Čínští špioni pronikli do výzkumných institucí a rok čekali, než udeřili. Zneužili systém na sledování e-mailů

Hackerská skupina se usadila v serverech amerických a kanadských výzkumných institucí. Přes rok sbírala přihlašovací údaje, než přešla k odposlechu e-mailů.

Zdroj fotografie: StockVault

V září 2023 se útočníci ze skupiny označované jako UNC6508 dostali do serverů platformy REDCap, kterou severoamerické univerzity, nemocnice a vojenské výzkumné instituce běžně používají ke sběru klinických a výzkumných dat. Nasadili vlastní malware INFINITERED, schovali ho do legitimních systémových souborů a začali trpělivě sklízet přihlašovací údaje. Víc než rok se neprojevili žádnou viditelnou akcí. Teprve když získali administrátorský přístup k podnikové poště, vytvořili v ní pravidlo, které automaticky a tiše přeposílalo vybrané e-maily na účet pod jejich kontrolou. Celou operaci odhalila a 15. června 2026 veřejně popsala Google Threat Intelligence Group (GTIG), která ji s vysokou jistotou připisuje aktérovi napojenému na Čínskou lidovou republiku.

Jak proměnili firemní nástroj v odposlech

Systém, který útočníci zneužili k odposlechu, není žádný špionážní software. Jde o takzvaná content compliance pravidla, běžnou administrátorskou funkci v podnikových e-mailových systémech, jako je Google Workspace. Slouží typicky k tomu, aby organizace mohla automaticky kontrolovat obsah zpráv, filtrovat citlivé informace nebo směrovat poštu podle interních politik.

UNC6508 tuto funkci obrátila proti jejím uživatelům. Útočníci vytvořili pravidlo pojmenované „Patroit“, s překlepem, který se stal jedním z identifikačních znaků kampaně. Pravidlo obsahovalo sadu regulárních výrazů, které hlídaly klíčová slova, e-mailové adresy a vzory v předmětu i těle přijatých a odeslaných zpráv. Každý e-mail, který odpovídal některému z filtrů, se tiše přeposlal ve skryté kopii na gmailový účet [email protected] ovládaný útočníky. Google tento účet po odhalení zablokoval.

Podle dalšího materiálu GTIG pravidlo pracovalo s přibližně 150 definovanými výrazy. Zhruba třetina z nich mířila na vojenské systémy a obranné kontraktory, výrazně zastoupené byly bezpilotní systémy a protidronová obrana. Další výrazy pokrývaly umělou inteligenci, kyberofenzivní operace, indo-pacifickou strategii, ale i medicínský výzkum včetně konkrétních patogenů, jako je virus Chikungunya. Cíle odpovídají známým strategickým prioritám Pekingu.

Malware, který přežil i aktualizaci systému

Vstupní bod útoku Google nedokázal s jistotou potvrdit. Útočníci ale zřejmě využili veřejně dostupné a zastaralé verze REDCap, platformy, kterou podle oficiálního webu project-redcap.org používá přes 8 400 partnerských institucí ve 166 zemích. Analýza společnosti Censys z června 2026 ukázala, že z více než 8 500 viditelných instancí běželo pouhých 1,18 % na nejnovější verzi. Zbytek představoval potenciální terč.

INFINITERED je malware na míru napsaný v PHP přímo pro prostředí REDCap. Trojanizoval legitimní soubory zodpovědné za upgrade, autentizaci a hooky aplikace. Díky tomu přežil i aktualizace systému, při každém upgradu se znovu zapsal do nových souborů. Ukradené přihlašovací údaje neukládal do podezřelého souboru, ale do legitimní databázové tabulky redcap_sessions, kde splynuly s běžnými záznamy. Backdoor se aktivoval jen tehdy, když přijal požadavek se speciální cookie REDCAP-TOKEN a správným ověřovacím řetězcem. Jinak se tvářil jako neexistující.

Útočníci navíc maskovali svůj provoz přes kompromitované domácí routery, rezidenční proxy servery a VPS s americkými IP adresami. Jeden z identifikovaných přístupových bodů vedl přes kompromitovaný router ASUS s IP adresou 23.169.65.49. Pro oběť tak komunikace vypadala jako běžný americký provoz.

Proč nikdo nic neviděl přes rok

Kombinace maskovacích prvků vysvětluje, jak mohla operace běžet tak dlouho bez povšimnutí. Malware se skrýval v souborech, které administrátoři považovali za součást systému. Exfiltrace e-mailů probíhala přes legitimní administrátorskou funkci, ne přes novou podezřelou binárku. A přihlašovací údaje, které útočníci nasbírali z REDCap serverů, se překrývaly s přístupovými údaji pro jiné systémy, včetně administrátorských účtů podnikové pošty.

Podle GTIG auditní logy v Google Workspace existují a změny v content compliance pravidlech se do nich zapisují. Problém je, že organizace je musí aktivně monitorovat, nastavit na ně upozornění a sdílet je se svým bezpečnostním týmem. Pokud to nedělají, pravidlo „Patroit“ vypadá v administrátorské konzoli jako kterékoli jiné interní nastavení.

U čínských státem podporovaných skupin přitom nejde o výjimku. Mandiant u skupiny UNC5221 s backdoorem BRICKSTORM zdokumentoval průměrnou dobu přítomnosti v síti 393 dní. Skupina UNC3886 operovala s více vrstvami persistence v hypervizorech a síťových zařízeních od konce roku 2021. Trpělivost je u těchto aktérů metoda, ne anomálie.

České instituce nejsou mimo hru

REDCap není jen americká záležitost. V Česku platformu prokazatelně provozuje Fakultní nemocnice u sv. Anny v Brně prostřednictvím svého výzkumného centra FNUSA-ICRC, kde běží projekty napojené na síť klinických studií CZECRIN. Na Masarykově univerzitě je veřejně dohledatelná akademická práce o audit trail review v REDCap a registrace na vědecké akce probíhají přes formuláře na doméně redcap.fnusa.cz.

Zda jsou tyto české instance vystavené stejným způsobem jako severoamerické servery, veřejně nevíme. Stejně tak není jasné, jestli provozují aktuální verze a jak mají nastavenou síťovou segmentaci. NÚKIB ve své zprávě o stavu kybernetické bezpečnosti za rok 2023 uvádí zvýšenou aktivitu aktérů spojených s Čínou a zmiňuje i vysoce pravděpodobný čínský průnik do sítě strategické instituce v ČR. Specifické veřejné varování k UNC6508 a REDCap se ale v dostupných materiálech NÚKIB nepodařilo dohledat.

Co dělat hned teď

Google doporučuje organizacím provozujícím REDCap okamžitý kontrolní seznam: nasadit dvoufaktorové ověření odolné vůči phishingu pro administrátorské účty, aktualizovat REDCap na nejnovější verzi, odstranit staré paralelní instalace a spustit na serverech YARA pravidlo G_Backdoor_INFINITERED_1. Správci by měli hledat soubor help.php, porovnat SHA256 hashe klíčových komponent s publikovanými IOC a v auditních logách Workspace pátrat po neoprávněných změnách content compliance pravidel, konkrétně po pravidlu „Patroit“ a přeposílání na zmíněný Gmail.

Na síťové úrovni je třeba hledat cookie REDCAP-TOKEN, specifický identifikační řetězec ej671a16i7fd8202nu6ltfg5p6x7u a komunikaci s IP 23.169.65.49. Hotová detekční pravidla pro Google SecOps zveřejnil na komunitním fóru Google Cloud bezpečnostní analytik David Nehoda den po publikaci hlavního reportu.

Tahle operace ukazuje nepříjemnou pravdu: i po záplatování vstupního bodu může kompromitace přežít měsíce, pokud organizace recykluje hesla mezi systémy a nekontroluje, kdo a kdy změnil pravidla v administrátorské konzoli pošty. Nejnebezpečnější backdoor není ten, který se tváří jako cizí kód, je to ten, který vypadá jako běžná firemní konfigurace.