Nota metodologiczna. Ranking grup należy traktować jako ocenę ryzyka opartą na publicznych danych z leak-site i raportach branżowych, nie jako pełny rejestr incydentów w Polsce. Publiczne wpisy DLS są niepełne: część ofiar nie jest publikowana, część wpisów bywa opóźniona, a część incydentów pozostaje niejawna.

Profil ofiar

Play atakuje szeroki przekrój podmiotów: firmy prywatne, usługi profesjonalne, produkcję, sektor publiczny i organizacje uznawane za krytyczne. Według advisory FBI, CISA i ASD's ACSC grupa uderzała w podmioty w Europie, a do maja 2025 r. FBI było świadome około 900 dotkniętych organizacji.

W przypadku polskich firm ryzyko dotyczy zwłaszcza podmiotów z rozproszonym IT, outsourcingiem administracji, wystawionymi usługami zdalnymi i zależnością od dostępności systemów księgowych, ERP, magazynowych lub produkcyjnych.

Struktura działania

Play jest opisywany jako grupa zamknięta, a nie klasyczny, szeroko otwarty program RaaS. Taki model może oznaczać większą kontrolę nad operacjami, mniejszą liczbę przypadkowych afiliantów i bardziej jednolity sposób prowadzenia negocjacji.

Grupa stosuje podwójne wymuszenie: po kradzieży danych szyfruje systemy i naciska na ofiarę groźbą publikacji. Charakterystyczne jest też wykorzystywanie indywidualnych adresów kontaktowych oraz telefoniczna presja na część ofiar.

Wykorzystywane narzędzia i techniki

Advisory Play wskazuje na nadużywanie ważnych kont, RDP, VPN, podatnych usług publicznych, FortiOS, Microsoft Exchange oraz SimpleHelp. W fazie rozpoznania i ruchu lateralnego pojawiają się m.in. AdFind, Grixba, GMER, IOBit, PowerTool, Cobalt Strike, SystemBC, PsExec i Mimikatz.

Do kompresji i eksfiltracji danych Play wykorzystuje narzędzia takie jak WinRAR i WinSCP, a szyfrator jest często rekompilowany dla konkretnego ataku, co utrudnia proste wykrywanie na podstawie hashy. Wariant ESXi może wykonywać działania specyficzne dla środowiska wirtualizacyjnego, takie jak operacje na maszynach wirtualnych.

Wnioski dla organizacji

Play jest przykładem przeciwnika, który intensywnie wykorzystuje legalne narzędzia administracyjne. Obrona nie może więc polegać wyłącznie na blokowaniu nazw plików. Potrzebne jest wykrywanie anomalii: nietypowych logowań, eskalacji uprawnień, skanowania AD, masowej kompresji plików, nieuzasadnionego użycia narzędzi RMM i transferów poza organizację.

Wytyczne NASK / CERT Polska po ataku ransomware

Poniższa lista jest syntetycznym ujęciem zaleceń CSIRT NASK i CERT Polska dotyczących pierwszych działań po wykryciu ransomware.

  • Odizolować zainfekowane urządzenia od sieci przewodowej i bezprzewodowej. Nie wyłączać systemów, jeżeli możliwe jest ich bezpieczne odłączenie — pamięć ulotna może mieć znaczenie dowodowe i techniczne.
  • Zabezpieczyć notatkę z żądaniem okupu, przykładowe zaszyfrowane pliki, logi z systemów i urządzeń bezpieczeństwa oraz — jeżeli to możliwe — próbkę złośliwego oprogramowania.
  • Ustalić i usunąć źródło infekcji przed przywracaniem produkcji. Samo odtworzenie backupu bez eliminacji wektora wejścia może doprowadzić do ponownego zaszyfrowania.
  • Zidentyfikować rodzinę ransomware, m.in. przez analizę notatki okupu i przykładowych plików oraz sprawdzenie dostępności dekryptora w serwisach No More Ransom lub ID Ransomware.
  • Przywracać systemy z czystych obrazów i sprawdzonych kopii zapasowych. Kopie powinny być wcześniej zweryfikowane pod kątem braku malware i realnej możliwości odtworzenia danych.
  • Zgłosić incydent do CSIRT NASK przez incydent.cert.pl albo kontakt cert@cert.pl. Do zgłoszenia warto dołączyć minimum dwa zaszyfrowane pliki oraz notatkę z żądaniem okupu.
  • Nie traktować zapłaty okupu jako gwarancji odzyskania danych. CERT Polska wskazuje, że zapłacenie okupu nie zawsze gwarantuje odzyskanie plików, a w swoich rekomendacjach nie zaleca płacenia przestępcom.

Co dalej?

Jeżeli chcesz przećwiczyć taki scenariusz w swojej organizacji, sprawdź ofertę szkoleń z ransomware, reagowania na incydenty, NIS 2 i KSC albo skontaktuj się w sprawie warsztatu tabletop.

Szkolenia z reagowania na incydenty · Zapytaj o warsztat

Źródła

  1. FBI / CISA / ASD ACSC – #StopRansomware: Play Ransomware
  2. SecurityWeek – FBI aware of 900 organizations hit by Play ransomware
  3. Check Point Research – The State of Ransomware, Q1 2026
  4. CERT Polska / NASK – Poradnik ransomware
  5. CERT Polska – Rekomendacje bezpieczeństwa dotyczące kopii zapasowych i usług publicznych
  6. CERT Polska – Atak Petya/Mischa; rekomendacja niepłacenia okupu
Artykuł ma charakter analityczny i edukacyjny. Nie zawiera instrukcji przeprowadzenia ataku ani szczegółowych IoC służących do operacyjnego wykorzystania infrastruktury przestępczej. W przypadku potrzeby przygotowania ćwiczenia tabletop lub szkolenia dla zespołu IT przejdź do oferty szkoleń albo skorzystaj z zakładki Kontakt.