Týdenní OSINT a cybercrime přehled
Výběr nových veřejných materiálů z oblasti OSINT, kyberkriminality, phishingu, digitálních důkazů a threat intelligence za období od 28. srpna do 4. září 2026.
Komunikační data, OAuth phishing a útoky mimo klasický e-mail
Kvalitativním výběrem tentokrát prošlo sedm nových materiálů. Nejsilnější přírůstek přináší recenzovaná studie práce s daty z EncroChat, SkyECC a Anom. Další zdroje ukazují posun phishingu do OAuth souhlasů, Microsoft Teams, hlasových hovorů a širších infrastrukturních či finančních ekosystémů.
Tři materiály s největším praktickým přesahem
Pokud nemáte čas na celý přehled, začněte těmito třemi položkami.
Beyond the wiretap
Metodicky nejhodnotnější materiál týdne pro práci s komunikačními daty, síťovou analýzou a interpretací zachycených šifrovaných komunikací.
FBI: OAuth consent phishing
Kompromitovaný účet nemusí znamenat odcizené heslo. Škodlivá aplikace může získat dlouhodobý přístup prostřednictvím legitimně uděleného OAuth souhlasu.
Spring Ring
Praktická ukázka phishingu přes Microsoft Teams, hlasové hovory, vydávání se za IT podporu a následné použití nástrojů vzdálené správy.
Beyond the wiretap: criminal activity networks in court cases built on captured encrypted data
Recenzovaná studie analyzuje švédské soudní případy, ve kterých byly využity zprávy získané z platforem EncroChat, SkyECC nebo Anom, a upozorňuje na limity síťové analýzy založené na takových datech.
🆕 Co je nové
Autoři analyzovali 195 švédských soudních případů, 667 osob a 1 519 stíhaných skutků. Nehodnotí pouze strukturu trestné činnosti, ale také omezení soudních spisů jako datového zdroje pro síťovou analýzu.
🎯 Proč to stojí za pozornost
Zachycená komunikace není úplným obrazem skutečné skupiny. Výsledek ovlivňuje výběr cílové platformy, policejní priority, atribuce jednotlivých účtů i to, které informace se nakonec dostaly před soud. Síťové vazby je proto nutné interpretovat společně s dalšími důkazy a kontextem.
⚠️ Omezení
Jde o recenzovanou open-access studii s popsaným vzorkem a metodou. Přenositelnost omezuje švédské právní prostředí a převaha drogových případů. Samotná síťová vazba nesmí být zaměňována za důkaz účasti na konkrétním skutku.
Malicious Cyber Actors Gain Access to Victim Accounts Through Consent Phishing
FBI upozorňuje na útoky, při kterých se oběť přihlašuje na skutečné stránce poskytovatele služby, ale následně udělí škodlivé aplikaci oprávnění k přístupu ke svým datům.
🆕 Co je nové
Při OAuth consent phishingu nemusí útočník získat heslo ani překonávat vícefázové ověření. Oběť může na legitimní stránce Googlu nebo Microsoftu sama povolit aplikaci číst poštu, soubory nebo další data.
🎯 Proč to stojí za pozornost
Po kompromitaci nemusí stačit změna hesla. Je vhodné prověřit udělené souhlasy aplikacím, OAuth tokeny, auditní záznamy, názvy a identifikátory aplikací a rozsah přidělených oprávnění. Přístup může přetrvávat až do odvolání tokenu.
⚠️ Omezení
Jde o primární oficiální zdroj, ale operativní varování neobsahuje zveřejněný počet incidentů. Přístup k auditním datům nebo obsahu účtu vyžaduje oprávnění vlastníka, správce nebo odpovídající právní titul.
Spring Ring: An Inside Look at Voice Phishing Campaigns in Microsoft Teams
Analýza ukazuje přesun sociálního inženýrství mimo klasický e-mailový phishing. Útok začíná komunikací v Microsoft Teams, pokračuje hlasovým hovorem a může skončit spuštěním nástroje vzdálené správy.
🆕 Co je nové
Operace kombinovala externí účty Microsoft Teams, vydávání se za interní IT podporu a následný hlasový hovor. Unit 42 zaznamenala 26 útočných identit, více než 150 oslovených zaměstnanců a nejméně deset napadených organizací.
🎯 Proč to stojí za pozornost
Důkazní stopa neleží pouze v e-mailu. Významná mohou být metadata chatu a hovoru, cizí tenant, rychlý přechod z textové komunikace do hovoru, opakované oslovování zaměstnanců a následné spuštění Quick Assist nebo jiného nástroje vzdálené správy.
⚠️ Omezení
Jde o detailní analýzu skutečné telemetrie a dvou variant útoku, ale od komerčního poskytovatele bezpečnostních produktů. Uváděné podíly phishingových alertů popisují jeho klientský ekosystém, nikoliv celý trh.
The Outsider Phishing Kit: A Resilient Threat in the Face of Law Enforcement Action
Výzkum popisuje rozsáhlý phishingový ekosystém, který podle Group-IB pokračoval v činnosti i po zásahu orgánů činných v trestním řízení.
🆕 Co je nové
Výzkumníci spojují jeden phishingový ekosystém s více než 267 šablonami a více než 100 000 identifikovanými stránkami v 54 zemích. Po zásahu označovaném jako Operation Ghost Hook podle Group-IB během následujícího měsíce vzniklo více než 700 nových stránek.
🎯 Proč to stojí za pozornost
Struktura souborů a prefixy HTML stránek mohou pomoci spojovat zdánlivě nesouvisející smishingové kampaně a určit fázi, do které se oběť dostala. Analýza také ukazuje, že data mohou být odesílána průběžně během vyplňování formuláře, nikoliv pouze po jeho odeslání.
⚠️ Omezení
Jde o prakticky hodnotnou vlastní analýzu s ukázkami infrastruktury, ale úplný dataset ani atribuce nejsou veřejně reprodukovatelné. Historické indikátory rychle zastarávají a shoda šablony nebo souboru sama neprokazuje společného provozovatele.
Financially Motivated Threat Actor BREEZE COMET Targets Brazil
Analýza popisuje posun finančně motivované skupiny od útoků proti jednotlivým klientům k průnikům do organizací, které mají přímý přístup k bankovním a platebním systémům.
🆕 Co je nové
Skupina podle analýzy kombinovala vishing, nástroje vzdálené správy, kompromitované obecní weby, odcizené mTLS certifikáty a přístupy k CI/CD. Cílem byly organizace s přístupem k bankovnímu softwaru, platebním API a systémům okamžitých plateb.
🎯 Proč to stojí za pozornost
Při finančním incidentu je vhodné propojit identitní, cloudové a aplikační logy s časovou osou plateb. Významné mohou být servisní účty, mTLS materiál, hardcoded API klíče, pipeline secrets a přístupy k administraci platebních rozhraní.
⚠️ Omezení
Jde o silnou incident-response analýzu s technickými indikátory a detekčními pravidly. Je však geograficky a systémově specifická pro Latinskou Ameriku. Atribuce aktéra a očekávané rozšíření do dalších zemí jsou analytickým hodnocením GTIG, nikoliv soudně potvrzeným závěrem.
Attackers Expose Ongoing AI Tool Use Targeting Organizations in Latin America
Případová studie ukazuje praktické využití infrastrukturního OSINT při propojování kampaní a zároveň upozorňuje na limity atribuce aktivity generativní AI.
🆕 Co je nové
Dvě oddělené kampaně spojovaly překrývající se proxy infrastruktury a pravděpodobné využívání LLM při tvorbě a opravách skriptů. Výzkumníci využili pivot přes IP adresu, TLS certifikáty, SAN záznamy, dynamické DNS a nezabezpečené rozhraní NextChat.
🎯 Proč to stojí za pozornost
Jde o užitečnou případovou studii infrastrukturního OSINT. Ukazuje hodnotu časové osy certifikátů a hledání opakujících se názvových vzorců. Současně připomíná, že AI může aktéra zrychlit, aniž by odstranila jeho běžné provozní chyby.
⚠️ Omezení
Některé závěry o použití AI jsou inferencí z pojmenování souborů, iterativních oprav a odkryté infrastruktury; nejde o přímý důkaz autorství konkrétním modelem. Aktivní přístup do cizích systémů nebo stahování neveřejného obsahu již překračuje běžný OSINT.
Anatomy of BraZetsu: How Cybercriminals Fuel the Underground Ecosystem
BraZetsu je v analýze popsán nejen jako infostealer, ale jako součást trhu s počátečními přístupy, kde je kompromitovaný systém dále tříděn a monetizován.
🆕 Co je nové
Napadené stroje jsou podle analýzy tříděny podle přítomnosti bankovních, ERP, e-commerce nebo průmyslových systémů a následně nabízeny dalším pachatelům prostřednictvím tržiště. Nástroj tak slouží také ekosystému Initial Access Brokerů.
🎯 Proč to stojí za pozornost
Při vyšetřování je důležité oddělit původního provozovatele malwaru, prodejce přístupu a pachatele následného podvodu. Rozsáhlá lokální rekognoskace může zároveň vysvětlit časový odstup mezi prvotní kompromitací a pozdějším finančním nebo jiným zneužitím.
⚠️ Omezení
Jde o detailní soukromou threat-intelligence analýzu, ale část profilů a podkladů je dostupná pouze zákazníkům Group-IB. Indicie použití generativní AI, například styl logů nebo emoji v kódu, jsou podpůrnými znaky, nikoliv samostatně přesvědčivým důkazem.
Vyšetřovací obraz vzniká až propojením více vrstev dat
Tento týden výrazně spojuje jedno téma: samotná komunikace, IP adresa, účet, malware nebo platební událost zpravidla ukazují jen část celého příběhu. Hodnota vzniká jejich propojením s časovou osou, identitou, oprávněními, infrastrukturou a kontextem konkrétního incidentu.
Další aktuality a týdenní přehledy
Na hlavní stránce Aktualit DPP najdete nejnovější vydání i předchozí týdenní přehledy z oblasti kyberbezpečnosti, OSINT a internetových podvodů.
Zpět na Aktuality DPP →