Fałszywa aktualizacja przeglądarki (SocGholish): jak działa i co robić

Fałszywa aktualizacja przeglądarki to komunikat na przejętej stronie, który twierdzi, że Chrome, Edge lub Firefox są nieaktualne, i podsuwa plik do pobrania. Najbardziej znana kampania tego typu to SocGholish (FakeUpdates). Pobrany plik jest skryptem JavaScript, który otwiera przestępcom drogę do komputera. Przeglądarki nie proszą o aktualizację przez okienka w treści odwiedzanych stron.

Czym jest SocGholish (FakeUpdates)?

SocGholish to framework złośliwego oprogramowania napisany w JavaScripcie, aktywny co najmniej od 2017 r. Proofpoint śledzi go pod nazwą TA569, inni badacze używają nazw Mustard Tempest, GOLD PRELUDE czy UNC1543. Publiczne raporty wiążą tę działalność z rosyjską grupą Evil Corp.

To nie jest nisza. W raporcie Red Canary za 2026 r. SocGholish zajął ósme miejsce wśród najczęściej wykrywanych zagrożeń i dotyczył 2,3% monitorowanych klientów. Sucuri podawał, że sam wariant wstrzyknięć oznaczany jako NDSW wykrył w 2023 r. na ponad 110 000 stron.

Podobną przynętę stosują też inne grupy. GoDaddy opisywał w 2024 r. kampanię ClearFake, która na przejętych WordPressach również pokazywała fałszywe aktualizacje przeglądarki. Pokrewną przynętą są fałszywe weryfikacje „nie jestem robotem”, które opisuję we wpisie o ClickFix i fałszywej CAPTCHY.

Jak działa atak z fałszywą aktualizacją przeglądarki?

1. Wstrzyknięcie. Na przejętej stronie pojawia się zaciemniony skrypt: w plikach JavaScript motywu, w functions.php, w fałszywej wtyczce albo w bazie danych.
2. Filtrowanie odwiedzających. Według Proofpoint skrypt sprawdza m.in. system operacyjny, pochodzenie ruchu i ciasteczka świadczące o wcześniejszej wizycie. Trend Micro opisał dodatkowe filtrowanie po lokalizacji w systemach kierowania ruchem (TDS).
3. Przynęta. Wybrany użytkownik widzi nakładkę stylizowaną na komunikat przeglądarki z przyciskiem aktualizacji.
4. Pobranie pliku. Red Canary opisał, że w 2025 r. mniej więcej jedna trzecia infekcji zaczynała się od archiwum ZIP, a dwie trzecie od samego pliku .js. Nazwy zmieniały się w ciągu roku: od Update.js z cyryliczną literą „р” zamiast łacińskiego „p” po New Version (CLICK).js.
5. Uruchomienie. Dwuklik otwiera plik w Windows Script Host (wscript.exe). Skrypt zbiera nazwę komputera, użytkownika, informacje o domenie i zainstalowanym antywirusie, po czym wysyła je na serwer sterujący.
6. Drugi etap. Red Canary widział kolejny ładunek w mniej więcej co czwartym incydencie w 2025 r., najczęściej MintsLoader, który instalował AsyncRAT albo StealC. Trend Micro opisał przypadki, w których SocGholish dostarczał backdoory w Pythonie używane przez afiliantów ransomware RansomHub.

Ostatni punkt tłumaczy, dlaczego SocGholish jest traktowany poważnie. Proofpoint zwracał uwagę, że komputery podpięte do domeny firmowej są dla operatorów szczególnie cenne, bo mogą prowadzić do ataku ransomware na całą organizację.

Dlaczego legalna strona serwuje fałszywe aktualizacje?

Bo ktoś ją przejął, a zaufana witryna z ruchem jest dla przestępcy lepsza niż podejrzana domena. Właściciel zwykle nie ma pojęcia o problemie, bo filtrowanie ukrywa przynętę przed zalogowanymi użytkownikami i powracającymi gośćmi.

Droga do przejęcia często jest banalna. GoDaddy opisał w 2024 r. ponad 6000 stron, na które przestępcy weszli z prawidłowymi danymi administratora i zainstalowali fałszywe wtyczki o nazwach takich jak „Advanced User Manager”, „Quick Cache Cleaner” czy „SEO Optimizer Pro”. Nie wykorzystano żadnej podatności. Hasła mogły pochodzić z ataków słownikowych, phishingu albo infostealerów na komputerach administratorów, o czym piszę w tekście o infostealerach Lumma, StealC i Vidar.

Drugą drogą są podatne wtyczki i motywy. Sucuri opisuje też wstrzyknięcia do functions.php motywu i ukrywanie kodu za pośrednimi domenami, żeby nie rzucał się w oczy przy przeglądaniu źródła strony.

Co zmieniła Operacja Endgame w czerwcu 2026 r.?

18 czerwca 2026 r. służby z Holandii, Kanady, USA i Niemiec przy wsparciu Europolu przeprowadziły akcję przeciw infrastrukturze SocGholish. Według Proofpoint oczyszczono 14 971 zainfekowanych stron. Eurojust podsumował cały tydzień działań (15–19 czerwca), obejmujący też StealC i Amadey: 326 serwerów i 142 domeny unieszkodliwione oraz 27 mln zestawów skradzionych danych odzyskanych.

Fundacja Shadowserver udostępniła przy tej okazji raport specjalny z listą przejętych stron WordPress wykorzystywanych przez SocGholish w okresie od maja 2023 r. do maja 2026 r. Raport trafia do właścicieli sieci subskrybujących bezpłatne raporty Shadowserver, więc informację o infekcji mógł dostać Twój hosting.

Jak sprawdzić, czy Twoja strona jest zainfekowana SocGholish?

Test z przeglądarki ma ograniczoną wartość, bo skrypt pokazuje przynętę wybiórczo. Jeśli chcesz spróbować, użyj czystej maszyny wirtualnej z Windows, okna prywatnego i wejdź na stronę z wyników Google, a nie z paska adresu. Brak komunikatu nie oznacza, że strona jest czysta.

Pewniejsze jest przejrzenie plików, bazy i logów. Na serwerze z WP-CLI uruchom poniższe polecenia w katalogu WordPressa. Nic nie zmieniają, a flagi --skip-plugins --skip-themes zapobiegają wykonaniu kodu z zainfekowanych wtyczek:

# Ślady wariantu NDSW/NDSX opisywanego przez Sucuri
grep -rlE "ndsw|ndsx" --include="*.js" --include="*.php" .

# Lista wtyczek: szukaj pozycji, których nikt nie instalował
wp plugin list --fields=name,status,version --skip-plugins --skip-themes

# Zgodność wtyczek i rdzenia z repozytorium WordPress.org
wp plugin verify-checksums --all --skip-plugins --skip-themes
wp core verify-checksums

# Znaczniki script w bazie danych
wp db search '<script' --all-tables-with-prefix --stats --skip-plugins --skip-themes

# Wgrywanie wtyczek z pliku ZIP i logowania w logach serwera (ścieżka zależy od hostingu)
grep -E "update\.php\?action=upload-plugin|POST /wp-login\.php" /var/log/apache2/access.log | tail -n 50

Zwróć uwagę na wgrane wtyczki w dniach, w których nikt z zespołu nie pracował przy stronie, i na udane logowania z adresów IP spoza firmy. Sucuri radzi też sprawdzić rekordy DNS domeny pod kątem subdomen, których nie tworzyłeś.

Jak usunąć SocGholish ze strony?

1. Włącz przerwę techniczną na poziomie serwera, żeby strona przestała infekować odwiedzających.
2. Usuń fałszywe wtyczki i nieznane konta administratorów. Zapisz ich nazwy i daty utworzenia do dokumentacji incydentu.
3. Wyczyść wszystkie zainfekowane pliki JavaScript i PHP. Wariant NDSW potrafi dopisać się do wielu plików naraz, więc jedna poprawka zwykle nie wystarcza. Rdzeń i wtyczki najlepiej wgrać od nowa z oficjalnych źródeł.
4. Usuń skrypty z bazy danych, ręcznie, wpis po wpisie.
5. Zmień hasła do WordPressa, hostingu, SFTP, bazy danych i rejestratora domeny, a potem wygeneruj nowe klucze w wp-config.php (wp config shuffle-salts).
6. Sprawdź komputery osób z dostępem administracyjnym. Jeśli hasło wyciekło przez infostealera, nowe wycieknie tą samą drogą.
7. Zaktualizuj wszystko, włącz MFA dla administratorów i ogranicz dostęp do panelu do znanych adresów IP. To zalecenia, które Proofpoint kieruje do właścicieli stron WordPress, obok silnych, unikalnych haseł.
8. Wyczyść cache wtyczek, serwera i CDN, a jeśli Google oznaczył stronę, poproś o ponowne sprawdzenie. Jak to zrobić, opisuję w tekście o ostrzeżeniu Google „strona niebezpieczna”.

Szczegółową procedurę pierwszej godziny po wykryciu włamania, z logami i kopiami do analizy, znajdziesz w poradniku zainfekowany WordPress: objawy i co zrobić.

Zobaczyłem komunikat o aktualizacji przeglądarki. Co robić?

Nie klikaj w przycisk i zamknij kartę. Jeśli masz wątpliwości, czy przeglądarka jest aktualna, sprawdź to w jej ustawieniach: w Chrome pod adresem chrome://settings/help, w Edge pod edge://settings/help, w Firefoksie w menu Pomoc. Przeglądarka pobierze aktualizację sama, bez żadnych plików z odwiedzanej strony.

Sygnały, że to oszustwo:

• komunikat jest częścią strony, a nie okna przeglądarki;
• pobierany plik ma rozszerzenie .js albo jest archiwum ZIP ze skryptem w środku;
• komunikat dotyczy innej przeglądarki niż ta, której używasz;
• strona nie ma nic wspólnego z producentem przeglądarki.

Jeśli plik się pobrał, ale go nie otwierałeś, usuń go. Jeśli go uruchomiłeś, odłącz komputer od sieci i zgłoś sprawę do działu IT. Na komputerze firmowym w domenie to incydent o wysokim priorytecie, bo SocGholish celuje właśnie w takie maszyny. Dalej postępuj jak przy infekcji stealerem: z czystego urządzenia zmień hasła, wyloguj sesje i przygotuj się na reinstalację systemu.

Administratorzy mogą ograniczyć ryzyko, blokując wscript.exe dla zwykłych użytkowników zasadami grupy, co zaleca Trend Micro, albo zmieniając domyślny program dla plików .js na Notatnik. Red Canary podpowiada dwa sygnały do monitoringu: wscript.exe uruchomiony przez przeglądarkę i nawiązujący połączenia sieciowe oraz nltest.exe z parametrem /domain_trusts. Takie reguły wykrywania wdrażamy w ramach usług bezpieczeństwa.