Týdenní OSINT a cybercrime přehled
Výběr nových veřejných materiálů z oblasti OSINT, kyberkriminality, phishingové infrastruktury, podvodné technické podpory a zneužívání důvěryhodných platforem za období od 10. do 16. října 2026.
Phishing jako služba, falešná technická podpora a zneužívání důvěryhodných platforem
Kvalitativním výběrem prošlo pět nových analýz a jedna významná aktualizace probíhající kampaně. Tento týden je mimořádně silný především v oblasti phishingové infrastruktury, podvodné technické podpory a zneužívání důvěryhodnosti GitHubu, cloudových služeb a AI nástrojů.
Tři materiály s největším praktickým přesahem
Pokud nemáte čas na celý přehled, začněte těmito třemi položkami.
Microsoft – YAM Store, CoGUI a Iron Man
Nejúplnější pohled týdne na infrastrukturu, která umožňuje phishing jako službu ve velkém měřítku a propojuje identity, cloudy, úložiště i platební toky.
Infoblox – Help TDS / Hotejka
Praktický materiál pro podvody s falešnou technickou podporou, přesměrováními, vzdáleným přístupem a DNS infrastrukturou.
Island – software, který doporučí AI
Nový pohled na to, jak lze vytvořit zdánlivě důvěryhodný GitHub projekt, který může následně projít i doporučením vyhledávače nebo AI asistenta.
The Hidden Network: Phishing Infrastructure Powering Global Cybercrime
Microsoft odkryl rozsáhlý propojený ekosystém, který neposkytoval pouze jednotlivé phishingové stránky, ale celé zázemí pro vytváření kampaní, distribuci zpráv a provoz podvodných cloudových prostředí.
🆕 Co je nové
Čínsky mluvící ekosystém tvořily tržiště YAM Store a phishingové platformy CoGUI, Haozi a Iron Man. Od ledna 2026 měly umožnit rozeslání více než miliardy phishingových e-mailů a SMS proti více než 75 000 organizacím. YAM Store prodával kompromitovaná nebo podvodně vytvořená prostředí Microsoftu a Googlu, včetně tenantů působících jako školy či neziskové organizace.
🎯 Proč to stojí za pozornost
Phishingová doména je pouze posledním článkem širšího dodavatelského řetězce. Pro propojování kampaní mohou být významné také aplikační identity, service principals, klientské secrety, změny oprávnění Microsoft Graphu, zneužité SharePointy a OneDrivy, společné DNS panely, kryptoměnové platby a prodejní účty.
⚠️ Omezení
Jde o velmi silnou primární telemetrii doplněnou civilní žalobou, deaktivací více než 20 000 účtů a zásahy proti související infrastruktuře. Číselné údaje ale vycházejí převážně z ekosystému Microsoftu a civilní žaloba ani označení konkrétních provozovatelů nejsou pravomocným odsouzením.
Inside Help TDS: Hotejka, Cloudflare Pages and Predictive Detection
Analýza propojuje dlouhodobě fungující traffic distribution system s podvody falešné technické podpory a ukazuje, jak se oběť přes několik mezikroků dostane od běžného webu až k falešnému varování a vzdálenému přístupu.
🆕 Co je nové
Infoblox spojuje Help TDS s ruskojazyčným affiliate programem Hotejka, pravděpodobným pokračovatelem ROI777. Oběti jsou přes kompromitované weby, reklamu, sociální sítě nebo spam přesměrovány na falešné upozornění „Microsoft Security“, které uzamkne prohlížeč a vybízí k telefonátu a instalaci UltraVieweru.
🎯 Proč to stojí za pozornost
Vedle telefonního čísla a nástroje vzdáleného přístupu je vhodné zajistit celý řetězec přesměrování, DNS historii, referer, Cloudflare Pages hostname, CNAME vazby, případný škodlivý WordPress plugin a následné relace vzdálené správy.
⚠️ Omezení
Výzkumníci identifikovali více než 20 000 použitých domén a dalších přibližně 10 000 možných phishingových nebo krycích stránek. Predikce budoucích domén však vychází z vlastní DNS telemetrie Infobloxu. Samotné přesměrování uživatele ještě neprokazuje instalaci vzdáleného přístupu ani vznik škody.
How Attackers Built Software an AI Would Recommend
Kampaň ukazuje, že útočník nemusí vytvářet pouze falešný nebo nefunkční repozitář. Může zachovat funkční software a kolem škodlivé změny vybudovat historii a reputaci, která působí důvěryhodně i při automatickém doporučování.
🆕 Co je nové
Kampaň spojená s malwarem MicrosoftSystem64 zahrnovala nejméně 88 veřejných GitHub repozitářů. Útočníci zachovali funkční software, doplnili zdánlivě logickou škodlivou závislost, vytvořili nebo importovali falešnou historii vývoje a automatizovali tvorbu forků. Jeden z repozitářů se následně objevil mezi doporučeními ChatGPT i Google AI Overview.
🎯 Proč to stojí za pozornost
Hvězdičky, forky, stáří commitů, kvalitní dokumentace ani funkční část projektu už samy nestačí jako důkaz důvěryhodnosti. Při prověřování je vhodné porovnat skutečné datum vzniku repozitáře s historií commitů, původ zdrojového kódu, vlastnictví forků, časové intervaly jejich vzniku a zejména změny manifestů a lockfiles.
⚠️ Omezení
Analýza zveřejňuje konkrétní infrastrukturu a způsob vyhodnocování. Test doporučení byl ale proveden pouze na omezeném počtu dotazů a nelze určit, který konkrétní signál o doporučení rozhodl. Autoři také neprokazují, že původním cílem kampaně bylo přímo ovlivňovat AI doporučení.
AI-Powered Espionage Campaign Targets Government Linux Infrastructure
Incidentní analýza kampaně CL-UNK-1211 popisuje kombinaci web shellů, vlastních backdoorů, získávání přihlašovacích údajů, kopírování databází a cílení na poštovní schránky ve vládních a státem propojených prostředích.
🆕 Co je nové
Útočníci používali vlastní multiplatformní nástroje a ve skriptech zůstaly konverzační poznámky a vysvětlující komentáře odpovídající výstupu LLM. Kampaň kombinovala PHP, JavaScript, Bash a Python, web shelly, přístupy k databázím a práci s mailboxy.
🎯 Proč to stojí za pozornost
Pro forenzní analýzu je důležité sledovat falešné stopy napodobující legitimní penetrační test, mazání logů a časové vazby mezi web shellem, procesy, databázovými dotazy, schránkami a exfiltrací. Poznámky ve stylu AI mohou pomoci rekonstruovat vznik nástroje, ale nejsou hlavním důkazem incidentu.
⚠️ Omezení
Jde o podrobnou incidentní analýzu s hashi a popisem jednotlivých fází. Unit 42 aktéra záměrně vede jako neatributovaný cluster. Komentáře odpovídající LLM podporují hypotézu o AI-assisted vývoji, ale neprokazují autonomní vedení útoku ani použití konkrétního modelu.
PEERSTITCH: Stealthy FortiGate Implant
Analýza ukazuje dopad kompromitace centrálního FortiManageru, ze kterého mohou útočníci získat nejen konfiguraci, ale také materiál potřebný k dalšímu zneužití důvěry mezi spravovanými zařízeními.
🆕 Co je nové
Z jednoho kompromitovaného FortiManageru útočníci získali konfigurace, databáze, kryptografický materiál a informace o více než 500 spravovaných firewallech. Následně nasadili paměťový ARM64 implantát PEERSTITCH, který nevytváří trvalý soubor, neotevírá port a sám neiniciuje odchozí spojení.
🎯 Proč to stojí za pozornost
Oprava původní zranitelnosti sama nemusí stačit. Odcizené certifikáty, klíče a důvěryhodné vazby mezi FortiManagerem a spravovanými zařízeními mohou zůstat použitelné. Pro ohledání jsou zásadní paměť běžících procesů, revize konfigurace, crash logy, změny správců a VPN, výpadky telemetrie a rotace kompromitovaného trust materiálu.
⚠️ Omezení
Jde o mimořádně podrobnou forenzní analýzu včetně konkrétních paměťových artefaktů. Unit 42 ale nezkoumala sítě jednotlivých zákazníků, takže exfiltrace konfigurací více než 500 firewallů neznamená, že bylo všech 500 navazujících prostředí skutečně kompromitováno.
Aktualizace: Custom GPT → ClickFix → RAT
Kampaň využívající útočníkem vytvořené Custom GPT pokračuje a znovu ukazuje, že legitimní prostředí může být pouze prvním krokem řetězce vedoucího k nebezpečné instrukci, stažení souboru nebo spuštění příkazu.
🆕 Co je nové
Poškozený je z legitimního prostředí ChatGPT
přesměrován na ClickFix stránku, která jej přiměje
spustit příkaz nebo instalátor. Huntress nově pozoroval
střídání Google Sites a samostatné domény
gptverification[.]com.
🎯 Proč to stojí za pozornost
Export samotné konverzace nemusí stačit. Zajistit je vhodné přesnou URL Custom GPT, identitu autora, odpovědi modelu, přesměrování, historii prohlížeče, stažený MSI, příkazovou historii a navazující DLL sideloading artefakty. Legitimní doména, na které interakce začíná, nepotvrzuje bezpečnost dalších instrukcí.
⚠️ Omezení
Huntress uvádí nejméně 40 řešených incidentů spojených s původní Google Sites doménou, ale pouze dva byly potvrzeně zahájeny přes konkrétní Custom GPT. Všechny případy proto nelze automaticky přičítat stejnému vstupnímu kanálu.
Důvěryhodná platforma už sama o sobě není důvěryhodnostním signálem
Materiály tohoto týdne spojuje zneužívání legitimních nebo důvěryhodně působících prostředí: Microsoft 365, Google, Cloudflare Pages, GitHub, vzdálená správa nebo AI asistenti. Útočník stále častěji nemusí vytvářet celý ekosystém od nuly – může využít důvěru, kterou již vybudoval někdo jiný.
Další aktuality a týdenní přehledy
Na hlavní stránce Aktualit DPP najdete nejnovější vydání i předchozí týdenní přehledy z oblasti kyberbezpečnosti, OSINT a internetových podvodů.
Zpět na Aktuality DPP →