Cichy pasażer w przeglądarce Hola: Analiza ataku supply chain z czerwca 2026

Kiedy 4 czerwca 2026 roku zespół Sophos X-Ops przeprowadzał standardowe testy certyfikacyjne w ramach programu AppEsteem, natknął się na coś, czego nie powinno tam być. W oficjalnym instalatorze przeglądarki Hola Browser dla Windows, w wersji 1.251.91.0, znajdował się dodatkowy, niezgłoszony plik wykonywalny o podejrzanie niepozornej nazwie me.exe . Szybko okazało się, że nie był to błąd programisty, a celowo umieszczona, zakamuflowana koparka kryptowaluty Monero.

Eksperci z Sophos ocenili to zdarzenie jako kompromitację potoku dystrybucyjnego (ang. supply chain attack). Oznacza to, że napastnik nie włamał się do kodu źródłowego przeglądarki, ale zdołał wstrzyknąć złośliwy ładunek na późniejszym etapie – podczas kompilacji, pakowania lub dystrybucji oprogramowania. Niezależne śledztwo firmy Sygnia potwierdziło tę diagnozę . To podręcznikowy przykład ataku, w którym zaufany kanał dostarczania oprogramowania obraca się przeciwko swoim użytkownikom.

Jak działała ukryta koparka Monero

me.exe nie był zwykłym wirusem, który od razu rzuca się w oczy spowolnieniem komputera. Wręcz przeciwnie – został zaprojektowany tak, by działać niezauważalnie jak najdłużej. Jego rdzeniem był XMRig, popularne, otwartoźródłowe narzędzie do wydobywania Monero .

Mechanizm ataku był wieloetapowy i przemyślany:

• Ukryta instalacja: Plik koparki kopiował się do lokalizacji

  C:\Program Files\Hola\HolaMonitorService.exe

  . Nazwa i ścieżka sugerowały, że jest to legalny komponent monitorujący działanie przeglądarki .
• Autostart z systemem: Następnie rejestrował się jako usługa Windows o nazwie hola_monitor_svc i typie startu 0x00000002 (automatyczny), co gwarantowało, że koparka uruchomi się wraz z każdym włączeniem komputera .
• Unikanie antywirusa: Aby ominąć wbudowaną ochronę, malware dodawał ścieżkę wykluczenia dla Windows Defendera, wyłączając tym samym jego skanowanie w tym konkretnym folderze .
• Praca w ukryciu: Koparka była skonfigurowana tak, by aktywować się wyłącznie wtedy, gdy komputer pozostawał bezczynny. Dzięki temu ryzyko, że użytkownik zauważy spadek wydajności, było minimalne .

Sam plik me.exe był niepodpisany cyfrowo, pozbawiony ważnego znacznika czasu i zawierał zaciemniony kod (obfuskacja), aby utrudnić analizę. Analitycy Sophos zauważyli, że jego nazwa została wybrana celowo – me.exe w żaden sposób nie kojarzy się z zagrożeniem i łatwo ginie w gąszczu procesów systemowych .

Ograniczony zasięg, ale poważny sygnał ostrzegawczy

Na szczęście skala ataku była stosunkowo niewielka. Sophos oszacował, że złośliwy instalator trafił do około 0,1% użytkowników przeglądarki Hola . Choć to ułamek całej bazy, incydent ten jest ważną przestrogą. Pokazuje, że nawet oficjalne, certyfikowane oprogramowanie może zostać skażone, jeśli atakujący zdobędzie dostęp do wewnętrznego potoku dystrybucyjnego producenta.

To nie był atak na kod źródłowy Hola. To był atak na zaufanie, jakim darzymy podpisane i oficjalnie dystrybuowane pliki instalacyjne.

Reakcja firmy Hola i pytania bez odpowiedzi

Po tym, jak Sophos X-Ops zgłosił odkrycie, firma Hola podjęła natychmiastowe kroki, aby powstrzymać zagrożenie i zapobiec podobnym sytuacjom w przyszłości:

• Odbudowa potoku dystrybucyjnego od podstaw, by usunąć wszelki potencjalny dostęp atakującego .
• Wdrożenie weryfikacji podpisów kodu, aby blokować przechodzenie przez proces budowania plików niepodpisanych i nieautoryzowanych .
• Wprowadzenie ściślejszej kontroli dostępu i ciągłego monitorowania infrastruktury dystrybucyjnej .

Mimo tych działań, na dzień publicznego ujawnienia (4 czerwca 2026 roku) kluczowe pytania pozostają bez odpowiedzi. Hola nie ujawniła wektora ataku – czyli jak doszło do pierwszego włamania do potoku dystrybucyjnego. Nie znamy tożsamości napastnika ani czasu, przez jaki miał on dostęp do systemów firmy . Ten brak pełnej informacji sprawia, że zarówno użytkownicy, jak i cała branża cyberbezpieczeństwa, otrzymali przestrogę, ale bez pełnego obrazu zagrożenia.