Jak se CrashStealer dostane na Mac

Všechno začíná falešnou aplikací Werkbit. Útočníci zaregistrovali doménu werkbit.io koncem června 2026 a nabízeli na ní ke stažení DMG instalátor chráněný PIN kódem; oběti ho pravděpodobně dostávaly v rámci cílených pozvánek na videohovory nebo schůzky. Klíčový detail: instalátor nesl platný certifikát Apple Developer ID (identita „Emil Grigorov“) a přiložený notarizační lístek. Gatekeeper ho proto pustil bez varování.

Po spuštění si dropper stáhne z GitHub repozitáře mgothiclove/pkeysa přes doménu endpoint-api-v1.com druhou fázi, samotný CrashStealer. Ten se usadí v ~/Library/Caches/com.apple.crashreporter/ a vytvoří si LaunchAgent, aby přežil restart. Běží bez ikony v Docku. Uživatel nevidí nic podezřelého, až na jedno okno s žádostí o heslo.

Co se stane po zadání hesla

Řetězec událostí je rychlý a automatický. Žádné čekání na restart, žádná prodleva.

1. Ověření hesla – malware spustí příkaz dscl -authonly a ověří, že zadané heslo je správné. Pokud ano, uloží ho do skrytého souboru ~/.cache/.sys_auth.
2. Odemčení Keychainu – s platným heslem otevře login.keychain-db a zkopíruje jeho obsah do přípravných složek.
3. Sběr dat z prohlížečů – cílí na prohlížeče postavené na Chromiu: Chrome, Brave, Edge, Opera, Vivaldi a další. Sbírá uložená hesla, cookies i aktivní relace.
4. Kryptopeněženky – cílí přibližně na 80 rozšíření včetně MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Rabby, OKX Wallet, Exodus, Keplr či Solflare.
5. Správci hesel – cílí na 14 správců včetně 1Password, Bitwarden, LastPass, Dashlane, Keeper, KeePassXC, NordPass a RoboForm.
6. Šifrování a odeslání – sesbíraná data zašifruje pomocí AES-256-GCM přímo na zařízení, zabalí do skrytých ZIP archivů a odešle na řídicí server.

Celý proces proběhne v jedné relaci. Podle našeho odhadu může ke kompromitaci všech uložených přístupů dojít v řádu minut. Konkrétní banky Jamf nejmenuje, ale logika je prostá: jakékoli bankovní přihlášení uložené v prohlížeči, Keychainu nebo trezoru hesel je v ohrožení.

Jak falešné okno poznat

Rozpoznávací znaky existují, ale vyžadují pozornost. Zachycený dialog nese text „System Preferences want to make changes“, jenže Apple od macOS Ventura používá název „System Settings“. Na novějších systémech je tedy formulace „System Preferences“ varovný signál. Okno se navíc objeví po spuštění stažené aplikace, nikoli jako součást systémové aktualizace. A legitimní CrashReporter od Applu se nikdy nestahuje z webu jako DMG.

Pokud máte podezření, že jste Werkbit spustili, hledejte tyto stopy:

• Soubor ~/Library/LaunchAgents/com.apple.crashreporter.helper.plist
• Složka ~/Library/Caches/com.apple.crashreporter/CrashReporter.app
• Skryté archivy .zx_*.zip v ~/.cache/com.apple.crashreporter/

V Terminálu pomůže příkaz launchctl print gui/$(id -u) | grep -i crashreporter.helper. Samotná přítomnost těchto artefaktů je silným indikátorem nákazy.

Proč Gatekeeper nezabránil útoku

Apple staví obranu macOS na vrstvách: Gatekeeper kontroluje podpis a notarizaci, XProtect blokuje známý malware. Jenže notarizace ověřuje integritu a nepřítomnost známých hrozeb, nikoli každé budoucí škodlivé chování. CrashStealer v první fázi nesl platný certifikát a notarizační lístek, Gatekeeper ho proto pustil. Apple podpis podle následných zpráv odvolal až po upozornění od Jamfu.

Nejde o izolovaný případ. Microsoft už v únoru 2026 zveřejnil nárůst cílených infostealerových kampaní proti macOS a Jamf sleduje podobné vzorce minimálně od roku 2024, kdy se šířily rodiny Atomic Stealer nebo Poseidon. CrashStealer se od nich liší nativní implementací v C++, lokálním ověřováním hesel a šifrováním ukradených dat přímo na zařízení, právě proto ho Jamf vede jako samostatnou rodinu.

Co dělat, pokud jste heslo zadali

Přeinstalace macOS nestačí. Malware data už odeslal, čistý systém nevrátí odcizené přístupy.

• Okamžitě odpojte Mac od internetu.
• Z jiného zařízení změňte heslo k Apple Accountu, ověřte neznámá zařízení na účtu a zapněte dvoufaktorové ověření.
• Postupně změňte hesla k e-mailu, správci hesel, bankám a kryptoslužbám; tedy ke všemu, co bylo uložené v prohlížeči, Keychainu nebo správci hesel.
• Odhlaste aktivní relace ve všech službách.
• Na firemním Macu nechte zařízení k forenzní analýze, nečistěte ho, dokud IT tým neexportuje artefakty.

Veřejně potvrzené české případy CrashStealeru zatím neexistují a falešné okno je dosud pouze v angličtině. To ale neznamená bezpečí; útočníci provozují aktivní řídicí panel a paralelní variantu pro Windows nazvanou Cohezo. Největší škoda nehrozí „každému Macu stejně“, ale těm, kdo mají v prohlížeči a kryptorozšířeních uložené aktivní přístupy a relace. Jedno bezmyšlenkovitě zadané heslo stačí k tomu, aby o ně přišli.

Jak se virus dostane do tabletu ještě před prvním zapnutím

Podle technického reportu Kaspersky ze 17. února 2026 došlo ke kompromitaci dodavatelského řetězce přímo ve fázi sestavování firmwaru. Útočníci do zdrojového kódu propašovali škodlivou závislost napojenou na systémovou knihovnu, kterou Android používá ke spouštění aplikací. V několika případech se infikovaný firmware dostal do zařízení dokonce prostřednictvím oficiální OTA aktualizace, tedy aktualizace „vzduchem“, kterou si uživatel stáhne v dobré víře, že si zlepšuje zabezpečení.

Výrobci o tom podle Kaspersky pravděpodobně nevěděli. Backdoor se tak ocitl v zařízeních ještě před prvním přihlášením zákazníka. Žádná obezřetnost, žádné vyhýbání se podezřelým odkazům, nic z toho nepomůže, když je hrozba součástí samotného operačního systému.

Co přesně Keenadu umí a proč je anonymní režim k ničemu

Modul pro Chrome funguje jednoduše a účinně. Hledá aktivitu ChromeTabbedActivity, napojí se na textové pole url_bar a odchytává každou změnu textu. Cokoliv uživatel napíše do adresního řádku (hledaný výraz, adresu banky nebo citlivé údaje zadané do URL) může putovat na řídicí server útočníků. Anonymní režim chrání před ukládáním historie do prohlížeče, ale Keenadu pracuje o úroveň níž, přímo v běžícím procesu aplikace. Anonymita je tak pouze iluze.

Vedle sledování prohlížeče backdoor zvládá:

• přidělovat si systémová oprávnění bez vědomí uživatele
• tiše instalovat další aplikace (APK)
• stahovat a spouštět další moduly podle toho, jaká aplikace právě běží
• generovat podvodné klikání na reklamy (ad fraud)
• přesměrovávat výsledky vyhledávání

Kaspersky k únoru 2026 evidoval přes 13 700 zasažených zařízení po celém světě. Nejčastěji v Rusku, Japonsku, Německu, Brazílii a Nizozemsku. Česko mezi pěticí nejzasaženějších zemí nefiguruje, ale výslovně vyloučeno také není.

Které tablety jsou potvrzené a co se řeší v Česku

Kompletní seznam zasažených značek Kaspersky nezveřejnil, mluví obecně o „několika značkách“. Jediný výrobce, který situaci veřejně přiznal a řešil, je Alldocube. Ve svém závěrečném oznámení ze 4. března 2026 jmenoval čtyři dotčené modely:

• iPlay 60 mini Pro
• iPlay 60 Pro
• iPlay 50 mini Pro (včetně varianty NFE)
• iPlay 70 Pro

Alldocube následně vydal opravné OTA aktualizace a požádal Kaspersky o nezávislý audit opraveného firmwaru. Podle výrobce šlo o „několik starších modelů“, ne o celou produktovou řadu.

Pro český kontext je podstatné, že minimálně model iPlay 60 Mini Pro byl v polovině července 2026 běžně nabízený na Allegro.cz. Model iPlay 50 Mini Pro se v českém prostředí recenzoval a objednával prostřednictvím dovozu. Část dotčených tabletů se tedy k českým zákazníkům prokazatelně dostala.

Aplikace z Google Play jsou zpět, a to je znepokojivé

Kaspersky v únoru 2026 popsal tři trojanizované aplikace pro chytré kamery (Ziicam, Eyeplus a Eoolii), které měly dohromady přes 300 000 stažení z oficiálního Google Play. V době publikace reportu už měly být z obchodu odstraněny. Jenže k 13. červenci 2026 byly všechny tři znovu dohledatelné v Google Play, a to včetně tlačítka „Nainstalovat“. Stránka Ziicam byla dokonce lokalizovaná do češtiny.

Z veřejně dostupných podkladů neplyne, zda jde o očištěné verze, nebo o nově publikované balíčky bez úprav. Právě balíček Eoolii (com.taismart.global) přitom Kaspersky označil jako jediný, ve kterém se škodlivá služba skutečně spouštěla. To, že je opět volně ke stažení, vyvolává otázky o účinnosti kontrolních mechanismů Google Play.

Proč je Keenadu horší než běžný malware

Srovnání s backdoorem Triada, který Kaspersky popsal v dubnu 2025, ukazuje znepokojivý trend. Oba útoky cílí na systémový proces Zygote, bránu, přes kterou Android spouští všechny aplikace. Triada se ale šířila hlavně přes padělaná zařízení a zaměřovala se na krádeže kryptoměn a účtů ze služeb jako Telegram nebo WhatsApp. Keenadu je sofistikovanější: proniká do legitimního dodavatelského řetězce skutečných značek a kombinuje firmwarovou infekci s distribucí přes Google Play.

Tovární reset nepomůže, protože systémový oddíl zůstane nedotčený. Kaspersky doporučuje přeflashovat čistý firmware, pokud je dostupný, a do té doby zařízení nepoužívat pro bankovnictví ani jiné citlivé činnosti. U nakažených systémových aplikací, jako je launcher nebo služba rozpoznávání obličeje, doporučuje jejich vypnutí pomocí příkazů ADB.

Největší škoda, kterou Keenadu způsobuje, není technická. Je to ztráta důvěry v celý řetězec, od továrny přes firmware až po oficiální obchod s aplikacemi. Když si člověk nemůže být jistý ani novým zařízením z krabice, pravidla mobilní bezpečnosti přestávají platit.

Co přesně se stane, když telefon zapojíte do cizího USB portu

Klíčový problém je jednoduchý: USB kabel má vodiče pro napájení i přenos dat. Když telefon připojíte k veřejnému portu, neposílíte mu jen elektřinu. Kompromitovaný port se může chovat jako počítač nebo jiné USB zařízení a pokusit se navázat datové spojení. V tu chvíli se otevírá cesta k potenciálnímu přístupu k obsahu telefonu.

Útočník přitom necílí na to, aby vám „vysál účet přímo z kabelu“. Mechanismus je sofistikovanější: nejdříve kompromituje zařízení, podstrčí škodlivý kód, získá údaje nebo se pokusí převzít přístup k aplikacím. Teprve následně může dojít ke zneužití bankovních přístupů, exportu fotek, videí, dokumentů nebo kontaktů. Podle americké Federální obchodní komise malware typicky cílí na uživatelská jména, hesla a bankovní údaje. Oficiální varování státu New York zmiňuje také možnost úplného zablokování zařízení.

Ani iPhone, ani Android nejsou imunní

Apple i Google do svých systémů zabudovali ochranné mechanismy. iPhone vyžaduje odemčení a potvrzení dialogu „Trust This Computer“, než povolí přístup k datům. Android dokáže při zamčené obrazovce blokovat USB datovou komunikaci. Tyto bariéry ale nejsou absolutní.

Studie ChoiceJacking, publikovaná na konferenci USENIX Security 2025, ukázala, že škodlivá nabíječka dokáže obejít některé existující ochrany na zařízeních osmi výrobců včetně Apple, Google, Samsungu a Xiaomi. Útočník kombinuje roli USB hostitele a příslušenství tak, aby současně vyvolal bezpečnostní výzvu a pokusil se ji automatizovaně potvrdit podvrženým vstupem. Celý proces trvá stovky milisekund. Výzkumníci získali přístup k fotkám, dokumentům i datům aplikací. Kritický je přitom samotný okamžik připojení, nikoli délka nabíjení.

Největší hrozbou je pohodlí

Představte si situaci: sedíte na nádraží, telefon ukazuje pět procent baterie a za chvíli potřebujete naskenovat jízdenku. USB port je přímo v sedačce. Kdo v tu chvíli přemýšlí o datových vodičích? Právě v momentu, kdy je baterie kriticky nízká, uživatel nejspíš odsouhlasí jakýkoli dialog na obrazovce, aniž by ho pečlivě četl. A přesně s tím juice jacking počítá.

Důležité je dodat, že veřejně zdokumentovaný potvrzený případ juice jackingu v Česku jsme v dostupných materiálech nenašli. Ani široce citované varování FBI z dubna 2023 nereagovalo na konkrétní nový incident, ale šlo o preventivní upozornění pobočky FBI Denver, jak uvedl server Axios. To ale neznamená, že je hrozba pouze teoretická. NÚKIB před ní varuje preventivně a akademický výzkum z roku 2025 potvrzuje, že technicky je útok prokazatelně možný i na moderních zařízeních.

Jak se chránit a co dělat, když už jste veřejný port použili

Nejúčinnější ochrana je prostá: vyhněte se cizím USB portům úplně. Konkrétní alternativy:

• Vlastní síťová nabíječka do elektrické zásuvky – žádná data, jen proud.
• Powerbanka – důvěryhodná „hloupá“ powerbanka je doporučovaná obrana i podle amerických úřadů.
• Charge-only kabel – nemá datové vodiče, přenáší pouze elektřinu.
• USB data blocker – malý adaptér, který fyzicky odpojí datové piny.

Pokud přece jen veřejný port použijete, nikdy nepotvrzujte dialogy typu „Důvěřujte tomuto počítači“ nebo „Sdílejte data“. Vždy zvolte možnost „Pouze nabíjet“. Na iPhonu se ujistěte, že máte zapnutou ochranu USB příslušenství vyžadující odemčení zařízení. Na Androidu aktivujte blokaci USB dat při zamčené obrazovce, pokud ji váš výrobce nabízí.

A pokud jste veřejnou nabíječku v minulosti použili a máte pochybnosti? Nepropadejte panice, ale proveďte základní bezpečnostní hygienu: aktualizujte systém, spusťte bezpečnostní kontrolu, z jiného čistého zařízení změňte hesla k důležitým účtům a zapněte dvoufaktorové ověření. Na iPhonu má smysl resetovat důvěryhodná připojení v nastavení.

Powerbanku za pár stovek korun si můžete koupit jednou. Přístup k bankovnímu účtu, fotkám a celé digitální identitě získáte zpět mnohem hůře.

Zavolají, chvíli komunikují a následně vás tahají na WhatsApp

První sekundy hovoru nemají hned za cíl vás okrást. Mají za cíl především vyvolat emoci. Podvodník vzbudí strach („váš účet je ohrožen, volá policie“), nebo naopak láká na snadný výdělek („výdělek 15 tisíc týdně z domova“). Jakmile oběť zareaguje, přichází klíčový manévr: přesun komunikace jinam.

Typický postup vypadá takto:

• Navázání kontaktu – nečekaný hovor ze zahraniční předvolby, někdy jen krátké prozvonění (tzv. wangiri), které láká ke zpětnému zavolání.
• Přesun na WhatsApp nebo odkaz – podvodník tvrdí, že další instrukce pošle přes zprávu. Tím opouští telefonní síť, kde by ho bylo snazší vystopovat.
• Instalace nástroje pro vzdálený přístup – oběť je navedena ke stažení aplikace typu AnyDesk, TeamViewer nebo HopToDesk, případně falešné „bankovní“ či „bezpečnostní“ aplikace.
• Převzetí telefonu a bankovnictví – útočník vidí obrazovku, zadává příkazy nebo vyláká přihlašovací údaje a 2FA kódy. Oběť často potvrzuje transakce, aniž chápe, co autorizuje.

Policie na svém webu popsala případ z Jičínska, kde poškozená po instalaci aplikace pro vzdálený přístup přišla o více než 100 tisíc korun. Na Děčínsku pak devět obětí za dva měsíce přišlo dohromady o více než 2,3 milionu korun. A nejde jen o seniory – podle policejních statistik tvoří přibližně 80 % obětí ženy s průměrným věkem 45 let.

Čísla mluví víc než jasně

Kyberpodvody v Česku rostou tempem, které ještě před pár lety nikdo nečekal. Policie ČR v květnu 2026 oznámila, že počet kyberpodvodů v březnu 2026 meziročně vzrostl o více než 37 %. Telefonní podvody (falešní bankéři, falešní policisté, investiční „poradci“) označila za nejrychleji rostoucí kategorii.

Český telekomunikační úřad ve své monitorovací zprávě za třetí čtvrtletí 2025 zaznamenal u stížností na obtěžující a nevyžádanou komunikaci nárůst řešených podání přibližně o 64 %. Mezi nejčastějšími podněty figurovaly právě hovory a prozvánění ze zahraničních nebo skrytých čísel. ČTÚ zároveň upozorňuje, že u wangiri podvodů platí za hovor ten, kdo volá zpět, a reklamace bývá prakticky nemožná, protože odchozí volání uskutečnil uživatel ze své vůle.

Důležité je pochopit jednu věc: číslo na displeji dnes nemusí znamenat samozřejmě vůbec nic. NÚKIB výslovně varuje, že podvodníci dokážou podvrhnout i oficiální čísla bank, policie nebo úřadů. Jediné spolehlivé ověření je zavěsit a zavolat zpět na číslo, které si sami dohledáte na oficiálních stránkách instituce.

Proč zrovna +44 a +31? Zítra to může být jiná předvolba

Český oficiální zdroj, který by výslovně jmenoval právě tyto dvě předvolby, se nepodařilo dohledat. Úřady varují obecně před zahraničními čísly a spoofingem. Proč se ale +44 a +31 v hlášeních opakují? Evropská předvolba působí důvěryhodněji než exotické číslo z jiné části světa. Britská a nizozemská předvolba navíc evokují seriózní finanční centra. Jakmile se jeden prefix „okouká“ a lidé ho začnou ignorovat, kampaň se přesune na další. ČTÚ u starších vln wangiri uváděl například předvolbu +94 (Srí Lanka).

Podstatné proto není zapamatovat si dvě předvolby, ale naučit se rozpoznat vzorec: neznámé zahraniční číslo + nečekaný hovor + tlak na rychlé rozhodnutí + požadavek přesunout komunikaci jinam = zavěsit.

Co dělat, když vám takové číslo zavolá, a co dělat, když jste už reagovali

Pokud jste hovor pouze přijali a nic dalšího neudělali (neinstalovali aplikaci, nesdělili údaje ani neklikli na odkaz), podle dostupných informací samotné přijetí hovoru k převzetí telefonu nestačí. Riziko ale spočívá v tom, že si podvodník ověřil aktivní telefonní číslo a může se pokusit o další kontakt.

Pokud jste ale cokoli nainstalovali, potvrdili nebo sdělili, jednejte okamžitě:

• Volejte bance na oficiální číslo uvedené na kartě nebo na webu a nechte zablokovat karty i přístupy.
• Z jiného zařízení změňte hesla k bankovnictví i e-mailu.
• Odstraňte podezřelé aplikace – zkontrolujte například AnyDesk, TeamViewer, HopToDesk nebo jakoukoli aplikaci, kterou jste nainstalovali na pokyn volajícího.
• Podejte oznámení na policii prostřednictvím linky 158 nebo na kterékoli služebně.
• Nahlaste číslo na linku 7726 – stačí SMS ve formátu “podvod telefonní číslo volajícího datum čas”.

Pro preventivní ochranu existuje i česká aplikace Můžu to zvednout?, která zobrazuje komunitní hodnocení neznámého čísla přímo při vyzvánění a umí podezřelé hovory rovnou blokovat. Její databáze denně roste o více než 10 tisíc nových hodnocení. Není neomylná – čerstvě nasazené číslo v ní ještě být nemusí – ale oproti ručnímu blokování jednotlivých čísel představuje výrazný posun.

Nejslabší článek není telefon, ale okamžik důvěry

Policie i NÚKIB opakují jednu větu: žádná banka, žádný policista ani žádný úřad po vás nikdy nebude chtít instalovat aplikaci, převádět peníze na „bezpečný účet“ ani potvrzovat cokoli pod časovým tlakem přes WhatsApp. Kdo si toto pravidlo osvojí, může klidně zvednout i hovor z předvolby +44. A pak jednoduše zavěsit.

Tři vlny, pevný trik

Anatsa není jednorázový útok. Jde o sérii kampaní, které se liší názvem aplikace i datem, ale sdílejí identický mechanismus. Nejlépe zdokumentované vlny vypadají takto:

• Únor 2024 – pět dropperů včetně PDF Reader: Správce souborů s více než 100 tisíci staženími. Kampaň mířila mimo jiné i na Českou republiku.
• Červenec 2025 – aplikace Prohlížeč dokumentů – File Reader, která od 2. června (pod krycím názvem „Hybrid Cars Simulator, Drift & Racing“) nasbírala přes 50 tisíc instalací, než ji Google 30. června stáhl.
• Jaro 2026 – ThreatLabz identifikovali PDF Reader for Business Docs s balíčkem com.groundstation.informationcontrol.filestation_browsefiles_readdocs. Aplikace existovala v obchodě pouhých jedenáct dní, od 10. do 21. dubna, a stihla nasbírat řádově tisíce stažení.

Pokaždé jde o genericky pojmenovanou utilitu, která vypadá nevinně. Vždy projde kontrolou Google Play.

Proč to projde přes Google Play

Tady je jádro problému. Anatsa neposílá do obchodu hotový malware. Používá takzvaný model dropperu: aplikace, kterou Google schválí, je zpočátku čistá. Škodlivý kód si stáhne až poté, z řídicího serveru útočníků, maskovaný jako běžná aktualizace.

Celý řetězec má několik kroků. Nejprve si dropper stáhne konfigurační data a šifrované řetězce. Pak získá další DEX soubor ukrytý v assetech aplikace. Teprve na konci přijde URL finálního payloadu, samotného bankovního trojanu. Při automatické kontrole v Play Store tedy první APK nemusí obsahovat žádný škodlivý kód.

K tomu přidejte techniky proti analýze: detekci emulátorů a sandboxů, dešifrování za běhu a záměrně poškozené ZIP hlavičky, které komplikují statickou analýzu. Google sice uvádí, že Play Protect provádí přes 200 miliard skenů denně a aplikace testuje před zveřejněním, ale Anatsa je přesně typ hrozby, která využívá mezer mezi prvotní kontrolou a pozdějším chováním aplikace.

Řečeno přímo: Google Play je bezpečnější než instalace z neověřených zdrojů. Ale není neprůstřelný.

Co se děje po instalaci

Jakmile se Anatsa dostane do telefonu, začne pracovat systematicky. Nejprve si vyžádá přístup k Android Accessibility Services, funkci určené pro usnadnění ovládání uživatelům se specifickými potřebami. U obyčejné PDF čtečky je to zásadní varovný signál, kterého by si měl všimnout každý. Google sám ve svých pravidlech uvádí, že zneužití tohoto API je porušením zamýšleného účelu.

S tímto oprávněním trojan:

• Detekuje nainstalované bankovní aplikace na zařízení.
• Stáhne z řídicího serveru falešnou obrazovku přesně odpovídající konkrétní bance.
• Překryje legitimní bankovní aplikaci; uživatel vidí důvěrně známé rozhraní, ale ve skutečnosti zadává údaje útočníkům.
• Zachytí SMS zprávy a ověřovací kódy, čímž obejde dvoufaktorové ověření.
• V některých variantách přidává keylogger a zneužívá oprávnění SYSTEM_ALERT_WINDOW pro překryvná okna.

Nejde přitom jen o krádež hesla. ThreatFabric u Anatsa popisuje takzvaný Device-Takeover Fraud (podvodné převzetí zařízení), kdy útočníci dokážou zneužít telefon oběti k provedení transakce přímo. Firma už v roce 2023 potvrdila několik případů podvodů s reálnými finančními ztrátami. Aktuálně Anatsa cílí na více než 800 finančních institucí po celém světě, s nově přidanými cíli v Německu, Španělsku, Finsku, Jižní Koreji a Singapuru.

Cílí Anatsa i na české uživatele?

Historicky ano. Únorová kampaň 2024 podle ThreatFabric explicitně zahrnovala Českou republiku mezi cílové země. U novějších vln z let 2025 a 2026 veřejné zdroje konkrétní české bankovní aplikace nejmenují; ThreatLabz mluví obecně o stovkách cílených institucí globálně. To ale neznamená, že české banky v seznamu nejsou – interní seznam cílů není veřejně dostupný.

V době naší rešerše jsme nenašli samostatné veřejné varování NÚKIB přímo k Anatsa. To nevylučuje interní monitoring ani obecná bezpečnostní doporučení, která české banky svým klientům pravidelně zasílají.

Jak se chránit a co dělat, pokud máte podezření

Pokud jste v posledních dvou letech nainstalovali generickou PDF nebo čtečku dokumentů z Google Play, stojí za to si telefon zkontrolovat. Varovné signály před instalací i po ní:

• Aplikace s názvem typu „Reader“ nebo „Viewer“ od neznámého vývojáře, bez historie nebo ověřitelné značky.
• Požadavek na Accessibility Services, přístup k SMS nebo oprávnění REQUEST_INSTALL_PACKAGES; u čtečky dokumentů nemá žádné z nich co dělat.
• Upozornění od Play Protect; Google uvádí, že dokáže varovat i u aplikací, které už byly z obchodu odstraněny, a nabídnout jejich odinstalaci.

Pokud máte podezření, že jste některou z těchto aplikací měli nainstalovanou, postup je jednoznačný: okamžitě odinstalovat, spustit Play Protect, nepřihlašovat se do banky z podezřelého telefonu a změnit bankovní heslo z jiného, čistého zařízení. Při podezření na transakce kontaktujte banku.

Anatsa ukazuje jednu nepříjemnou pravdu o mobilní bezpečnosti: největší slepé místo nevzniká u podezřelých aplikací, ale u těch nejnudnějších utilit, kterým důvěřujeme právě proto, že vypadají nevinně.

Jak z pohodlného ovladače vznikla otevřená brána

Všechny tři aplikace fungují na stejném principu. Na telefon si nainstalujete klientskou část, na počítač serverovou. Telefon se připojí k PC přes lokální síť a stane se bezdrátovou klávesnicí, touchpadem nebo myší. Každý stisk klávesy i pohyb kurzoru putuje z Androidu do počítače.

Jenže podle advisory Black Duck CyRC tato komunikace u všech tří aplikací probíhala bez šifrování. Útočník v pozici man-in-the-middle, tedy kdokoli, kdo dokáže odposlouchávat provoz ve stejné síti, viděl veškerá data včetně stisků kláves v čitelné podobě: login, heslo, kód z SMS. Všechno jako na dlani.

A to je teprve první cesta útoku.

Dvě cesty, jeden výsledek: kompromitovaný počítač

Black Duck popsal u těchto aplikací šest konkrétních zranitelností (CVE-2022-45477 až CVE-2022-45483), které se dají rozdělit do dvou kategorií:

• Odposlech v plaintextu. Přenos mezi telefonem a PC nebyl šifrovaný. Cokoli uživatel napsal (heslo do banky, přihlašovací údaje k e-mailu, adresu), mohl útočník zachytit a přečíst.
• Vzdálené spouštění příkazů bez autentizace. Serverová část na PC přijímala instrukce bez jakéhokoli ověření. Neautorizovaný útočník mohl posílat příkazy přímo do počítače a spouštět je, jako by seděl u klávesnice.

Právě druhá kategorie posouvá riziko na jinou úroveň. Nejde jen o krádež hesla. Útočník může převzít celý počítač, nainstalovat malware, otevřít vzdálený přístup nebo procházet soubory. A pokud se z toho počítače uživatel běžně přihlašuje do internetového bankovnictví, cesta k účtu je otevřená. Ne proto, že by aplikace „hackla banku“, ale proto, že kompromitovala stroj, ze kterého se do banky přistupuje.

Jedna je pryč, druhá je pryč, třetí je stále v obchodě

Časová osa je důležitá. Black Duck kontaktoval vývojáře všech tří aplikací poprvé 13. srpna 2022. Následoval druhý pokus 18. srpna a třetí 12. října. Nikdo neodpověděl. Advisory vyšlo veřejně 29. listopadu 2022.

Od té doby se situace u každé aplikace vyvinula jinak:

Telepad a Lazy Mouse z Google Play zmizely. Původní web Telepad dnes zobrazuje jen prázdnou stránku s textem „This domain is coming soon.“ Lazy Mouse se naposledy aktualizovala v roce 2018. Obě aplikace jsou fakticky mrtvé.

Jenže PC Keyboard žije dál. V české verzi Google Play je stále ke stažení, podle odhadu AppBrain ji jen za posledních 30 dní stáhly tisíce uživatelů a v říjnu 2025 dostala aktualizaci na verzi 54. Black Duck původně popsal zranitelnosti u verze 30 a starších. Veřejně ale neexistuje potvrzení, zda současná verze původní chyby opravila.

A tady je pikantní detail přímo z popisu aplikace na Google Play. Vývojář sám uvádí: „Aplikace odesílá data o stisknutí kláves a myši do vašeho počítače bez šifrování.“ Ve stejném listingu ovšem sekce Data Safety tvrdí, že „data jsou šifrována během přenosu“. Tyto dvě věty si přímo odporují.

Co dělat, pokud jste tyto aplikace používali

Odstranění aplikace z Google Play neznamená její zmizení z telefonu. Google to výslovně potvrzuje: stažená appka zůstává nainstalovaná, jen ji nejde znovu stáhnout ani aktualizovat. Pokud jste Telepad nebo Lazy Mouse používali v minulosti, zkontrolujte si seznam aplikací v Nastavení → Aplikace. Hledejte i podle názvů balíčků: com.pinchtools.telepad, com.ahmedaay.lazymouse2, com.beapps.pckeyboard.

Pokud některou z nich najdete, postup je jednoznačný:

• Odinstalujte aplikaci z telefonu.
• Odstraňte serverovou/companion část z počítače.
• Z jiného, čistého zařízení změňte hesla ke všem důležitým účtům, ke kterým jste se z daného PC přihlašovali.
• Zkontrolujte historii přihlášení a bankovních transakcí.
• Ověřte, že máte zapnuté dvoufaktorové ověření.

NÚKIB u podobných případů výslovně doporučuje měnit hesla k internetovému bankovnictví z jiného zařízení a nevyužívat jeden přístroj zároveň pro přihlášení i příjem potvrzovacích kódů. U odposlechu v plaintextu navíc platí nepříjemná pravda: únik se nemusel nijak projevit. Žádné varování, žádná notifikace. Absence stop neznamená bezpečí.

Bezpečnější alternativy existují

Potřeba ovládat počítač z telefonu je legitimní. Rozdíl je v tom, jak to konkrétní aplikace řeší. KDE Connect komunikuje přímo mezi zařízeními a šifruje provoz přes TLS 1.2. Chrome Remote Desktop šifruje celé relace a vyžaduje přístup přes PIN. Ani jedno řešení není stoprocentně neprůstřelné (žádný software není), ale obě mají explicitně popsanou autentizaci a šifrování. To je přesně to, co u Telepad, PC Keyboard a Lazy Mouse chybělo.

Největší problém nikdy nebyla samotná aplikace. Byl to typ důvěry, kterou jí uživatelé dávali. Utilita pro ovládání počítače z telefonu má ze své podstaty přístup ke všemu, co na tom počítači děláte: e-mailům, správci hesel i bankovním relacím. Když taková aplikace posílá stisky kláves bez šifrování a přijímá příkazy bez ověření, z pohodlného ovladače se stává otevřené okno do vašeho digitálního života.