Tři malwary, jeden útočný řetězec

Označení „nejnebezpečnější“ v případě SocGholish, StealC a Amadey nevychází z žádného formálního žebříčku. Oporu mu dává něco jiného: globální dosah, stovky tisíc obětí a klíčová role všech tří v řetězci, který končil krádeží dat nebo mohl vést k nasazení dalšího malwaru včetně ransomwaru.

Každý z nich plnil jinou funkci:

• SocGholish fungoval jako vstupní brána. Útočníci napadli legitimní weby postavené na WordPressu a podstrčili na ně falešnou výzvu k aktualizaci prohlížeče. Kdo ji stáhl, nevědomky si nainstaloval loader, který otevřel cestu dalšímu malwaru. Jen v rámci této operace policie vyčistila téměř 15 tisíc takto kompromitovaných stránek a odhalila 1,4 milionu uniklých přihlašovacích údajů k WordPress administracím.
• Amadey přebíral štafetu. Šířil se mimo jiné prostřednictvím phishingových kampaní, po spuštění kontaktoval řídicí server a stahoval další škodlivé komponenty, včetně samotného StealC. Fungoval jako univerzální zadní vrátka.
• StealC byl čistý infostealer. Vytahoval uložená hesla z prohlížečů, cookies, data z kryptopeněženek, e-mailových klientů i messengerů. Pořizoval také snímky obrazovky. Oběť přitom většinou nic nepoznala, nizozemská policie výslovně uvádí, že data byla odcizena „nepozorovaně“.

Klíčové zjištění Microsoftu: Amadey a StealC sdílely část stejné serverové infrastruktury. Právě to umožnilo zasáhnout proti oběma současně.

Proč do toho šel Microsoft, a co přesně udělal

Microsoft v této operaci nehrál jen roli technického konzultanta. Firma identifikovala více než 200 škodlivých domén a IP adres spojených s Amadey a StealC, k jejich analýze využila vlastní nástroje včetně AI a soudní cestou získala příkazy k převzetí nebo blokaci části domén. Podle firemního blogu se jí podařilo odpojit pachatele od více než 18 tisíc infikovaných počítačů.

Právní rozměr je podstatný. Microsoft podal civilní žalobu a prostřednictvím soudních příkazů fakticky převzal kontrolu nad částí infrastruktury. Jde o postup, který firma opakovaně používá proti kybernetické kriminalitě. Nejde o policejní pravomoc, ale o soukromoprávní nástroj, který může policejní zásah doplnit a urychlit.

Operace navíc neproběhla jednorázově. 18. června 2026 zveřejnila nizozemská policie samostatnou akci proti SocGholish. O šest dní později, 24. června, následovalo širší oznámení k Amadey a StealC. Proto se v různých zdrojích liší dílčí čísla, přestože celkový rozsah zahrnuje obě fáze dohromady.

Jak velký zásah to vlastně byl

Operace Endgame běží od roku 2024 a každá další vlna je větší než ta předchozí.

V červnové fázi 2026 dominovaly technické zásahy do infrastruktury. Zatčení veřejně oznámena nebyla, na rozdíl od loňské vlny, která přinesla dvacet mezinárodních zatykačů. U SocGholish veřejné materiály spojují část infrastruktury s ruskou skupinou Evil Corp. U Amadey a StealC Microsoft hovoří o oddělených kyberzločineckých skupinách, které sdílely společné zázemí.

Pro srovnání: když v roce 2021 mezinárodní koalice rozbila botnet Emotet, zasáhla přibližně 1,6 milionu infikovaných počítačů. Emotet se šířil hlavně spamovými e-maily s přílohami. Letošní trojice je jiná v tom, že funguje jako specializovaný servisní ekosystém: každý článek řetězce plní jinou roli a některé jeho části jsou poskytovány dalším pachatelům jako služba.

Co udělat hned teď

Hrozba není „navždy pryč“. Microsoft výslovně píše, že sleduje pokusy pachatelů obnovit infrastrukturu. Operace jim zásadně zkomplikovala práci a prodražila případný restart, ale samotný kód malwaru existuje dál.

Praktické kroky pro běžného uživatele:

• Ověřte si e-mail přes policejní nástroj Check your hack, stránka je v angličtině a nizozemštině, stačí zadat e-mailovou adresu.
• Pokud jste kdykoli klikli na falešnou aktualizaci prohlížeče nebo stahovali software z pochybného zdroje, změňte hesla ke všem účtům, které jste na daném zařízení používali. Nejen k jednomu, protože infostealer může ukrást přihlašovací údaje k více službám.
• Zapněte dvoufaktorové ověření všude, kde to jde. Začněte u e-mailu, banky a cloudových služeb.
• Provozujete WordPress? Okamžitě změňte přihlašovací údaje k administraci, smažte neznámé účty, aktualizujte vše a zapněte vícefaktorové přihlášení.

Zda jsou mezi oběťmi i čeští uživatelé, veřejné zdroje operace nepotvrzují ani nevyvracejí. Vzhledem ke globálnímu rozsahu kampaně a tomu, že zasažené weby i koncová zařízení byly po celém světě, to ale nelze vyloučit.

Rozbití infrastruktury tří malwarů neznamená konec infostealerů. Znamená to, že jejich provozovatelé přišli o servery, domény, přístup k obětem a podle údajů zveřejněných v rámci operace i o kryptoměny v hodnotě přes miliardu korun. Příště to budou muset vybudovat znovu a vyšetřovatelé budou sledovat každý pokus.

Jak infekce probíhá krok za krokem

Řetězec začíná kliknutím na odkaz. Podle analýzy Group-IB první zdokumentovaná kampaň cílila na italské uživatele a stránky zpřístupňovaly APK pouze zařízením s italskou IP adresou. Na falešném webu se našly stopy dvou identifikátorů Meta Pixel, což naznačuje využití placené reklamy nebo jiné formy malvertisingu na sociálních sítích.

Po stažení APK dropper požádá o povolení „instalovat jiné aplikace“. Hned poté udělá něco neobvyklého: spustí lokální VPN, která blokuje síťovou komunikaci aplikace Google Play. Tím může omezit komunikaci, kterou by Google Play Protect využíval ke kontrole aplikací a jejich chování. Neznamená to však, že by se Play Protect automaticky vypnul nebo že by se o aplikaci nemohl dozvědět vůbec. Následuje žádost o oprávnění Accessibility, tedy služby usnadnění přístupu. Jakmile ji uživatel potvrdí, trojan získá velmi rozsáhlé možnosti ovládání telefonu.

Proč se nedá běžně odinstalovat

RemControl hlídá klíčové obrazovky systému. Pokud se pokusíte otevřít správu aplikací, nastavení Accessibility nebo některé další systémové nabídky, malware může automaticky simulovat stisknutí tlačítka zpět a uživatele z nastavení vyhodit dříve, než stihne něco změnit. Opakuje to podle toho, kterou obrazovku se uživatel pokouší otevřít.

Nejde tedy o to, že by malware byl technicky neodstranitelný. Problém je v tom, že běžný uživatel se k odinstalaci standardní cestou nemusí dostat. Group-IB jako nouzové řešení uvádí dvě cesty:

• Safe Mode – restart telefonu do nouzového režimu, ve kterém se aplikace třetích stran nespouštějí, a následné ruční odstranění malwaru
• Tovární reset – kompletní vymazání zařízení, které odstraní uživatelská data i nainstalované aplikace; pokud malware brání provedení resetu z běžného prostředí, lze ho provést jinou cestou podle konkrétního modelu telefonu

Co trojan dělá s vaším bankovnictvím

Když RemControl rozpozná, že jste spustili bankovní aplikaci, může ji překrýt celoplošným falešným přihlašovacím formulářem. Vypadá jako vaše banka. Zadáte PIN, heslo nebo jiný kód a údaje mohou putovat útočníkovi. K tomu malware umí zaznamenávat stisky kláves, streamovat obraz displeje a telefon na dálku ovládat. Podvodná transakce tak může proběhnout přímo z vašeho zařízení v rámci vaší relace. Pro banku pak může být obtížnější odlišit takovou aktivitu od legitimního chování klienta.

Každá instalace si navíc generuje vlastní podpisový certifikát, takže dva nakažené telefony nemusí mít shodný otisk. Adresu řídicího serveru si malware stahuje ze zašifrovaných zpráv na veřejných kanálech Telegramu, takže útočník může měnit infrastrukturu bez nutnosti vydávat novou verzi malwaru.

Týká se to českých uživatelů?

Veřejná zpráva Group-IB uvádí potvrzené cíle v Itálii, Francii, Španělsku, Polsku, Portugalsku, Kanadě a státech Perského zálivu. Česká republika mezi nimi není a jmenný seznam více než 30 cílených bank nebyl ve veřejné verzi reportu zveřejněn. Přímé ohrožení českých bank tedy z dostupných dat nelze potvrdit.

Jenže technika je snadno přenositelná. Malware počítá s více než 30 jazykovými variantami, řídicí server byl registrován už v květnu 2026 a první vzorky se na VirusTotal objevily v červenci. Stačí nová distribuční stránka, jiný jazyk a jiný seznam bank. Důležitější než čekat, až se objeví kampaň s českou lokalizací, je proto pochopit princip útoku.

Jak se chránit

• Instalujte aplikace výhradně z oficiální aplikace Google Play nebo z webu play.google.com.
• Pokud vás Android žádá o povolení „instalovat aplikace z prohlížeče“ nebo z jiného zdroje, zastavte se. Standardní instalace z Play Storu toto oprávnění nepotřebuje.
• Zpozorněte při jakékoli žádosti o oprávnění Accessibility u aplikace, která ho zjevně nepotřebuje.
• Nechte zapnutý Play Protect a pravidelně kontrolujte jeho stav.
• Při podezření na infekci přestaňte na telefonu používat bankovnictví, kontaktujte banku z jiného zařízení a zkuste odstranění v Safe Mode.

Největší slabinou v tomto případě není děravý Play Store. Je to zvyk stahovat lákavé aplikace z webu ve chvíli, kdy je člověk nenajde v oficiálním obchodě. RemControl na tomto zvyku postavil celou distribuční kampaň a právě proto je důležité kontrolovat zdroj aplikace i požadovaná oprávnění.

Jak přežije vlastní smazání

Celý trik stojí na zneužití vývojářských nástrojů Androidu. RatHat nejdřív prostřednictvím služby Accessibility (tu, kterou legitimně používají například čtečky obrazovky) sám otevře Developer options, zapne Wireless Debugging a přečte párovací kód. Bez kabelu a bez počítače. Spáruje se s lokálním ADB (Android Debug Bridge), což je standardní vývojářské rozhraní, které normálně slouží programátorům k testování aplikací. Jenže s přístupem k ADB získá oprávnění na úrovni shellu, tedy práva, jaká běžná aplikace nemá.

V tu chvíli nasadí dvě pomocné komponenty napsané v jazyce Go. První, pojmenovaná local-service, se usadí v adresáři /data/local/tmp, mimo běžný systém správy aplikací. Druhá je reverzní proxy tunel postavený na open-source nástroji frp, který vystaví telefon jako vzdáleně ovladatelný endpoint přes internet, i když je za NATem nebo firewallem.

Když se uživatel pokusí RatHat odinstalovat, malware to sleduje a podstrčí falešné chybové okno stylizované jako Google Play. Cíl je jediný: odinstalaci zmařit. Pokud se uživatel nenechá zmást a aplikaci přesto smaže, local-service zjistí, že hlavní balíček zmizel, a provede příkaz pm install -r -g, který ho znovu nainstaluje. Následně prostřednictvím systémového příkazu settings put secure znovu zapne Accessibility, bez další interakce uživatele. Malware je zpět.

Umělá inteligence jako navigátor

RatHat nepoužívá AI k psaní phishingových zpráv ani ke generování kódu. Používá ji k něčemu praktičtějšímu: k ovládání telefonu v reálném čase. Malware serializuje aktuální strom rozhraní, tedy XML popis toho, co je právě na obrazovce, a pošle ho jednomu z populárních generativních AI asistentů. Který konkrétně, Zimperium nezveřejnilo.

Od AI dostává tři typy instrukcí: souřadnice prvku, na který má kliknout, skutečný text prvku na obrazovce a navigační pokyny typu „SCROLL_DOWN“. Výhoda je zásadní. Starší bankovní trojany pracovaly s pevně naprogramovanými sekvencemi a rozbily se, jakmile výrobce telefonu změnil rozložení menu nebo banka aktualizovala aplikaci. RatHat se dokáže přizpůsobit. ESET už v únoru 2026 popsala u malwaru PromptSpy, že generativní AI zvyšuje kompatibilitu škodlivého kódu napříč zařízeními. RatHat tento princip posouvá dál: AI nepoužívá jednorázově, ale průběžně, jako živého navigátora.

Praktický dopad? Útočník může vzdáleně procházet bankovní aplikací oběti, potvrzovat převody, číst notifikace s jednorázovými kódy a extrahovat data z formulářů, a to na telefonu, který nikdy fyzicky nedržel v ruce.

Co všechno RatHat krade

Seznam je delší, než by člověk čekal od „dalšího Android trojanu“:

• Hesla a přihlašovací údaje z bankovních i jiných aplikací
• SMS zprávy včetně ověřovacích kódů
• OTP/2FA kódy z notifikací
• PINy a odemykací vzory – Go agent čte surové dotykové události přes getevent a z rozložení klávesnice nebo mřížky gest rekonstruuje zadaný PIN nebo nakreslený vzor
• Obsah formulářů a URL z adresních řádků prohlížečů
• Inventář nainstalovaných aplikací

Zvlášť znepokojivé je čtení hardwarových vstupů. Nejde o zachytávání textu na obrazovce, ale o přímý přístup k dotykovým souřadnicím, tedy k tomu, kam přesně uživatel prstem sáhl. To je úroveň přístupu, kterou běžná aplikace z Google Play nemá.

Jak se RatHat šíří a co to znamená pro Česko

Podle dostupné analýzy se RatHat šíří mimo Google Play. Primárním vektorem je cílený smishing, tedy podvodná SMS s odkazem na stažení APK souboru. Zimperium zmiňuje i malvertising a falešné download portály. Aplikace se může tvářit jako známá streamovací služba nebo se v launcheru přejmenovat na „Chrome“. Po instalaci je oběť dotlačena k povolení Accessibility, někdy pod záminkou „síťových omezení“ nebo finanční pobídky.

Google pro BleepingComputer uvedl, že u známých verzí RatHat neeviduje žádnou aplikaci na Google Play a že Play Protect tyto vzorky dokáže detekovat. Zároveň Android v roce 2026 přidává nové pojistky, například restricted settings pro citlivé funkce a 24hodinovou čekací dobu pro instalaci aplikací od neověřených vývojářů. RatHat ale útočí i proti těmto novějším ochranám a spoléhá na to, že oběť pod tlakem podvodné zprávy některé pojistky sama obejde.

Konkrétní česká kampaň RatHat zatím zdokumentovaná není a Zimperium nezveřejnila seznam zasažených zemí. Forma útoku ale odpovídá podvodným SMS scénářům, před kterými v roce 2026 varuje Policie ČR, od falešných zpráv imitujících banky přes fingované pokuty až po podvržené doručovací služby. Česká lokalizace je technicky realistická, byť dosud neprokázaná.

Jak se bránit a co dělat při nákaze

Rozpoznat RatHat není snadné, ale existuje řetězec příznaků, které by měly spustit alarm:

• Aplikace stažená z odkazu v SMS nebo reklamě, ne z Google Play
• Neočekávaná žádost o povolení Accessibility nebo restricted settings
• Zapnuté Developer options nebo Wireless Debugging, aniž byste je sami aktivovali
• Neznámé spárované zařízení v nastavení ADB
• Falešná chybová hláška při pokusu o odinstalaci
• Aplikace, která se po smazání vrátí

Pokud máte podezření na nákazu, běžná odinstalace nestačí. Malwarebytes výslovně doporučuje tovární reset. Před ním má smysl v Developer options vypnout Wireless Debugging a zrušit všechna ADB párování, čímž útočník přijde o aktivní vzdálený kanál. Definitivní vyčištění ale podle dostupných zdrojů zajistí až kompletní obnova zařízení do továrního nastavení.

RatHat není první Android malware, který zneužívá Accessibility nebo Wireless Debugging; podobný přístup ukázala už ToxicPanda 2.0 dříve v roce 2026. Unikátní je ale kombinace AI navigace, persistence mimo životní cyklus aplikace, hardwarového čtení dotyků a několika vrstev antianalytických technik v jednom balíčku. Nejlepší obrana zůstává ta nejstarší: nestahovat aplikace z odkazů v SMS, ať slibují cokoli.

Jak Manic krade PIN bez falešné bankovní obrazovky

Starší bankovní trojany jako BlackRock fungovaly jednoduše: přes cílovou aplikaci položily falešnou přihlašovací obrazovku a čekaly, až uživatel zadá údaje. Manic jde jinou cestou. Využívá službu Accessibility, systémovou funkci Androidu určenou pro usnadnění ovládání, jako keylogger. Čte vstupy přímo v legitimních aplikacích, aniž by je nahrazoval. U bankovního PINu překryje jen oblast číselníku transparentní vrstvou, zaznamená klepnutí a pak je přes Accessibility přepošle do skutečné aplikace. Uživatel nic nepozná. Banka nic nepozná. A data mezitím putují do fronty.

Nejde přitom jen o banky. ThreatFabric uvádí 169 sledovaných aplikací napříč kategoriemi: bankovnictví, kryptoměnové peněženky a burzy, eID, autentikátory, prohlížeče, e-maily, messengery, včetně vojensky zaměřených komunikačních nástrojů. Manic chce celou digitální identitu.

Cizí telefon v blízkosti: brána ven, ne vstupní vektor

Důležité upřesnění: „cizí telefon ve vaší blízkosti“ neznamená, že vás nakazí náhodný mobil spolucestujícího v metru. Samotná blízkost k nákaze nestačí. Aby Manic fungoval, musí být váš telefon už kompromitovaný, typicky přes phishingový web nebo podvrženou aplikaci vydávající se za užitečný nástroj. Podle The Hacker News, které cituje ThreatFabric, první známá verze wrapperu se tvářila jako rezervační aplikace.

Teprve po nákaze přichází na řadu okolní zařízení. Pokud je i další telefon v rádiovém dosahu infikovaný, poslouží jako přestupní uzel (gateway) pro odeslání zašifrovaného balíku dat na řídicí server útočníka. ThreatFabric neuvádí přesnou vzdálenost v metrech, jen formulaci „v rádiovém dosahu“. Wi-Fi Direct má obecně delší dosah než Bluetooth, který podle Bluetooth SIG může fungovat od méně než metru po více než kilometr v závislosti na hardwaru a podmínkách. Nejde o telefon kdekoli na světě, ale o zařízení ve vašem fyzickém okolí.

Princip není úplně bez precedentu. Už v éře Symbianu se červ Cabir šířil přes Bluetooth a v českém prostředí malware NGate zneužíval NFC relay k platebním podvodům. Manic ale přidává něco nového: víceúrovňovou store-and-forward exfiltraci s více skoky, kde každý nakažený telefon funguje jako článek řetězu.

Česko je na seznamu cílů

Hlavní zaměření Manicu je podle ThreatFabric Ukrajina, ale Česká republika figuruje v cílovém setu výslovně, jak v kategorii bankovních aplikací, tak u státních a eID služeb. Konkrétní seznam českých aplikací veřejná analýza nejmenuje, ale samotné zařazení mezi cílové země znamená, že útočníci mají české bankovní a státní aplikace v hledáčku.

K 7. září 2026 se nepodařilo dohledat veřejné varování české bezpečnostní instituce přímo k Manicu. To ale neznamená, že je téma mimo radar. Český CSIRT v srpnu 2026 varoval před jiným androidovým malwarem WindRelay/SpyNote a ESET už v květnu 2026 popsal nárůst NGate v Česku a na Slovensku. Mobilní bankovní malware cílený na české uživatele je realita, ne abstraktní hrozba ze zahraničních reportů.

Co zkontrolovat a čeho se vyvarovat

Manic se aktivně snaží zůstat neviditelný. Červencová verze podle ThreatFabric umí schovat ikonu z launcheru, obsahuje příkaz disable_gp pro pokus o vypnutí Google Play Protect přes automatizaci uživatelského rozhraní a maskuje činnost pod černé nebo falešné aktualizační obrazovky. Na pozadí běží workery s periodou 10–15 minut.

Přesto existují praktické kroky, které riziko výrazně snižují:

• Neinstalovat APK mimo důvěryhodný obchod. Google přes The Hacker News uvedl, že známé verze Manicu v době vyjádření na Google Play nenašel. Malware se šíří přes phishingové weby a podvržené aplikace.
• Nepovolovat restricted settings u aplikací instalovaných mimo obchod. Android 13 a novější toto omezení zavádí právě proto, aby zbrzdil sideloadovaný malware.
• Zkontrolovat oprávnění. Nejrizikovější kombinace: Accessibility, přístup k notifikacím, zobrazení přes jiné aplikace (SYSTEM_ALERT_WINDOW) a široký přístup k souborům (MANAGE_EXTERNAL_STORAGE). Pokud je má aplikace, kterou nepoznáváte nebo která k nim nemá zjevný důvod, odeberte je.
• Nechat zapnutý Play Protect. Není samospasitelný, ale je to první linie obrany, která je ve výchozím stavu aktivní a skenuje i aplikace z jiných zdrojů.
• Pokud máte podezření na infekci: škodlivou aplikaci odstraňte, zrevidujte oprávnění a hesla měňte z jiného, čistého zařízení. Ne z telefonu, který mohl být kompromitovaný.

Vypnutí dat nestačí

Největší omyl, který Manic odhaluje, je představa, že offline telefon je bezpečný telefon. Není, pokud už jednou dostala škodlivá aplikace privilegia. Krádež dat probíhá lokálně, bez připojení. Internet potřebuje až finální článek řetězu, a tím nemusí být váš telefon. „Vypnout data“ je v nejlepším případě nouzové omezení škod po kompromitaci. Spolehlivá ochrana začíná dřív, u toho, co do telefonu pustíte a jaká oprávnění tomu dáte.

Které aplikace to jsou a jak je najít

Názvy aplikací zní tak obecně, že je snadno přehlédnete. Rozhodující je proto takzvané ID balíčku, tedy technický identifikátor aplikace. Tady je kompletní seznam:

• Čistič telefonu – Průzkumník souborů (com.volabs.androidcleaner)
• Prohlížeč PDF – Průzkumník souborů (com.xolab.fileexplorer)
• Čtečka PDF – prohlížeč a editor (com.jumbodub.fileexplorerpdfviewer)
• Čistič telefonu: Průzkumník souborů (com.appiclouds.phonecleaner)
• Čtečka PDF: Správce souborů (com.tragisoap.fileandpdfmanager)

Jedna z těchto aplikací dosáhla před odstraněním až 100 tisíc stažení. Útočníci je cíleně tlačili do žebříčků typu Top New Free a Top Free Tools, kde působily jako běžné nástroje.

Jak se z nevinné aplikace stala zbraň

Síla této kampaně spočívala v tom, že aplikace při prvním schválení v Google Play neobsahovaly škodlivý kód. Prošly kontrolou, získaly publikum a teprve potom přišla aktualizace s dropperovou logikou. ThreatFabric popisuje vícestupňový proces: nejprve se ze vzdáleného serveru stáhla konfigurace, poté modul s kódem a nakonec samotný trojan Anatsa. Aktivace se navíc filtrovala podle výrobce telefonu, verze Androidu i země; v kódu se objevily filtry pro cz i sk. Jedna z vln z listopadu 2023 cílila specificky na zařízení Samsung s Androidem 13.

Po instalaci malware využil službu přístupnosti (Accessibility Service), překryl bankovní aplikace falešnými přihlašovacími obrazovkami, zaznamenával stisky kláves a dokázal číst dění na displeji. Nešlo tedy jen o krádež hesla. Šlo o snahu převzít kontrolu nad telefonem a provádět operace jménem uživatele.

Česko v hledáčku: říkají české banky

Česko figurovalo mezi cílovými zeměmi kampaně. Přesný počet českých instalací veřejně znám není, ale Komerční banka v dubnu 2024 ve svém přehledu hrozeb Anatsu jmenovitě zmínila a uvedla „větší počet případů napadení u klientů“. Popsala přitom stejný model útoku: černé obrazovky, překryvy a falešné výzvy k aktualizaci.

Anatsa přitom není jednorázový incident. ThreatFabric dokumentuje jeho vlny v letech 2021, 2023, 2024 a znovu v roce 2025. Modus operandi zůstává podobný: nasadit legitimně vypadající utilitu, počkat na schválení a pak ji proměnit ve zbraň. Už v roce 2023 byly potvrzeny reálné finanční ztráty u obětí v Evropě.

Co udělat, pokud jste některou z aplikací měli

Samotné smazání aplikace je nutný první krok, ale nestačí. Česká spořitelna ve svých bezpečnostních doporučeních radí:

• Aplikaci ihned odinstalovat.
• Vrátit telefon do továrního nastavení.
• Změnit hesla k internetovému bankovnictví.
• Při podezření okamžitě kontaktovat banku, protože malware mohl číst i potvrzovací SMS.

Varovné signály, že telefon může být infikovaný: aplikace náhle požaduje povolení služby přístupnosti, uvnitř vyskočí výzva k „nutné aktualizaci“ mimo Google Play nebo se při otevření bankovní aplikace objeví neobvyklá překryvná hláška.

Ani Google Play už není na 100 % bezpečný

Google tvrdí, že aplikace v Play procházejí kontrolou a průběžným prověřováním prostřednictvím Play Protect. Tato kauza ale ukazuje limit celého modelu: když škodlivý kód přijde až v pozdější aktualizaci a další části se stahují vzdáleně po částech, automatická kontrola ho nemusí zachytit včas. NÚKIB v samostatných doporučeních varuje před náhle populárními aplikacemi a doporučuje kontrolovat jejich oprávnění, zejména u utilit, které logicky žádná zvláštní oprávnění potřebovat neměly.

Pětice aplikací z Google Play je pryč. Trojan Anatsa ale ne; vrací se v nových obálkách a čeká na další vlnu uživatelů, kteří si stahují „čistič telefonu“ a nekontrolují, co po nich aplikace požaduje.

I jméno a telefon jsou cenné

Únik bez hesel a platebních karet může na první pohled působit méně závažně. Jenže kombinace jména, příjmení, telefonního čísla, e-mailu a data narození je pro podvodníky téměř ideální startovní balíček. NÚKIB u phishingu popisuje, že právě tyto údaje pomáhají vytvářet důvěryhodnější podvodnou komunikaci: útočník osloví oběť jménem, odkáže na konkrétní značku, u které nakupovala, a přidá odkaz na falešnou stránku. Zpráva pak nepůsobí jako generický pokus, ale jako legitimní oznámení od obchodu, kde máte účet.

Prakticky to může vypadat třeba takto: SMS s textem „Vážený pane Nováku, vaše objednávka na lidl.cz vyžaduje ověření platby“ a odkazem na doménu, která se od té skutečné liší jedním písmenem. Po kliknutí na falešnou stránku útočníci mohou získat přihlašovací údaje nebo číslo platební karty. Právě v tu chvíli se „neškodný“ únik kontaktních dat promění v reálnou finanční ztrátu.

Jak poznat falešnou zprávu

Lidl veřejně neukázal konkrétní vzor podvodné SMS navazující na tento únik. Obecné znaky smishingu ale NÚKIB dokumentuje opakovaně a platí univerzálně:

• Podezřelý odkaz – doména neodpovídá oficiální adrese lidl.cz, obsahuje překlepy, zvláštní znaky nebo neobvyklou koncovku.
• Tlak na rychlou akci – formulace typu „klikněte ihned“, „máte 24 hodin“ nebo „jinak bude objednávka zrušena“.
• Požadavek na citlivé údaje – zadání jména, hesla, čísla karty, PINu nebo potvrzovacího kódu z banky.
• Stylistické chyby – špatná diakritika, zvláštní formulace, generické oslovení tam, kde by firma použila vaše jméno (nebo naopak příliš přesné oslovení, které vás má ukolébat).

Oficiální e-mail od Lidlu, který zákazníci dostávají v souvislosti s incidentem, uvádí rozsah zveřejněných údajů i informace o tom, co neuniklo, a nevyzývá k žádné platbě ani přihlášení přes odkaz. Pokud vás navíc zpráva žádá o „ověření účtu“ nebo zadání karty, je to varovný signál.

Kdo nese odpovědnost a co říká zákon

To, že incident nastal u externího IT dodavatele, neznamená, že Lidl stojí stranou. Podle prohlášení o ochraně osobních údajů je u českého online obchodu správcem dat Lidl Česká republika s.r.o. GDPR počítá s tím, že správce může využít zpracovatele, ale musí zvolit firmu s dostatečnými zárukami a smluvně upravit ochranu dat. Navenek tedy odpovědnost za komunikaci se zákazníky i za nahlášení incidentu leží na Lidlu.

Firma uvedla, že incident oznámila Úřadu pro ochranu osobních údajů. Zákon vyžaduje hlášení „pokud možno do 72 hodin“ od zjištění porušení. Zda Lidl tuto lhůtu dodržel, veřejně ověřit nelze, protože přesný čas zjištění incidentu ani odeslání hlášení firma nezveřejnila. Lidl zároveň sdělil, že nemá žádné konkrétní důkazy o tom, že by data již někdo zneužil. Varování je tedy preventivní, ale vzhledem k tomu, jak smishingové kampaně fungují, rozhodně oprávněné.

Co udělat hned teď

Pokud jste někdy nakupovali na lidl.cz, projděte si doručenou poštu i složku se spamem a hledejte oficiální e-mail od Lidlu s informacemi o incidentu. V případě pochybností kontaktujte Lidl přes oficiální kanály; v souvislosti s únikem se podle dostupných informací používá adresa data.shop@lidl.cz.

Několik zásad pro nejbližší týdny:

• Neklikejte na odkazy v SMS ani e-mailech, které se tváří jako Lidl. Oficiální web vždy zadávejte ručně do prohlížeče.
• Sledujte autorizační SMS a oznámení ze své banky. Navazující útok může přijít i se zpožděním několika týdnů.
• Pokud jste již klikli na podezřelý odkaz a vyplnili bankovní či karetní údaje, kontaktujte svou banku. Česká spořitelna u phishingu doporučuje i rychlý kontakt s Policií ČR, pokud už vznikla škoda.
• Buďte obezřetní i vůči telefonátům. Podvodník, který zná vaše jméno, datum narození a e-mail, může zavolat a vydávat se za zákaznickou podporu.

Samotný únik dat u Lidlu nikomu nevybral účet. Skutečný útok začne až ve chvíli, kdy z těchto dat vznikne přesvědčivá zpráva a vy na ni zareagujete.

Jak juice jacking funguje a proč se týká právě cestovatelů

USB konektor má dvě funkce: napájení a přenos dat. Běžná nabíječka zapojená do elektrické zásuvky zajišťuje pouze napájení. Veřejný USB port na letišti, nádraží, v hotelu nebo nákupním centru ale může fungovat jako aktivní zařízení, tedy podobně jako cizí počítač, ke kterému se telefon nevědomky připojí. Útočník může upravit samotnou nabíjecí stanici nebo do ní zapojit kabel s vestavěnou elektronikou.

Moderní telefony se sice obvykle ptají, zda má uživatel povolit datový přenos, ani tato ochrana ale není neprůstřelná. Akademický výzkum ChoiceJacking prezentovaný na konferenci USENIX Security 2025 ukázal, že upravená nabíječka dokáže kombinovat roli zdroje energie a vstupního zařízení, sama potvrdit datový přístup a u části testovaných telefonů získat přístup k datům i ze zamčené obrazovky. Celý proces přitom trval řádově milisekundy.

Pro cestovatele je to obzvlášť nepříjemné. Na cestách máte v telefonu letenky, digitální doklady, přihlášené bankovnictví i pracovní e-mail. Baterie se navíc vybíjí rychleji kvůli navigaci, roamingu nebo častému používání telefonu. A veřejné USB porty jsou dnes běžné na letištích, vlakových nádražích, v hotelových lobby i restauracích.

Česko není výjimka: USB porty najdete i na Letišti Praha

Veřejně potvrzený případ juice jackingu z českého letiště nebo nádraží zatím doložen není. Riziková infrastruktura tu ale reálně existuje. Letiště Praha na svém webu uvádí, že v terminálech nabízí jak USB porty, tak klasické 230V zásuvky. NÚKIB ve svém doporučení z roku 2026 výslovně jmenuje letiště, nádraží a obchodní centra jako místa, kde by cestovatelé měli být obezřetní. Už v roce 2022 vydal společně s Vojenským zpravodajstvím doporučení pro české olympioniky i veřejnost, v němž radí na cestách neotevírat citlivé služby a po návratu změnit přihlašovací údaje.

Ve Spojených státech zazněla podobná varování ještě dříve. Kancelář FBI v Denveru zveřejnila upozornění na síti X, americká FCC se tématu věnuje opakovaně a kybernetické velitelství americké armády (ARCYBER) vydalo podrobný informační materiál s doporučenými obrannými postupy.

Jak se chránit: jedno jednoduché pravidlo a pár doplňků

Nejúčinnější obrana je překvapivě jednoduchá: nepoužívejte veřejné USB porty. Místo toho zvolte některou z těchto možností:

• Vlastní adaptér do klasické zásuvky. Na Letišti Praha i na většině nádraží najdete běžné 230V zásuvky. Váš síťový adaptér přenáší pouze elektřinu, nikoli data.
• Powerbanka. Spolehlivá pojistka na celý den cestování. Žádný cizí port, žádné riziko.
• USB data blocker. Malý adaptér za několik stokorun, který fyzicky odpojí datové vodiče v USB kabelu. Hodí se, pokud jinou možnost nabíjení nemáte.

Na straně telefonu pomohou i softwarová opatření:

• Android: V pokročilém režimu ochrany (Advanced Protection Mode) zapněte USB Protection, které při zamčené obrazovce zablokuje datové spojení.
• iPhone/iPad: Ponechte výchozí nastavení, které vyžaduje odemčení zařízení pro připojení příslušenství. Nevypínejte ochranu Wired Accessories, pokud k tomu nemáte důvod.
• Obecně: Mějte telefon zamčený, nepovolujte datový přenos při připojení k neznámému zařízení a pravidelně aktualizujte operační systém.

Co dělat, když jste veřejný USB port použili

Pokud jste na cestách nabíjeli přes veřejný USB port, nepanikařte, ale buďte obezřetní. Odpojte telefon a zkontrolujte, zda se během připojení nezobrazila výzva k povolení datového přenosu nebo k označení připojeného zařízení jako důvěryhodného. Varovnými příznaky podle ARCYBER mohou být neobvykle rychlé vybíjení baterie, zpomalení systému, delší načítání aplikací nebo jejich časté pády.

Jestliže jste během nabíjení nebo krátce po něm otevřeli internetové bankovnictví, e-mail nebo cloudové úložiště, po návratu změňte hesla ke všem důležitým službám. NÚKIB to doporučuje jako preventivní opatření po každé cestě do prostředí s nejistou úrovní kybernetické bezpečnosti.

Největší rozdíl nedělá místo, kde nabíjíte, ale způsob připojení. Vlastní adaptér zapojený do běžné elektrické zásuvky vás ochrání spolehlivěji než jakékoli bezpečnostní nastavení telefonu. A často vás to bude stát jen pár kroků navíc k nejbližší 230V zásuvce.

Jak se virus dostane do tabletu ještě před prvním zapnutím

Podle technického reportu Kaspersky ze 17. února 2026 došlo ke kompromitaci dodavatelského řetězce přímo ve fázi sestavování firmwaru. Útočníci do zdrojového kódu propašovali škodlivou závislost napojenou na systémovou knihovnu, kterou Android používá ke spouštění aplikací. V několika případech se infikovaný firmware dostal do zařízení dokonce prostřednictvím oficiální OTA aktualizace, tedy aktualizace „vzduchem“, kterou si uživatel stáhne v dobré víře, že si zlepšuje zabezpečení.

Výrobci o tom podle Kaspersky pravděpodobně nevěděli. Backdoor se tak ocitl v zařízeních ještě před prvním přihlášením zákazníka. Žádná obezřetnost, žádné vyhýbání se podezřelým odkazům, nic z toho nepomůže, když je hrozba součástí samotného operačního systému.

Co přesně Keenadu umí a proč je anonymní režim k ničemu

Modul pro Chrome funguje jednoduše a účinně. Hledá aktivitu ChromeTabbedActivity, napojí se na textové pole url_bar a odchytává každou změnu textu. Cokoliv uživatel napíše do adresního řádku (hledaný výraz, adresu banky nebo citlivé údaje zadané do URL) může putovat na řídicí server útočníků. Anonymní režim chrání před ukládáním historie do prohlížeče, ale Keenadu pracuje o úroveň níž, přímo v běžícím procesu aplikace. Anonymita je tak pouze iluze.

Vedle sledování prohlížeče backdoor zvládá:

• přidělovat si systémová oprávnění bez vědomí uživatele
• tiše instalovat další aplikace (APK)
• stahovat a spouštět další moduly podle toho, jaká aplikace právě běží
• generovat podvodné klikání na reklamy (ad fraud)
• přesměrovávat výsledky vyhledávání

Kaspersky k únoru 2026 evidoval přes 13 700 zasažených zařízení po celém světě. Nejčastěji v Rusku, Japonsku, Německu, Brazílii a Nizozemsku. Česko mezi pěticí nejzasaženějších zemí nefiguruje, ale výslovně vyloučeno také není.

Které tablety jsou potvrzené a co se řeší v Česku

Kompletní seznam zasažených značek Kaspersky nezveřejnil, mluví obecně o „několika značkách“. Jediný výrobce, který situaci veřejně přiznal a řešil, je Alldocube. Ve svém závěrečném oznámení ze 4. března 2026 jmenoval čtyři dotčené modely:

• iPlay 60 mini Pro
• iPlay 60 Pro
• iPlay 50 mini Pro (včetně varianty NFE)
• iPlay 70 Pro

Alldocube následně vydal opravné OTA aktualizace a požádal Kaspersky o nezávislý audit opraveného firmwaru. Podle výrobce šlo o „několik starších modelů“, ne o celou produktovou řadu.

Pro český kontext je podstatné, že minimálně model iPlay 60 Mini Pro byl v polovině července 2026 běžně nabízený na Allegro.cz. Model iPlay 50 Mini Pro se v českém prostředí recenzoval a objednával prostřednictvím dovozu. Část dotčených tabletů se tedy k českým zákazníkům prokazatelně dostala.

Aplikace z Google Play jsou zpět, a to je znepokojivé

Kaspersky v únoru 2026 popsal tři trojanizované aplikace pro chytré kamery (Ziicam, Eyeplus a Eoolii), které měly dohromady přes 300 000 stažení z oficiálního Google Play. V době publikace reportu už měly být z obchodu odstraněny. Jenže k 13. červenci 2026 byly všechny tři znovu dohledatelné v Google Play, a to včetně tlačítka „Nainstalovat“. Stránka Ziicam byla dokonce lokalizovaná do češtiny.

Z veřejně dostupných podkladů neplyne, zda jde o očištěné verze, nebo o nově publikované balíčky bez úprav. Právě balíček Eoolii (com.taismart.global) přitom Kaspersky označil jako jediný, ve kterém se škodlivá služba skutečně spouštěla. To, že je opět volně ke stažení, vyvolává otázky o účinnosti kontrolních mechanismů Google Play.

Proč je Keenadu horší než běžný malware

Srovnání s backdoorem Triada, který Kaspersky popsal v dubnu 2025, ukazuje znepokojivý trend. Oba útoky cílí na systémový proces Zygote, bránu, přes kterou Android spouští všechny aplikace. Triada se ale šířila hlavně přes padělaná zařízení a zaměřovala se na krádeže kryptoměn a účtů ze služeb jako Telegram nebo WhatsApp. Keenadu je sofistikovanější: proniká do legitimního dodavatelského řetězce skutečných značek a kombinuje firmwarovou infekci s distribucí přes Google Play.

Tovární reset nepomůže, protože systémový oddíl zůstane nedotčený. Kaspersky doporučuje přeflashovat čistý firmware, pokud je dostupný, a do té doby zařízení nepoužívat pro bankovnictví ani jiné citlivé činnosti. U nakažených systémových aplikací, jako je launcher nebo služba rozpoznávání obličeje, doporučuje jejich vypnutí pomocí příkazů ADB.

Největší škoda, kterou Keenadu způsobuje, není technická. Je to ztráta důvěry v celý řetězec, od továrny přes firmware až po oficiální obchod s aplikacemi. Když si člověk nemůže být jistý ani novým zařízením z krabice, pravidla mobilní bezpečnosti přestávají platit.

Z routeru se stane odposlechové zařízení

APT28 využívala veřejně známou zranitelnost CVE-2023-50224 v routerech TP-Link. Po průniku do zařízení útočníci změnili nastavení DHCP a DNS, tedy služeb, které rozhodují o tom, kam směřuje internetový provoz všech připojených zařízení. Notebooky, telefony a tablety v domácnosti pak místo legitimních DNS serverů používaly servery pod kontrolou GRU.

Výsledek? Klasický útok typu „člověk uprostřed“. Když se uživatel přihlašoval k e-mailu nebo firemnímu systému, podvržený DNS server ho mohl přesměrovat na falešnou stránku. Útočníci tak mohli získávat hesla, autentizační tokeny, obsah e-mailové komunikace i další webový provoz, který měl zůstat chráněný. Podle FBI šlo o globální kampaň, jejíž oběti se nacházely v USA, Evropě i dalších částech světa.

A nebyl to první případ. Už v únoru 2024 americké a spojenecké agentury varovaly před toutéž skupinou, která kompromitovala routery Ubiquiti EdgeRouter. Tehdy šlo o trojanizovaný OpenSSH, reverzní proxy a SSH tunely. Vzorec je stejný: starý, neudržovaný router na okraji sítě se stane vstupní branou.

Česko bohužel není mimo hru

Kdo by si myslel, že jde o čistě americký problém, mýlí se. NÚKIB potvrdil, že kompromitovaná zařízení zasáhla i Českou republiku. Ještě důrazněji vystoupilo Vojenské zpravodajství, které oznámilo aktivní zásah v kybernetickém prostoru v rámci operace Masquerade a potvrdilo, že napadené routery byly zneužívány proti českým vojenským a vládním cílům.

Důležitý detail: běžný domácí uživatel nemusí být hlavním terčem špionáže. Jeho nezabezpečený router se ale může stát článkem řetězce útoku proti kritické infrastruktuře, energetice nebo státní správě. GRU nejprve kompromituje širokou základnu zařízení a teprve z ní vybírá cíle zpravodajského zájmu. Váš router může sloužit jako prostředník pro útok na někoho úplně jiného a vy se o tom nemusíte dozvědět.

Restart je jen začátek, není to 100% řešení

NSA ve svém průvodci z února 2023 vysvětluje logiku pravidelného restartu: část škodlivého kódu není perzistentní a existuje pouze v operační paměti routeru. Restart ji smaže. Proto doporučuje minimálně jednou týdně vypnout a znovu zapnout router, ale také další zařízení, jako jsou telefony a počítače.

Jenže pokud útočník změnil konfiguraci DNS nebo pokud router stále obsahuje neopravenou zranitelnost, restart problém dlouhodobě neřeší. Po novém spuštění se zařízení znovu připojí ke kompromitovanému nastavení, případně se útočník vrátí přes stejnou bezpečnostní chybu.

Co skutečně pomáhá:

• Aktualizovat firmware – zkontrolovat na webu výrobce, zda pro váš přesný model a hardwarovou revizi existuje záplata.
• Změnit výchozí heslo – administrátorské údaje typu admin/admin jsou první věc, kterou útočník zkouší.
• Vypnout vzdálenou správu – pokud nepotřebujete přistupovat k routeru z internetu, tuto funkci deaktivujte.
• Ověřit DNS nastavení – pokud v konfiguraci routeru vidíte DNS servery, které jste nenastavili, je to varovný signál.
• Zvážit výměnu – pokud je router na konci životnosti (EOL) a výrobce pro něj již nevydává aktualizace, žádná opatření ho dlouhodobě neochrání.

Jak poznat, že je váš router ohrožený

TP-Link zveřejnil seznam dotčených modelů s rozlišením, které už mají záplatu a které ne. Část zasažených zařízení jsou starší modely s ukončenou podporou, aktualizace pro ně neexistuje a nikdy nepřijde. U těchto routerů navíc nefungují automatické aktualizace přes cloud; případnou záplatu je nutné stáhnout a nahrát ručně.

Praktický postup pro každého:

• Otočte router a opište přesný model a hardwarovou revizi ze štítku.
• Najděte stránku podpory výrobce pro tuto konkrétní revizi.
• Ověřte, zda model není na seznamu EOL (konec životnosti / konec podpory).
• Zkontrolujte, zda existuje aktuální firmware, a pokud ano, nainstalujte ho.
• Zpozorněte při zvláštním chování: výpadky připojení, přehřívání, varování prohlížeče o neplatném certifikátu nebo změny v nastavení, které jste neprovedli.

Nejde o jednu značku, jde o vzorec

Bylo by snadné ukázat prstem na TP-Link a říct: „Kupte si jinou značku.“ Jenže APT28 v minulosti kompromitovala i routery Ubiquiti a Cisco. Společný jmenovatel nejsou konkrétní loga na krabici, ale starý firmware, výchozí hesla a zapomenutá zařízení, která roky tiše běží ve skříni na chodbě. Každý takový router je pro státního protivníka potenciálně otevřená cesta.

Jednou týdně restartovat router je rozumné, zabere to přibližně třicet sekund a může odstranit neperzistentní škodlivý kód. Ale bez aktualizovaného firmwaru, silného hesla a vypnuté vzdálené správy je to jen zámek na dveřích, které nemají zárubeň. A pokud váš router už dávno nedostává aktualizace, nejlepší investice do bezpečnosti je nový kus za pár stovek.

Tři značky, jeden podvod

Trojí maskování není náhoda ani marketingový trik útočníků, každá značka plní v řetězci konkrétní roli. Vstupním bodem je webová stránka na doméně mlcrosoft.co.com, která na první pohled vypadá jako legitimní microsoftí stránka. Nabízí ke stažení falešný instalátor aplikací WeChat nebo Miro. Obě aplikace se běžně instalují mimo App Store, takže ruční instalace nemusí vzbudit okamžité podezření.

Jakmile uživatel soubor otevře, macOS spustí Script Editor s připraveným AppleScriptem. V okně editoru je škodlivý příkaz odsunutý mimo viditelnou část, takže oběť vidí jen nevinně vypadající obsah. Po kliknutí na „Run“ se na obrazovce objeví falešná hláška o stahování bezpečnostní aktualizace Apple XProtectRemediator, tedy nástroje, který Apple skutečně používá k odstraňování malwaru. Uživatel zadá systémové heslo v domnění, že povoluje legitimní aktualizaci.

Třetí značka přichází po infekci. Malware si v systému založí trvalou přítomnost pod cestou ~/Library/Application Support/Google/GoogleUpdate.app a pomocí LaunchAgenta pojmenovaného com.google.keystone.agent.plist. Obojí napodobuje skutečný Google updater, který na Macu používá Chrome. Kdo by se podíval do systémových složek, uvidí něco, co tam zdánlivě patří.

Co všechno Reaper bez potíží ukradne

Rozsah krádeže je mimořádný. Reaper sbírá:

• přihlašovací heslo k macOS zadané při falešné aktualizaci
• kompletní obsah macOS Keychainu včetně uložených hesel a certifikátů
• data z prohlížečů Chrome, Firefox, Brave, Edge, Opera, Vivaldi, Arc i Orion
• rozšíření prohlížečů a iCloud data
• desktopové kryptopeněženky Exodus, Atomic Wallet, Ledger Live, Electrum a Trezor Suite včetně seed frází
• dokumenty z plochy a složky Dokumenty s příponami jako .docx, .xls, .json, .rdp, .wallet nebo .key (s limitem 150 MB)

Starší varianta SHub podle analýzy Malwarebytes z března 2026 navíc kradla Safari cookies, Apple Notes, relace Telegramu nebo historii shellu. Reaper tento záběr doplňuje o postupné uploady souborů po 70 MB, aby exfiltrace dat nebyla tak nápadná.

Skutečně nebezpečné ale je to, co přijde po krádeži. LaunchAgent spouští každých 60 sekund skript, který se hlásí na vzdálený server. Pokud server vrátí příkaz, malware ho dekóduje, zapíše do dočasného souboru, spustí a smaže. Útočníci tak získávají trvalý vzdálený přístup k Macu, mohou spouštět libovolné příkazy, stahovat další malware nebo pokračovat v krádeži dat kdykoli v budoucnu.

Běžná ochrana ho nemusí zachytit

Apple v macOS integruje XProtect s automatickými aktualizacemi a behaviorální detekcí. Jenže Reaper záměrně staví na důvěryhodných systémových procesech (Script Editor, osascript, shell). Hlavní exfiltrační AppleScript se může spustit bez zápisu na disk, takže klasické skenování souborů nemá co zachytit. SentinelOne výslovně uvádí, že tento model usnadňuje obcházení nástrojů pro skenování souborů včetně XProtectu.

Apple na rostoucí vlnu sociálně-inženýrských útoků reaguje. V macOS Tahoe 26.4 z března 2026 přidal kontroly proti vkládání podezřelých příkazů do Terminalu a zvýšil ochranu i u Script Editoru. V červnu 2026 pak publikoval samostatný návod pro uživatele, jejichž Mac zablokuje vložení příkazu nebo spuštění skriptu. Reaper ale právě tyto nové brzdy obchází přesunem ze staršího vstupního bodu (Terminal) na Script Editor s odkazem applescript://. Tahoe 26.4 útok ztěžuje, ale pokud uživatel schválí otevření editoru a klikne na Run, infekce může pokračovat.

Jak poznat napadení PC a co dělat

Pokud jste v posledních měsících otevřeli podezřelý instalátor, viděli hlášku o stahování XProtect aktualizace nebo zadali systémové heslo v neobvyklém kontextu, zkontrolujte tyto stopy:

• soubor ~/Library/LaunchAgents/com.google.keystone.agent.plist
• složka ~/Library/Application Support/Google/GoogleUpdate.app (pokud nepoužíváte Chrome nebo jiný produkt Googlu, nemá tam co dělat)
• dočasné soubory /tmp/.c.sh, /tmp/shub_split.sh nebo /tmp/shub_log.zip
• neočekávané změny v kryptopeněženkách Exodus, Atomic Wallet, Ledger Live nebo Trezor Suite

Při podezření na kompromitaci je prioritou přestat Mac používat pro citlivé účty. Z jiného čistého zařízení změňte hesla k e-mailu, Apple ID, bankovnictví a pracovním službám. Odhlaste aktivní relace a zneplatněte API a SSH tokeny. Seed fráze a hesla ke kryptopeněženkám považujte za prozrazené; prostředky převeďte do nové peněženky vytvořené na čistém zařízení. Teprve pak spusťte důkladnou kontrolu bezpečnostním nástrojem a odstraňte nalezené stopy.

Nejde o laboratorní kuriozitu

SHub Reaper není ojedinělý experiment. Jamf Threat Labs v dubnu 2026 zdokumentoval velmi podobný přesun Atomic Stealeru z Terminalu do Script Editoru. Malwarebytes v březnu popsali starší kampaň SHub šířenou přes falešný web CleanMyMac i zcela jiný infostealer Infiniti postavený na Pythonu. Veřejné analýzy zatím nedokládají konkrétní českou distribuční vlnu, ale Reaper aktivně blokuje pouze hosty vyhodnocené jako region SNS; české uživatele ze zásahu nijak nevyjímá. Kampaň není připsaná konkrétní skupině, motivace je ale čitelně finanční: hesla, krypto, dokumenty a trvalý přístup.

Jedna důvěřivá akce, jedno kliknutí na „Run“ a zadání hesla stačí k tomu, aby útočníci získali nejen vaše data, ale i dveře, kterými se mohou vracet.