Týdenní OSINT a cybercrime přehled
Výběr nových veřejných materiálů z oblasti OSINT, kyberkriminality, vishingu, vzdáleného přístupu, ransomwaru a zneužívání AI za období od 24. do 30. října 2026.
Vishing, agentní AI a útoky zaměřené současně na člověka i jeho asistenta
Kvalitativním výběrem prošlo sedm nových materiálů. Tento týden propojuje falešnou technickou podporu a vzdálenou správu, AI uvnitř ransomwarových operací, nové formy command-and-control, prompt injection proti e-mailovým AI agentům a přesun organizovaných scam center do dalších regionů.
Tři materiály s největším praktickým přesahem
Pokud nemáte čas na celý přehled, začněte těmito třemi položkami.
Cisco Talos – IR Trends Q3 2026
Nejpraktičtější materiál týdne pro současné případy falešné IT podpory, Quick Assist, vzdáleného přístupu a následného ransomwaru.
Sublime – prompt injection ve falešné faktuře
Podvod už necílí pouze na člověka. Skrytá instrukce se současně pokouší ovlivnit AI asistenta, který zprávu automaticky zpracovává.
Sophos – Aur0ra ransomware
Praktický pohled na reálné zapojení agentních nástrojů do průzkumu prostředí, pohybu sítí a přípravy jednotlivých fází ransomwarové operace.
IR Trends Q3 2026: Actors impersonate IT help desks in vishing attacks as ransomware activity increases
Čtvrtletní incident-response data Cisco Talos ukazují, že sociální inženýrství přes telefon se stále častěji propojuje s legitimními nástroji vzdálené správy a následným pohybem útočníka uvnitř organizace.
🆕 Co je nové
Phishing zůstal nejčastějším prvotním přístupem a objevil se ve 37 % řešených incidentů. Talos opakovaně zaznamenal vishing s vydáváním se za IT podporu, po němž oběť sama spustila Quick Assist nebo jiný legitimní nástroj vzdálené správy. Ransomware a předransomwarové incidenty představovaly 27 % zásahů.
🎯 Proč to stojí za pozornost
U falešné technické podpory je důležité spojit telefonní komunikaci, relaci Quick Assist nebo jiného RMM, nově vytvořené účty, PowerShell, stažené MSI, následnou exfiltraci a pokusy o vypnutí EDR. Opakovanými nedostatky byly slabé logování, správa přístupových údajů a chybějící nebo nesprávně nastavené MFA.
⚠️ Omezení
Jde o primární souhrn skutečných incident-response zásahů doplněný MITRE ATT&CK mapováním. Vzorek ale tvoří pouze zákazníci Cisco Talos a počet jednotlivých zásahů není zveřejněn. Uváděná procenta proto nejsou reprezentativním obrazem všech kybernetických incidentů.
AI used in Aur0ra ransomware testing and execution
Sophos popisuje využití agentních vývojových nástrojů během aktivit spojených s ransomwarovou skupinou GOLD OGRE a ransomwarem Aur0ra.
🆕 Co je nové
Zajištěné artefakty ukazují využití agentních nástrojů pro průzkum Active Directory, hledání přístupových cest, pohyb prostředím a přípravu sběru dat. Lidé dodávali cíle, přístupové údaje a infrastrukturu, zatímco agent prováděl dílčí úkoly s relativně omezeným dohledem.
🎯 Proč to stojí za pozornost
Vedle běžné příkazové historie mohou získávat význam také konverzace a pracovní soubory AI IDE, jejich časové vazby na VPN a C2 relace, vytvořené skripty, agentní souhrny neúspěšných pokusů a následné změny účtů či oprávnění. Takové záznamy mohou pomoci rekonstruovat i rozhodovací postup operátora.
⚠️ Omezení
Analýza kombinuje vlastní telemetrii, obnovené artefakty a porovnání s nezávislými zdroji. Část materiálu však pocházela z veřejně přístupného adresáře útočníků. Pozorované použití AI nebylo plně autonomní a jazykové nebo časové znaky samy neprokazují státní příslušnost pachatelů.
NIK C2: The new AI-enabled command-and-control framework
Nový command-and-control framework propojuje klasické funkce vzdálené správy a sběru dat s možností dotazovat AI model přímo během kompromitované relace.
🆕 Co je nové
Talos identifikoval aktivní řídicí infrastrukturu a několik verzí Windows implantátu NIK C2. Framework podporuje vzdálenou správu, sběr citlivých údajů, více cest ke C2, obrazovkové vydírání a přímé dotazování AI modelu. Pokud nenajde klíč dodaný pachatelem, pokouší se použít API klíč uložený v prostředí oběti.
🎯 Proč to stojí za pozornost
Síťová komunikace s legitimním AI API už nemusí pocházet z oprávněného uživatelského nástroje. Při ohledání je vhodné propojit čas dotazu, proces, který jej vytvořil, použitý API klíč, zdrojovou IP adresu, objem tokenů a souběžnou komunikaci s C2. Autentizační a fakturační logy AI služeb se tím mohou stát relevantním zdrojem důkazů.
⚠️ Omezení
Jde o podrobnou reverzní analýzu několika vzorků podpořenou pozorováním aktivního serveru. Přítomnost schopnosti v kódu ale nedokládá, že byly všechny moduly skutečně použity proti obětem. Část závěrů tedy vychází z funkčnosti implantátu, nikoliv z kompletního incidentního obrazu.
AI-Driven Digital Deception: The Fraud and Abuse Report 2026
Akamai nabízí pohled na online podvody z rozsáhlé síťové telemetrie a ukazuje, jak se propojují podvodné domény, ověřování existence účtů, credential stuffing a následné převzetí účtu.
🆕 Co je nové
Podle telemetrie Akamai se objem online scamů přibližně zdvojnásobil a v prvním čtvrtletí 2026 překonal klasický phishing. Téměř 70 % sledovaných škodlivých domén napodobovalo technologické, finanční nebo obchodní značky. Požadavky ověřující existenci účtu tvořily 40 % vysoce rizikového přihlašovacího provozu.
🎯 Proč to stojí za pozornost
Jedna podvodná doména představuje pouze část kampaně. Pro širší analýzu je potřeba spojovat registrace domén, reklamu a sociální sítě, pokusy o ověření účtů, credential stuffing, převzetí účtu a následnou platební aktivitu. Krátká životnost infrastruktury zároveň snižuje hodnotu statických blacklistů bez historických dat.
⚠️ Omezení
Report vychází z rozsáhlé, ale proprietární telemetrie Akamai a dat Bolster AI. Nezávislá reprodukce kompletního datasetu není možná. Interpretace, že ověřovací požadavky předcházejí credential stuffingu, je pravděpodobným vysvětlením chování, nikoliv potvrzeným záměrem všech klientů.
Invoice fraud campaign adds prompt injection aimed at email AI agents
Klasický fakturační podvod dostává novou vrstvu: zpráva se nepokouší ovlivnit pouze člověka, ale také AI asistenta, který e-mail automaticky zpracovává.
🆕 Co je nové
Falešná faktura a podvržené vlákno komunikace byly doplněny neviditelnou instrukcí určenou e-mailovému AI agentovi. Instrukce se snažila přimět asistenta, aby zprávu s přílohou přeposlal na údajnou účtárnu. Jednotlivé modely při testování reagovaly rozdílně: některé skrytý text ignorovaly, jiné jej zobrazily nebo správně označily jako podvod.
🎯 Proč to stojí za pozornost
Při zajištění podezřelého e-mailu už nemusí stačit jeho vizuální PDF náhled. Vhodné je uchovat původní MIME, HTML, neviditelné Unicode znaky, hlavičky, přílohy a audit akcí provedených AI agentem. Automatizace by zároveň neměla být oprávněna sama schválit finanční operaci pouze na základě obsahu doručené zprávy.
⚠️ Omezení
Jde o hodnotnou analýzu konkrétních zpráv, ale zároveň o produktově zaměřený materiál jednoho bezpečnostního dodavatele. Nebylo doloženo, že AI agent zprávu skutečně přeposlal nebo způsobil platbu. Materiál zatím především dokládá aktivní experimentování pachatele.
Tricks from the Past deployed via signed ChatGPT and Claude binaries
Kampaň Yoba kombinovala falešné GitHub projekty, značky známých AI produktů a legitimně digitálně podepsané programy s klasickým DLL sideloadingem.
🆕 Co je nové
Falešné projekty se vydávaly za desktopové aplikace „GPT-5.6 Sol“, „GPT-6 Astra“ a „Claude Opus“. Škodlivé komponenty byly umístěny vedle skutečných digitálně podepsaných programů OpenAI a Anthropic a spuštěny prostřednictvím sideloadingu. Repozitáře se přitom zobrazovaly vysoko ve vyhledávání i bez uměle vytvořených hvězdiček a forků.
🎯 Proč to stojí za pozornost
Digitální podpis potvrzuje původ konkrétního podepsaného souboru, nikoliv bezpečnost celého ZIP archivu nebo sousedních knihoven. Při analýze je potřeba zachovat celý balíček, strukturu adresářů, historii repozitáře, releases, GitHub Pages, výsledky vyhledávání a návaznou komunikaci přes legitimní služby.
⚠️ Omezení
Jde o podrobný rozbor řetězce se vzorky a časovou osou repozitářů. Závěr o ruském původu je pouze indikativní a zaznamenaná časová pásma byla navzájem rozporná. Aktuální umístění repozitářů ve vyhledávači se navíc může rychle měnit.
Scam Center Strike Force expands to Africa and Europe
Nové americké soudní podklady popisují přesun části organizované podvodné infrastruktury z jihovýchodní Asie na Madagaskar a propojují online identity, kryptoměnové platby a fyzickou organizaci scam centra.
🆕 Co je nové
Podvodníci používali falešné ženské identity na seznamovacích platformách a následně směrovali oběti na falešné NFT investiční weby. FBI spojila přibližně 74 kryptoměnových peněženek s asi 800 poškozenými. V zajištěných telefonech byly nalezeny scénáře komunikace, pracovní smlouvy, rozpisy směn, mzdy, postihy pracovníků a seznamy peněženek.
🎯 Proč to stojí za pozornost
Případ dobře propojuje OSINT identity, domény a kryptoměnové toky s fyzickými důkazy ze zařízení a organizační strukturou scam centra. Rozpis směn odpovídající času cílové země, společné scénáře a personální dokumenty mohou pomoci odlišit organizovanou činnost od izolovaného pachatele.
⚠️ Omezení
Jde o primární výstup orgánů činných v trestním řízení doplněný odkazem na redigované soudní podklady. Popsané skutečnosti jsou ale tvrzení obžaloby. Šest osob není pravomocně odsouzeno a vazby mezi všemi peněženkami, pracovníky a jednotlivými poškozenými nebyly veřejně doloženy v plném rozsahu.
AI se stává nejen nástrojem pachatele, ale také novou součástí důkazní stopy
Materiály tohoto týdne ukazují, že při incidentu už nemusí být relevantní pouze telefonní hovor, příkazová řádka, malware nebo síťová komunikace. Význam mohou získat také konverzace AI IDE, modelové požadavky, API klíče, agentní logy, skryté instrukce v e-mailu a audit automatizovaných akcí.
Další aktuality a týdenní přehledy
Na hlavní stránce Aktualit DPP najdete nejnovější vydání i předchozí týdenní přehledy z oblasti kyberbezpečnosti, OSINT a internetových podvodů.
Zpět na Aktuality DPP →