Týdenní OSINT a cybercrime přehled
Výběr nových veřejných materiálů z oblasti OSINT, kyberkriminality, cloudových identit, telefonních podvodů a agentní AI za období od 17. do 23. října 2026.
Agentní AI, kompromitace dodavatelů a nové způsoby zneužívání důvěry
Kvalitativním výběrem prošlo šest nových materiálů. Tento týden dominují agentní AI, zneužívání důvěryhodných cloudových služeb, nový způsob bankovní telefonní manipulace a mezinárodní rozkrývání rozsáhlých podvodných sítí.
Tři materiály s největším praktickým přesahem
Pokud nemáte čas na celý přehled, začněte těmito třemi položkami.
Microsoft – ARTEX a ConnectWise
Nejdůležitější technická analýza týdne pro aplikační identity, service principals, cloudové logy a kompromitaci dodavatele.
Nizozemská policie – NFC bankovní podvod
Prakticky nový scénář propojující telefonní manipulaci, mobilní aplikaci, NFC bankovní kartu a fyzický výběr nebo platbu.
Cisco Talos – Parasitizing trust
Silná připomínka, že i autenticky odeslaný e-mail z legitimní infrastruktury může obsahovat podvodnou instrukci vloženou do systému útočníkem.
AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise
Microsoft popisuje kompromitaci multitenantní aplikace ConnectWise, při které byl agentní framework ARTEX využíván k automatizaci útoků proti stovkám organizací a následnému pohybu v cloudových prostředích.
🆕 Co je nové
Microsoft spojuje čínsky orientovaný cluster Storm-0940 s kompromitací multitenantní aplikace ConnectWise. Agentní framework ARTEX podle analýzy automatizoval souběžné útoky proti stovkám organizací a v některých případech uběhly od výběru cíle k privilegovanému cloudovému přístupu méně než tři hodiny. Následovala aktivita přes Microsoft Graph, změny aplikačních přihlašovacích údajů a pokusy o rozšíření oprávnění.
🎯 Proč to stojí za pozornost
Při kompromitaci dodavatele nestačí prověřit pouze uživatelská přihlášení. Zásadní jsou také service principals, aplikační ID, nově přidané credentials, consent grants, přiřazené role, přístupy ke Key Vaultům a aktivita Microsoft Graph API. Před odstraněním kompromitované aplikace je vhodné zachovat její konfiguraci a auditní stopu.
⚠️ Omezení
Jde o silnou primární cloudovou telemetrii s časovými údaji a detekčními vodítky. Atribuce ke státnímu aktérovi je analytické hodnocení Microsoftu, nikoliv soudní závěr. Úspěšná autentizace kompromitované aplikace sama nedokládá přístup ke konkrétním datům ani jejich odcizení.
Nová forma bankovní helpdesk fraud využívající NFC bankovní karty
Nizozemská policie popsala nový scénář, ve kterém telefonní sociální inženýrství navazuje na instalaci mobilní aplikace a přenos dat bankovní karty prostřednictvím NFC.
🆕 Co je nové
Pachatelé používali automatizované hovory s desítkami hlasových variant vytvořených pomocí AI. Následný falešný bankéř přiměl oběť nainstalovat aplikaci a přiložit bankovní kartu k telefonu. Data NFC čipu měla být v reálném čase předána druhému telefonu osoby u bankomatu nebo platebního terminálu. Za tři týdny policie zaznamenala přibližně 170 poškozených se škodou kolem 380 000 eur.
🎯 Proč to stojí za pozornost
Vyšetřování musí propojit hlasovou komunikaci, instalaci aplikace, síťové záznamy její infrastruktury, okamžik načtení NFC, následný výběr nebo platbu a fyzickou polohu osoby provádějící transakci. Případ zároveň ukazuje vyšší význam zásahu proti technickému koordinátorovi a infrastruktuře než opakovaného zadržování snadno nahraditelných výběrčích.
⚠️ Omezení
Jde o primární informaci vyšetřujícího policejního týmu, nikoliv zveřejněnou forenzní nebo soudní zprávu. Technický princip aplikace je popsán pouze rámcově a dvě zadržené osoby jsou v tuto chvíli podezřelé, nikoliv pravomocně odsouzené.
Parasitizing trust: How legitimate infrastructure becomes a delivery pipeline for attackers
Cisco Talos ukazuje, že technicky autentický e-mail nemusí být bezpečný. Útočníci mohou zneužít legitimní transakční systémy a vložit vlastní podvodnou instrukci do obsahu, který následně odešle skutečná infrastruktura firmy.
🆕 Co je nové
Talos za poslední rok pozoroval zneužití více než 25 legitimních platforem. Přibližně 1 400 zpráv využívalo skutečné transakční e-maily Staples a Dell, do jejichž objednávkových polí pachatel vložil falešné telefonní číslo technické podpory. Zprávy mohly správně projít DKIM i DMARC, protože je skutečně odesílala legitimní infrastruktura.
🎯 Proč to stojí za pozornost
Při vyhodnocování e-mailu nelze skončit zjištěním, že odesílatel a autentizace souhlasí. Je potřeba oddělit původ zprávy od obsahu polí, která mohl ovlivnit uživatel, ověřit existenci objednávky a analyzovat telefonní čísla, adresy, poznámky a neobvyklé instrukce vložené do transakční šablony.
⚠️ Omezení
Jde o kvalitní primární analýzu konkrétních zpráv a jejich hlaviček. Počty ale pocházejí pouze z telemetrie Cisco Talos a nevyjadřují globální četnost. Platný DKIM nebo DMARC není známkou bezpečnosti obsahu, ale ani samotná přítomnost telefonního čísla automaticky neprokazuje podvod.
MythicRatatoskr: An Yggdrasil-enabled backdoor deployed in a UAC-0099–Sandworm collaboration
ESET popsal nový backdoor MythicRatatoskr, jehož řídicí infrastruktura byla skryta uvnitř decentralizované overlay sítě Yggdrasil.
🆕 Co je nové
Po spearphishingovém průniku do ukrajinské obilní společnosti následoval podle analýzy přenos přístupu od UAC-0099 ke skupině Sandworm a přibližně o dva měsíce později destruktivní mazání dat. Backdoor MythicRatatoskr je napsán v Go a jeho C2 bylo ukryto uvnitř sítě Yggdrasil.
🎯 Proč to stojí za pozornost
Analýza dobře ukazuje návaznost mezi prvotním přístupem, předáním kompromitovaného prostředí jinému aktérovi, rozšířením backdooru na další zařízení, nasazením proxy a následným destruktivním účinkem. Pro rekonstrukci jsou důležité dlouhodobé časové vazby, plánované úlohy, služby, SFTP přesuny, Group Policy a paměťová či síťová telemetrie.
⚠️ Omezení
Jde o podrobnou primární analýzu vzorků doplněnou IOC a MITRE ATT&CK mapováním. Popsaný řetězec však vychází především z jednoho prostředí. ESET nedokázal jednoznačně určit, zda backdoor provozovala UAC-0099 nebo Sandworm, a fyzické umístění C2 nebylo zjištěno.
“Next Exploit Opportunities”: How a Threat Actor Used AI to Help Plan and Execute Multiple Types of Cybercrime Activities
Unit 42 nabízí neobvykle konkrétní pohled do pracovního prostředí aktéra, který propojoval několik AI modelů a nástrojů s průzkumem cílů, skriptováním a dalšími kyberkriminálními aktivitami.
🆕 Co je nové
Aktér vystupující jako BUGSTER používal modely a další nástroje jako asistenta při průzkumu cílů, tvorbě skriptů, krádežích přístupových údajů, VoIP podvodech a kryptoměnovém průzkumu. Přestože podle analýzy působil technicky nepříliš zkušeně, u jedné univerzity měl získat databázi s více než 5 200 záznamy.
🎯 Proč to stojí za pozornost
AI zde nesloužila pouze k psaní kódu. Vytvářela strukturované průzkumné reporty, propojovala jednotlivé nástroje a navrhovala další cíle. Pro vyšetřování mohou být hodnotné logy modelových rozhraní, IDE, Telegram botů, webhooks, cloudových GPU, C2 serveru a časové vazby mezi doporučením asistenta a následnou aktivitou.
⚠️ Omezení
Jde o neobvykle konkrétní případovou studii, ale založenou na viditelnosti jediného bezpečnostního dodavatele do jednoho aktérova prostředí. Úplné podklady ani způsob získání všech logů nejsou zveřejněny a z jednoho případu nelze určit běžnou četnost podobného využívání AI.
Operation Serengeti III
Rozsáhlá mezinárodní operace proti online podvodům, ransomwaru, BEC a digitálnímu vydírání ukazuje význam spojení technických indikátorů, finančního šetření a fyzických zásahů v jednotlivých státech.
🆕 Co je nové
Podle INTERPOLu vedla operace policejních orgánů 21 států k 1 462 zadržením, narušení 10 909 škodlivých sítí a zajištění nebo navrácení více než 105 milionů dolarů. Identifikováno bylo 65 929 obětí a vyšetřované škody přesáhly 385 milionů dolarů.
🎯 Proč to stojí za pozornost
Materiál ukazuje kombinaci předem připravených seznamů domén, IP adres a C2 infrastruktury s finančním šetřením a fyzickými zásahy. Zajímavé je zejména propojení falešných investičních platforem, call center, phishingu, BEC, kryptoměnových toků a lokálních rolí v různých státech.
⚠️ Omezení
Jde o primární souhrn mezinárodní policejní operace, nikoliv podrobnou metodickou zprávu. INTERPOL nezveřejňuje způsob deduplikace „škodlivých sítí“ ani úplná data jednotlivých případů. Uvedené osoby jsou podezřelé a agregované škody či počty obětí nemusí odpovídat následným soudně prokázaným výsledkům.
Důvěra se stále častěji zneužívá prostřednictvím legitimních technologií
Tento týden se napříč několika materiály opakuje stejný princip: útočník nemusí vytvářet kompletně vlastní infrastrukturu. Může zneužít aplikaci dodavatele, legitimní transakční e-mail, mobilní NFC rozhraní nebo standardní cloudové identity a vytvořit podvodnou či útočnou aktivitu uvnitř prostředí, které jinak působí důvěryhodně.
Další aktuality a týdenní přehledy
Na hlavní stránce Aktualit DPP najdete nejnovější vydání i předchozí týdenní přehledy z oblasti kyberbezpečnosti, OSINT a internetových podvodů.
Zpět na Aktuality DPP →