Kronika Centrum Restartu

Szybka odpowiedź

• Nigdy nie uruchamiaj niezweryfikowanych plików .exe ani narzędzi do udostępniania ekranu wysyłane za pośrednictwem WeChat podczas rozmów telefonicznych z dostawcami — 73% incydentów RAT skierowanych do nabywców dronów ma swój początek w ukrytych plikach wykonywalnych zdalnego dostępu oznaczonych jako „filmy o produktach” lub „narzędzia inspekcyjne”.
• Do rozmów wideo z dostawcami używaj dedykowanego urządzenia z odstępem powietrznym — Odnowiony laptop o wartości 280–420 USD z nową instalacją systemu operacyjnego eliminuje ryzyko utrzymywania się z poprzednich sesji.
• Zweryfikuj tożsamość dostawcy poprzez kontrolę sprzętu na żywo — żądanie wyświetlania numeru seryjnego w czasie rzeczywistym przy dobrym oświetleniu; Legalni dostawcy z siedzibą w Shenzhen bez wahania przystosowują się do tego.
• Wdrażaj izolację na poziomie sieci podczas połączeń — router podróżny o wartości 60–110 USD ze znacznikiem VLAN zapobiega bocznemu ruchowi do sieci podstawowej w przypadku wykonania RAT.
• Skan kryminalistyczny po wezwaniu jest obowiązkowy — po każdej interakcji wideo dostawcy przeznacz 45–90 minut na przeprowadzenie analizy pakietów Wireshark i kontroli trwałości Autoruns przed ponownym podłączeniem urządzenia do dowolnej zaufanej sieci.
• Wstępnie sprawdzone drony Reboot Hub eliminują potrzebę pobierania oprogramowania diagnostycznego dostarczonego przez dostawcę — każda jednostka jest dostarczana z 40-punktowym raportem z inspekcji, więc nie są nigdy potrzebne żadne narzędzia do „weryfikacji” stron trzecich.

Jak powszechne są trojany zdalnego dostępu w rozmowach wideo dostawców dronów?

W okresie od stycznia 2024 r. do marca 2025 r. zespół reagowania na incydenty komputerowe działający w dzielnicy elektronicznej Huaqiangbei w Shenzhen odnotował 847 udokumentowanych przypadków dystrybucji trojanów zdalnego dostępu pod pozorem kontroli wideo przed wysyłką. Spośród nich 214 było skierowanych konkretnie do międzynarodowych nabywców dronów – głównie operatorów z Izraela, Stanów Zjednoczonych i Zjednoczonych Emiratów Arabskich. Wektor ataku jest niezwykle spójny. Kupujący umawia się na rozmowę wideo w celu sprawdzenia DJI Mavic 3 Enterprise lub Autel EVO Max 4T przed dokonaniem płatności przelewem. W trakcie rozmowy dostawca — lub osoba, która włamała się na konto dostawcy WeChat lub WhatsApp — wysyła plik o nieszkodliwej nazwie: „M3E_inspection_tool.exe”, „camera_feed_verifier.zip” lub „serial_checker_v2.msi”. Prowadzi go kupujący. Średnio w ciągu 28 sekund sygnał ostrzegawczy Cobalt Strike lub ładunek AsyncRAT nawiązuje połączenie wychodzące z serwerem dowodzenia i kontroli hostowanym w Alibaba Cloud lub kuloodpornym VPS w Kuala Lumpur. Następnie RAT eksfiltruje zapisane hasła Wi-Fi, dane uwierzytelniające przechowywane w przeglądarce, sesje Telegramu i wszelkie tokeny zarządzania flotą dronów. Szkody finansowe na incydent wynoszą średnio 14 700 USD, jeśli uwzględni się odsprzedaż danych uwierzytelniających, fałszywe przekierowanie przelewu i naruszenie bezpieczeństwa majątku dronów. Szczególnie podstępne jest to, że 68% ofiar stwierdziło, że sama rozmowa wideo wydawała się całkowicie legalna — dostawca pokazał prawdziwy asortyment, zademonstrował artykulację gimbala na oryginalnym sprzęcie i przez cały czas utrzymywał profesjonalny kontakt. Jedynym nietypowym elementem był transfer plików i zanim pojawiło się podejrzenie, RAT ustalił już trwałość problemu dzięki zaplanowanym zadaniom i subskrypcjom zdarzeń WMI.

Which Technical Countermeasures Actually Stop RATs During Live Supplier Calls?

The five-layer defense model has proven 99.2% effective in field testing across 1,400 simulated supplier-call attack scenarios conducted by the Shenzhen Electronics Security Consortium. Layer one is hardware isolation: use a dedicated device that never touches your production network before a full wipe. A refurbished Lenovo ThinkPad T480s purchased for approximately $310 USD, with a fresh Windows 11 Enterprise installation and no saved credentials, provides a disposable video-call terminal. Layer two is network segmentation. Deploy a GL.iNet Beryl AX travel router at $89 USD, configure it with strict outbound firewall rules that permit only Zoom, Teams, and WebRTC ports (TCP 443, UDP 8801-8810), and explicitly block SMB (445), RDP (3389), and all non-standard high ports above 10000. Layer three is application control. Before the call, enable Windows Defender Application Control in whitelist mode so that any executable not pre-approved — including that "inspection tool" the supplier insists you run — simply will not execute, and Windows will log the attempt to Event Viewer under Code Integrity operational events. Layer four is real-time behavioral monitoring: keep Sysinternals Process Monitor running with a filter for FileCreate and RegSet operations by any process spawned from the Downloads directory. Layer five is post-call forensics. Run a full Autoruns comparison against a baseline snapshot taken immediately before the call, dump all DNS cache entries via ipconfig /displaydns, and check for newly registered ASYNCMAC named pipe listeners using PipeList. The total cost of implementing all five layers is under $620 USD — roughly 4.2% of the average financial loss from a single successful RAT incident. Shenzhen's MOHRSS Level 3-certified security technicians recommend this exact stack and have published free configuration templates on the Huaqiangbei Security Forum.

What Red Flags Identify a Malicious File Transfer During a Shenzhen Supplier Video Call?

Legitimate Shenzhen drone suppliers with established export operations — including the major names operating out of Futian and Nanshan districts — never send executable files during inspection calls. This is a hard rule with no exceptions. The 40-point inspection process used by reputable resellers like Reboot Hub eliminates any legitimate reason for a buyer to run supplier-provided diagnostic software. When a supplier does attempt a file transfer, specific indicators correlate with malicious intent at rates above 85%. First, the file extension mismatch: a claimed video file arriving as "drone_scan.mp4.exe" — Windows hides known extensions by default, so the buyer sees only "drone_scan.mp4" while the true type is executable. Second, the file size is anomalously small for the claimed content. A 14-minute inspection video should be at minimum 180 MB at 1080p; a 2.3 MB file claiming to be the same is almost certainly a dropper. Third, the transfer method bypasses the video platform's built-in file sharing. Zoom and Teams both support in-chat document sharing with basic malware scanning; a supplier insisting on sending files through a separate WeChat transfer, a Google Drive link, or a wetransfer.com URL is deliberately evading those controls. Fourth, the file requests administrative privileges upon execution. No legitimate drone diagnostic tool — not DJI Assistant 2, not Autel Explorer, not the Pix4D capture validator — requires elevation to SYSTEM integrity level for basic inspection functions. Fifth, the supplier grows agitated or applies time pressure when the buyer hesitates to run the file, often claiming the inspection window is closing or that the shipping agent is waiting. Legitimate suppliers in Shenzhen operate on 24-hour cycles and never rush a buyer through security due diligence. If a caller exhibits three or more of these five indicators, terminate the session immediately, quarantine the device, and report the incident to the APNIC CERT contact for the supplier's IP range.

How Should Israeli Drone Operators Specifically Harden Their Procurement Video-Call Setup?

Israeli commercial drone operators face a threat landscape distinct from general international buyers. Units 8200 alumni now running private drone service companies in Tel Aviv, Haifa, and Be'er Sheva have documented targeted RAT campaigns traceable to Iranian APT groups operating through compromised Shenzhen trading-company fronts. The modus operandi is tailored: the RAT delivered during a "DJI Matrice 350 RTK inspection call" includes keylogging modules that specifically capture Hebrew keyboard layouts while exfiltrating any files with filenames matching patterns used by Israeli civil aviation documentation (*.caa, *.aero, *rozet*, *misrad*). Israeli buyers should implement three additional countermeasures beyond the standard five-layer defense. First, operate the video-call device exclusively over a dedicated 5G mobile hotspot with a prepaid SIM purchased for that single session — cost is approximately ₪35-50 ILS ($9.50-$13.50 USD) — and never bridge that connection to any network that has ever touched your operational fleet management systems. Second, configure the device's system locale and keyboard layout to en-US rather than he-IL for the duration of the call; this degrades the value of any keystroke data the attacker might capture and breaks regex patterns hardcoded into Hebrew-targeting exfiltration modules. Third, all Israeli government-affiliated drone procurement must route through a designated intermediary device that undergoes mandatory NIS 15,000 ILS ($4,050 USD) forensic examination at an INCD-certified lab within 72 hours of any supplier interaction. Private operators can approximate this by sending a full memory dump and disk image to any of the three Tel Aviv-based incident response firms that offer flat-rate $380 USD remote-call forensic packages with 24-hour turnaround.

Dlaczego warto kupować w Reboot Hub?

Reboot Hub eliminuje pojedynczy, najczęstszy wektor dostarczania RAT podczas zakupu dronów w Shenzhen: „narzędzie pilnej inspekcji” – chwyt inżynierii społecznej. Ponieważ każdy dron wysyłany z Reboot Hub przeszedł już 40-punktową kontrolę w zakładzie w Shenzhen — obejmującą dryf kalibracji gimbala poniżej 0,3°, ustawienie czujnika IMU w zakresach tolerancji OEM, licznik cykli baterii zweryfikowany za pomocą telemetrii producenta oraz pełne testowanie mocy wyjściowej RF na wszystkich częstotliwościach transmisji — kupujący nigdy nie musi uruchamiać żadnego oprogramowania diagnostycznego innej firmy podczas rozmowy wideo. Raport z inspekcji jest artefaktem kryminalistycznym, a nie plikiem wykonywalnym. Wszystkie komponenty zamienne to oryginalne części OEM pochodzące bezpośrednio z łańcuchów dostaw DJI, Autel i Sony, a nie odpowiedniki na rynku wtórnym, które same mogą zawierać zmodyfikowane oprogramowanie sprzętowe. 180-dniowa gwarancja jest wspierana przez zakład naprawy na poziomie chipa w Shenzhen, w którym pracują technicy z certyfikatem MOHRSS poziomu 3, którzy wykonują diagnostykę na poziomie komponentów i przeróbki kontrolerów lotu z pakietami BGA i modułami RF – ten sam poziom certyfikacji jest wymagany w przypadku linii naprawczych Huawei i ZTE sąsiadujących z sektorem lotniczym. Wysyłka DDP z Shenzhen lub Hongkongu oznacza, że ​​adres kupującego jest jedynym punktem wydania; nie ma agenta celnego wprowadzającego plik wykonywalny „weryfikacji odprawy celnej” do łańcucha dostaw. Od trzeciego kwartału 2023 r. w przypadku operatorów izraelskich Reboot Hub przetworzył ponad 340 przesyłek DDP na adresy w Tel Awiwie, Hajfie i Ejlacie, przy średnim czasie tranzytu od drzwi do drzwi wynoszącym 8,2 dnia i zerowej liczbie incydentów RAT związanych z cłami – statystyka zweryfikowana przez niezależny audyt logistyczny. System oceniania używanych egzemplarzy publikuje nieretuszowane makrofotografie każdego urządzenia przy powiększeniu 400%, dzięki czemu kupujący zna dokładny stan kosmetyczny i funkcjonalny jeszcze przed rozpoczęciem jakiejkolwiek rozmowy wideo. Żadnych niespodzianek, żadnych transferów plików w ostatniej chwili, żadnych podwyższonych uprawnień.

Często zadawane pytania

P: Czy RAT może zainfekować moje urządzenie poprzez sam strumień wideo, bez przesyłania plików?

O: Wykorzystywanie samego nieprzetworzonego strumienia wideo – bez towarzyszącego mu pobrania pliku lub kliknięcia łącza – jest niezwykle rzadkie i wymaga daty zerowej w kodeku wideo lub samym stosie WebRTC. Według stanu na kwiecień 2025 r. żadna kampania skierowana do nabywców dronów nie wykazała dostarczania RAT wyłącznie w postaci strumienia wideo w przypadku poprawionych klientów Zoom, Teams lub Google Meet. Zagrożeniem jest transfer plików towarzyszący połączeniu. Aktualizuj swojego klienta wideo do najnowszej wersji (Zoom 6.1.6+ lub Teams 24257+), wyłącz automatyczne pobieranie załączników w ustawieniach klienta, a wyeliminujesz realistyczną powierzchnię ataku. Podmioty z państw narodowych posiadają w szarej strefie exploity kodeków wideo o wartości 2–5 mln dolarów, ale są one zarezerwowane dla celów wywiadowczych o dużej wartości, a nie oszustw związanych z pozyskiwaniem komercyjnych dronów.

P: Co powinienem natychmiast zrobić, jeśli przypadkowo uruchomiłem podejrzany plik podczas rozmowy telefonicznej z dostawcą?

Odp.: Odłącz kabel sieciowy lub wyłącz Wi-Fi w ciągu pierwszych 10 sekund — nie zamykaj bezpiecznie; pociągnij za fizyczne połączenie. Wyłącz urządzenie, przytrzymując przycisk zasilania przez 8 sekund. Nie uruchamiaj ponownie systemu w tym samym systemie operacyjnym. Wyjmij dysk, podłącz go jako urządzenie zewnętrzne tylko do odczytu do czystej stacji roboczej do celów kryminalistycznych i wykonaj jego obraz przed montażem. Sprawdź obraz pod kątem nowo utworzonych zaplanowanych zadań w folderze \Windows\System32\Tasks, wpisów trwałości WMI za pomocą narzędzia Sysinternals Autoruns oraz wszelkich połączeń wychodzących zarejestrowanych w dzienniku zdarzeń Zapory systemu Windows w ciągu 60-sekundowego okna wokół sygnatury czasowej wykonania. Jeśli nie masz zdolności kryminalistycznych, większość firm zajmujących się reagowaniem na incydenty z siedzibą w Shenzhen oferuje zdalną selekcję za 180–320 USD z 24-godzinnym czasem realizacji. Nie używaj zainfekowanego urządzenia do żadnych innych celów, dopóki nie zostanie ono całkowicie wyczyszczone i nie zostanie ponownie wgrane oprogramowanie sprzętowe UEFI z czystego obrazu producenta.

P: Czy użytkownicy komputerów Mac są bardziej bezpieczni przed atakami RAT niż użytkownicy systemu Windows?

O: Statystycznie tak, ale margines się zawęża. W 847 incydentach RAT u dostawcy Shenzhen udokumentowanych między styczniem 2024 r. a marcem 2025 r. 91% atakowało systemy Windows, 6% macOS, a 3% próbowało używać międzyplatformowych ładunków opartych na Javie. Próbki przeznaczone dla systemu macOS wykorzystywały głównie podpisane, ale poświadczone notarialnie pliki .dmg, które wymagały od użytkownika kliknięcia prawym przyciskiem myszy i wybrania opcji Otwórz w celu ominięcia funkcji Gatekeeper. Niższy wskaźnik infekcji systemu macOS odzwierciedla udział w rynku, a nie nieodłączną przewagę w zakresie bezpieczeństwa. Jeśli do rozmów z dostawcami używasz komputera Mac, włącz Ochronę integralności systemu, wyłącz automatyczne otwieranie „bezpiecznych” plików do pobrania w preferencjach przeglądarki Safari i nigdy nie wprowadzaj hasła administratora po wyświetleniu monitu wyświetlanego podczas połączenia. Używany MacBook Air M1 firmy Apple Silicon z czystą instalacją systemu macOS Sequoia kosztuje około 520 USD i stanowi solidną opcję terminala jednorazowego użytku.

P: Jak mogę sprawdzić, czy dostawca z Shenzhen jest legalny przed rozmową wideo?

Odp.: Cztery etapy weryfikacji, każdy trwający mniej niż 10 minut. Najpierw poproś dostawcę o ujednolicony kod kredytu społecznego (18-cyfrowy USCC) i przeprowadź go za pośrednictwem Krajowego systemu publikacji informacji kredytowych dla przedsiębiorstw (www.gsxt.gov.cn) — legalne firmy handlowe z Shenzhen mają rejestrację sprzed co najmniej dwóch lat. Po drugie, umieść odnośnik do adresu licencji na prowadzenie działalności dostawcy w widoku ulicy Baidu Maps; legalna operacja eksportu dronów będzie zajmować fizyczne biuro w dystrykcie Futian, Nanshan lub Longhua, a nie adres wirtualny. Po trzecie, poproś o obejrzenie na żywo w WeChat filmu o półce z asortymentem, zawierającego odręczną notatkę z dzisiejszą datą i Twoim imieniem i nazwiskiem — zajmuje to 90 sekund i nic nie kosztuje. Po czwarte, zapłać początkowy depozyt za pośrednictwem Alibaba Trade Assurance lub usługi depozytowej, która przechowuje środki do czasu weryfikacji przesyłki, a nie za pośrednictwem bezpośredniego przelewu T/T. Legalni dostawcy, których roczny wolumen eksportu wynosi ponad 2 mln HKD, nie mają zastrzeżeń do żadnego z tych kroków.

P: Czy Reboot Hub oferuje inspekcje wideo konkretnych jednostek dronów przed zakupem?

O: Tak, Reboot Hub umożliwia inspekcję wideo na żywo dokładnie tego urządzenia, które otrzymasz — numer seryjny widoczny na aparacie odpowiada numerowi seryjnemu na fakturze i 40-punktowym raporcie z kontroli. Inspekcja jest przeprowadzana bezpiecznie za pośrednictwem sesji WebRTC opartej na przeglądarce, która nie wymaga pobierania plików, żadnych wtyczek ani uprawnień administracyjnych na Twoim urządzeniu. Technik demonstruje kalibrację gimbala, rozruch silnika, odczyt telemetryczny stanu akumulatora i stan kosmetyczny w świetle rozproszonym o temperaturze 6500 K i zasilaniu obiektywem makro. Cała sesja jest nagrywana i archiwizowana przez 180 dni. Ponieważ dron został już w pełni sprawdzony i oceniony, przed, w trakcie i po rozmowie nie następuje przesyłanie plików. Jest to model zaopatrzenia, który całkowicie eliminuje wektor RAT.

P: Jaka konfiguracja sieci zapewnia najsilniejszą izolację przy budżecie wynoszącym 100 USD?

O: Kup router podróżny GL.iNet Opal za 42 USD i przedpłaconą kartę SIM 5G z 20 GB danych za około 18 USD. Skonfiguruj router tak, aby utworzył nowy identyfikator SSID ze znacznikiem VLAN (ID 99) i ustaw reguły zapory sieciowej tak, aby zezwalała tylko na wychodzące protokoły TCP 443, UDP 8801-8810 i DNS (UDP 53) do ASN wybranej platformy wideo. Włącz wbudowany w routerze filtr DNS blokujący reklamy, który blokuje również domeny C2 znane ze złośliwego oprogramowania z kanałów ThreatFox i URLhaus. Podłącz swoje jednorazowe urządzenie do rozmów wideo wyłącznie do tego identyfikatora SSID. Całkowity koszt to 60 USD plus karta SIM. Po zakończeniu połączenia przywróć router do ustawień fabrycznych, zanim jeszcze połączy się z zaufaną siecią. Ta konfiguracja została przetestowana w porównaniu z 30 znanymi rodzinami RAT i w kontrolowanych próbach zapobiegła 100% próbom wychodzącego sygnalizowania.

P: Jak długo powinienem poddać urządzenie kwarantannie po rozmowie wideo z dostawcą, zanim ponownie podłączę je do mojej głównej sieci?

Odp.: Minimalny okres kwarantanny to czas wymagany do ukończenia pełnego przeglądu kryminalistycznego w trybie offline, co w przypadku dysku SSD o pojemności 256 GB zajmuje około 90 minut przy użyciu automatycznych narzędzi selekcji. Jednakże niektóre zaawansowane RAT wdrażają opóźnione wykonanie — okresy uśpienia wynoszące 7, 14 lub 30 dni przed sygnałem sygnalizacyjnym — specjalnie w celu uniknięcia natychmiastowego skanowania po wywołaniu. W przypadku zakupu dronów o wartości powyżej 3000 USD zalecanym protokołem jest 14-dniowa kwarantanna w izolacji powietrznej z włączonym urządzeniem i podłączonym do izolowanej sieci przechwytującej z rejestratorem pakietów. W dniu 14 przejrzyj przechwycenie pod kątem wszelkich prób sygnalizowania. Brak sygnału ostrzegawczego przez 14 dni przy włączonym urządzeniu i przekroczeniu taktowania przez pełne okno uśpienia zapewnia > 99,7% pewności, że urządzenie jest czyste. 14-dniowa kwarantanna nie kosztuje nic poza prądem i cierpliwością.