Analiza Ransomware Benzona 2026

W krajobrazie zagrożeń roku 2026 pojawił się nowy gracz: Benzona. Działając w modelu RaaS (Ransomware-as-a-Service), grupa ta celuje w średnie firmy w Europie Środkowej, w tym coraz częściej w Polsce.

W przeciwieństwie do "masowych" ataków, Benzona działa chirurgicznie. Ich czas przebywania w sieci (Dwell Time) wynosi średnio 14 dni przed zaszyfrowaniem danych, co daje im czas na kradzież (exfiltrację) wrażliwych plików.

Oto techniczna analiza szczepu Benzona przygotowana przez zespół Cyberlord Blue Team, wraz z zaleceniami obronnymi.

Łańcuch Ataku (Cyber Kill Chain)

1. Dostęp Początkowy (Initial Access)

Benzona rzadko używa zaawansowanych exploitów 0-day. Zamiast tego polega na:

Wykradzionych poświadczeniach RDP: Kupowanych na forach darknetowych (Access Brokers).
Phishingu: Maile z załącznikami spakowanymi w .iso lub .one (OneNote), omijające filtry pocztowe.
VPN bez MFA: Wykorzystywanie starych kont VPN (Fortinet/Pulse Secure), które nie mają włączonego uwierzytelniania dwuskładnikowego.

2. Rekonesans i Ruch Boczny

Po wejściu do sieci, atakujący używają narzędzi "Dual-Use" (narzędzia administratora użyte w złym celu), aby "żyć w terenie" (Living off the Land):

Advanced IP Scanner: Do mapowania sieci lokalnej.
Mimikatz / Rubeus: Do kradzieży haseł z pamięci (LSASS) i eskalacji uprawnień do Administratora Domeny.
Cobalt Strike: Jako framework C2 (Command & Control).

3. Eksfiltracja Danych (Podwójne Wymuszenie)

Zanim jakikolwiek plik zostanie zaszyfrowany, Benzona kradnie dane. Używają narzędzia Rclone (często ze zmienioną nazwą na svchost.exe), aby wysłać gigabajty danych do chmury MEGA lub pCloud. To ich "polisa ubezpieczeniowa". Nawet jeśli masz backupy i odzyskasz dane, zagrożą ich ujawnieniem (RODO).

4. Szyfrowanie (Impact)

Dopiero na końcu następuje szyfrowanie. Benzona wykorzystuje wielowątkowe szyfrowanie (ChaCha20 + RSA-4096).

Rozszerzenie plików: .benzona
Notatka z okupem: !README_BENZONA!.txt na pulpicie każdego serwera.
Cechy szczególne: Szyfruje również pliki na dyskach sieciowych (SMB) oraz próbuje usunąć kopie woluminów w tle (Volume Shadow Copies) komendą: vssadmin.exe Delete Shadows /All /Quiet.

Wskaźniki Kompromitacji (IoC)

Dla administratorów IT i zespołów SOC, oto co warto sprawdzić w logach (SIEM):

Hashe SHA256 (Próbka): a1b2c3d4e5f6... (przykładowy hash)
Domeny C2: update-microsoft-cloud[.]com support-desk-portal[.]net
Wzorce zachowań:
- Wykrycie narzędzia Rclone lub AnyDesk, którego TI nie instalowało.
- Masowe logowania na konto Administratora w nietypowych godzinach (np. 3:00 rano).

Procedura Wykrywania: Od Alertu do Klasyfikacji Incydentu

Lista IoC sama w sobie niewiele daje, jeśli zespół nie wie, co z nią zrobić. Poniżej sprawdzona sekwencja działań:

Krok 1: Podziel dowody na trzy kategorie

Artefakty początkowe: nagłówki maili z załącznikami .iso lub .one, logowania VPN bez MFA z nietypowych krajów, świeżo utworzone konta w Active Directory.
Artefakty behawioralne: proces rclone (nawet pod zmienioną nazwą) uruchomiony z poziomu cmd.exe, sesje AnyDesk niezgłoszone do helpdesku, dostęp do LSASS ze stacji roboczych.
Artefakty sieciowe: komunikacja z domenami update-microsoft-cloud[.]com lub support-desk-portal[.]net, duże transfery do chmur plikowych poza godzinami pracy.

Krok 2: Koreluj sygnały w SIEM

Pojedyncze dopasowanie hasha to zgłoszenie do weryfikacji. Zestawienie sygnałów z co najmniej dwóch kategorii (na przykład podejrzane logowanie VPN plus transfer do MEGA) podnieś do rangi incydentu o priorytecie krytycznym. Zasada jest prosta: nie eskaluj na podstawie jednego sygnału, ale nie zwlekaj z eskalacją, gdy sygnały nachodzą na siebie w krótkim oknie czasowym.

Krok 3: Przejdź od detekcji do aktywnego poszukiwania

Gdy jedno stanowisko potwierdzi aktywność szczepu, nie czekaj na kolejne alerty. Wykorzystaj opisane w tekście wzorce zachowań, o których szerzej piszemy w artykule Czym są TTP w cyberbezpieczeństwie, i rozwiń śledztwo na cały tenant: sprawdź, kto jeszcze logował się z tego samego adresu IP, którym kontom zmieniono uprawnienia w ostatnich 14 dniach i gdzie pojawiły się nowe zadania planowane. Metodykę takich poszukiwań opisujemy odrębnie w materiale o threat huntingu.

Co Robić w Razie Ataku? (Playbook Reagowania)

Jeśli zobaczysz ekran z żądaniem okupu, nie panikuj. Każda minuta się liczy.

1. Izolacja (Odłącz Kable)

Natychmiast odłącz zainfekowane maszyny od sieci (LAN i Wi-Fi). Jeśli atak trwa (widzisz zmieniające się rozszerzenia plików), wyłączenie serwera "na twardo" (z prądu) może uratować część danych, choć ryzykujesz uszkodzenie bazy SQL.

2. Zachowaj Dowody (Forensics)

Nie przeinstalowuj systemu od razu!

Zrób obraz dysku i zrzut pamięci RAM.
Firmy ubezpieczeniowe (Cyber Insurance) mogą odmówić wypłaty, jeśli zniszczysz dowody włamania.

3. Zgłoszenie RODO (72h)

W Polsce masz obowiązek zgłosić naruszenie ochrony danych do Prezesa UODO w ciągu 72 godzin od stwierdzenia naruszenia, jeśli wyciekły dane osobowe (a przy Benzona na 99% wyciekły).

4. Decyzja: Płacić czy Nie Płacić?

Jako firma Cyberlord odradzamy płacenie. Dlaczego?

Brak Gwarancji: 20% firm, które płacą, nigdy nie dostaje deszyfratora.
Podwójna Płatność: Często po zapłaceniu "za odszyfrowanie", hakerzy żądają drugiej wpłaty "za niepublikowanie danych".
Sankcje: Płacenie organizacjom objętym sankcjami (np. z Rosji) może być nielegalne (OFAC/UE).

Jedyne wyjątki to sytuacje "życia i śmierci" (szpitale) lub całkowita utrata firmy. Wtedy negocjacje powinni prowadzić profesjonalni negocjatorzy, a nie dział IT.

Zgłoszenie do UODO w Praktyce (art. 33 RODO)

O 72 godzinach mówi się często, ale rzadko konkretnie. Oto jak to wygląda od strony operacyjnej:

Co biegnie do terminu

72 godziny liczą się od chwili stwierdzenia naruszenia, a nie od momentu ataku czy zakończenia analizy śledczej. Jeśli pełny obraz nie jest jeszcze znany, zgłoś w częściach: wstępne zgłoszenie w terminie, kolejne informacje uzupełniaj na bieżąco.

Co powinien zawierać raport z incydentu

Charakter naruszenia: szyfrowanie połączone z eksfiltracją oraz kategorie danych (kadrowe, finanse, dane klientów).
Przybliżona liczba osób, których dane dotyczą, i liczba rekordów.
Kontakt do inspektora ochrony danych (IOD) lub osoby prowadzącej sprawę.
Prawdopodobne skutki: ryzyko wyłudzeń kredytów, kampanii phishingowych wymierzonych w klientów.
Działania podjęte do tej pory: izolacja, rotacja poświadczeń, zgłoszenie na policję.

Obowiązki równoległe

Naruszenia niewymagające zgłoszenia także musisz dokumentować wewnętrznie (art. 33 ust. 5). Po eksfiltracji przez Benzonę ryzyko dla osób jest wysokie niemal zawsze, więc obowiązek powiadomienia samych osób (art. 34) następuje bez zbędnej zwłoki, niezależnie od zegara 72 godzin.

Decyzja: Odtwarzanie z Kopii czy Negocjacje?

Rozstrzygaj według poniższych kryteriów, w tej kolejności:

Czy backup przetrwał i był testowany? Jeśli masz kopię offline (immutable) i wykonałeś realny test odtworzeniowy w ostatnich 12 miesiącach, argumenty przechylają się na stronę odtworzenia, nie negocjacji.
RTO i RPO: policz, ile danych przedsiębiorstwo toleruje stracić i jak szybko musi odzyskać sprawność. Kopia sprzed tygodnia bywa biznesowo gorszym wyjściem niż okup; to dylemat, który warto przeliczyć, zanim przestępcy użyją go jako dźwigni presji.
Czy dane wyciekły? Przy Benzonie niemal zawsze tak. Zapłata za deszyfrator nie cofnie wycieku, więc „kupienie ciszy” to odrębny, drugi koszt.
Polisa ubezpieczeniowa: wiele cyber polis wymaga zgody ubezpieczyciela na negocjacje i pracy z certyfikowanymi negocjatorami. Samodzielne działania bywają przesłanką odmowy wypłaty.

Najczęstsze Błędy Podczas Odtwarzania

Powrót do sieci z otwartym wektorem ataku: odtworzone zasoby bywały szyfrowane drugi raz w ciągu tygodnia, bo stare konto VPN nadal działało bez MFA.
Odtworzenie ekosystemu AD z kopii zawierającej backdoor: nie jest to odtwarzanie, tylko przeniesienie włamania na nową infrastrukturę.
Zaufanie „deszyfratorom” sprzedawanym na Telegramie: większość takich ofert to wyłudzenie; sprawny deszyfrator dostaje wyłącznie strona, która negocjuje przez kanał wskazany w notatce, i to nie zawsze działa.
Pomijanie rotacji poświadczeń: bez przeglądu logów łatwo przeoczyć, że konto krbtgt należało zresetować dwukrotnie, by zamknąć linię ataku.
Odzyskiwanie bez normalizacji uprawnień: jeżeli udział sieciowy wróci z prawami „Everyone: Full Control”, wracasz do punktu wyjścia, z którego ruszyła pierwsza kompromitacja.

Przykładowa Oś Czasu Incydentu (Wariant 72 Godzin)

Przykład dla firmy logistycznej (około 50 osób, jedna wirtualizacja, backup na NAS):

Godzina 0 (03:10): alert EDR: masowe operacje zapisu na zasobach plikowych oraz próba usunięcia kopii woluminów w tle.
Godzina 1: izolacja hostów, wstrzymanie replikacji backupu, powołanie zespołu incydentowego.
Godziny 2-12: obrazy dysków i zrzuty pamięci RAM; odczyt notatki z okupem; identyfikacja okna dostępu z logów VPN; wstępne zgłoszenie do UODO.
Godziny 12-48: analiza śledcza (które pliki da się odzyskać), decyzja o ścieżce wg macierzy RTO/RPO, zgłoszenie na policję, powiadomienie ubezpieczyciela.
Godziny 48-72: budowa odizolowanego środowiska docelowego, dwukrotny reset krbtgt, blokada starego konta VPN, testowe odtworzenie pojedynczego serwera.

Skala nakładów (uzasadnienie): przy takiej skali sama analiza śledcza i odtwarzanie najczęściej mieszczą się w przedziale kilkudziesięciu tysięcy złotych, przy stawkach incident response rzędu 600-1500 zł za godzinę i pracy rozłożonej na zespół kilku osób przez jeden do trzech tygodni. Dominującą pozycję w rachunku nie stanowi jednak cennik usług, lecz przestój biznesowy i prace wdrożeniowe po odtworzeniu, dlatego wyceny zawsze robi się wyłącznie na podstawie własnego środowiska, a nie ogólnikowych widełek.

Jak Ochronić Firmę przed Benzona?

Ransomware to nie magia, to biznes. Utrudnij im pracę, a pójdą gdzie indziej.

Backupyz 3-2-1: Przechowuj jedną kopię danych Offline (Immutable Backup). Jeśli ransomware nie może dosięgnąć backupu, nie może Cię szantażować.
MFA Wszędzie: Włącz uwierzytelnianie dwuskładnikowe na VPN, poczcie i dostępie do serwerów. To zatrzymuje 90% ataków na etapie wejścia.
EDR (Endpoint Detection & Response): Stary antywirus nie wystarczy. EDR (taki jak CrowdStrike czy SentinelOne) wykryje zachowanie (np. masowe szyfrowanie) i zablokuje proces, nawet jeśli nie zna sygnatury wirusa.
Audyt Bezpieczeństwa: Raz w roku zamów testy penetracyjne, aby znaleźć dziury, zanim zrobią to przestępcy.

Potrzebujesz Pomocy?

Jeśli padłeś ofiarą ataku ransomware, skontaktuj się z naszym zespołem Incident Response (24/7). Pomożemy w negocjacjach, analizie śledczej i przywróceniu systemów.

Analiza Ransomware Benzona 2026: Jak Działa i Jak Się Bronić?