JavaScript prowadzącym do drive-by download, przez fałszywą CAPTCHA nakłaniającą do wklejenia polecenia w okno Uruchom systemu Windows oraz przez malvertising ^[5].

Po drugie, klienci MaaS kradną dane, które otwierają panel WordPressa. Lumma wyciąga z przeglądarek zapisane hasła, ciasteczka sesji i dane autouzupełniania ^[5]. Poza przeglądarkami celem są portfele kryptowalut, pliki konfiguracyjne VPN, klienci poczty i dokumenty użytkownika ^[5]. StealC, również oferowany jako MaaS, wyróżnia się masowym wykradaniem ciasteczek sesyjnych ^[3]. Skradzione ciasteczko może posłużyć do przejęcia sesji (session hijacking) bez znajomości hasła. Dokumentacja WordPressa ostrzega, że źródłem włamania bywa komputer właściciela strony: trojany podsłuchują dane logowania do FTP i do /wp-admin, a atakujący loguje się potem jako właściciel ^[6].

Zagrożenia i skutki

Skalę pokazują dane Microsoftu. Między 16 marca a 16 maja 2025 roku firma zidentyfikowała ponad 394 000 komputerów z Windows zainfekowanych Lumma Stealer ^[4]. Twórca Lumma oferował cztery poziomy usługi, od 250 USD do 20 000 USD za wersję z kodem źródłowym, a w wywiadzie z 2023 roku mówił o około 400 aktywnych klientach ^[4].

Skradzione dane mają dalszy obieg. Badacze, którzy przejęli panel StealC, znaleźli w nim około 400 000 haseł i około 30 milionów ciasteczek zebranych przez jednego operatora ^[3]. Takie zbiory trafiają do brokerów początkowego dostępu (initial access broker) i do kolejnych ataków, w tym przejęcia kont.

Jak się bronić

Obrona przed MaaS nie różni się od obrony przed samym złośliwym oprogramowaniem, ale warto pamiętać, że kradzież dotyczy komputerów osób z dostępem do panelu. Dokumentacja WordPressa zaleca po włamaniu pełne skanowanie antywirusowe komputera lokalnego, zmianę haseł do wszystkich punktów dostępu, w tym FTP, panelu hostingu i bazy danych, oraz uwierzytelnianie wieloskładnikowe ^[6].

• Uwierzytelnianie dwuskładnikowe (2FA) utrudnia użycie skradzionego hasła, choć nie chroni przed skradzionym ciasteczkiem sesji.
• Zmiana kluczy bezpieczeństwa i soli w wp-config.php wylogowuje wszystkich zalogowanych użytkowników ^[6], więc unieważnia skradzione sesje.
• Hasła nie powinny być zapisywane w przeglądarce, z której korzysta się na co dzień; lepszym miejscem jest menedżer haseł.

Historia i przykłady

W maju 2025 roku Digital Crimes Unit Microsoftu razem z Europolem i japońskim JC3 przeprowadził akcję przeciw infrastrukturze Lumma Stealer ^[4]. Microsoft przejął około 2300 złośliwych domen, a ponad 1300 domen przekierowano do sinkhole'ów Microsoftu ^[4]. W styczniu 2026 roku badacze CyberArk Labs przejęli panel administracyjny StealC, wykorzystując w nim Stored XSS i brak flagi HttpOnly na ciasteczkach ^[3].