Tři malwary, jeden útočný řetězec

Označení „nejnebezpečnější“ v případě SocGholish, StealC a Amadey nevychází z žádného formálního žebříčku. Oporu mu dává něco jiného: globální dosah, stovky tisíc obětí a klíčová role všech tří v řetězci, který končil krádeží dat nebo mohl vést k nasazení dalšího malwaru včetně ransomwaru.

Každý z nich plnil jinou funkci:

• SocGholish fungoval jako vstupní brána. Útočníci napadli legitimní weby postavené na WordPressu a podstrčili na ně falešnou výzvu k aktualizaci prohlížeče. Kdo ji stáhl, nevědomky si nainstaloval loader, který otevřel cestu dalšímu malwaru. Jen v rámci této operace policie vyčistila téměř 15 tisíc takto kompromitovaných stránek a odhalila 1,4 milionu uniklých přihlašovacích údajů k WordPress administracím.
• Amadey přebíral štafetu. Šířil se mimo jiné prostřednictvím phishingových kampaní, po spuštění kontaktoval řídicí server a stahoval další škodlivé komponenty, včetně samotného StealC. Fungoval jako univerzální zadní vrátka.
• StealC byl čistý infostealer. Vytahoval uložená hesla z prohlížečů, cookies, data z kryptopeněženek, e-mailových klientů i messengerů. Pořizoval také snímky obrazovky. Oběť přitom většinou nic nepoznala, nizozemská policie výslovně uvádí, že data byla odcizena „nepozorovaně“.

Klíčové zjištění Microsoftu: Amadey a StealC sdílely část stejné serverové infrastruktury. Právě to umožnilo zasáhnout proti oběma současně.

Proč do toho šel Microsoft, a co přesně udělal

Microsoft v této operaci nehrál jen roli technického konzultanta. Firma identifikovala více než 200 škodlivých domén a IP adres spojených s Amadey a StealC, k jejich analýze využila vlastní nástroje včetně AI a soudní cestou získala příkazy k převzetí nebo blokaci části domén. Podle firemního blogu se jí podařilo odpojit pachatele od více než 18 tisíc infikovaných počítačů.

Právní rozměr je podstatný. Microsoft podal civilní žalobu a prostřednictvím soudních příkazů fakticky převzal kontrolu nad částí infrastruktury. Jde o postup, který firma opakovaně používá proti kybernetické kriminalitě. Nejde o policejní pravomoc, ale o soukromoprávní nástroj, který může policejní zásah doplnit a urychlit.

Operace navíc neproběhla jednorázově. 18. června 2026 zveřejnila nizozemská policie samostatnou akci proti SocGholish. O šest dní později, 24. června, následovalo širší oznámení k Amadey a StealC. Proto se v různých zdrojích liší dílčí čísla, přestože celkový rozsah zahrnuje obě fáze dohromady.

Jak velký zásah to vlastně byl

Operace Endgame běží od roku 2024 a každá další vlna je větší než ta předchozí.

V červnové fázi 2026 dominovaly technické zásahy do infrastruktury. Zatčení veřejně oznámena nebyla, na rozdíl od loňské vlny, která přinesla dvacet mezinárodních zatykačů. U SocGholish veřejné materiály spojují část infrastruktury s ruskou skupinou Evil Corp. U Amadey a StealC Microsoft hovoří o oddělených kyberzločineckých skupinách, které sdílely společné zázemí.

Pro srovnání: když v roce 2021 mezinárodní koalice rozbila botnet Emotet, zasáhla přibližně 1,6 milionu infikovaných počítačů. Emotet se šířil hlavně spamovými e-maily s přílohami. Letošní trojice je jiná v tom, že funguje jako specializovaný servisní ekosystém: každý článek řetězce plní jinou roli a některé jeho části jsou poskytovány dalším pachatelům jako služba.

Co udělat hned teď

Hrozba není „navždy pryč“. Microsoft výslovně píše, že sleduje pokusy pachatelů obnovit infrastrukturu. Operace jim zásadně zkomplikovala práci a prodražila případný restart, ale samotný kód malwaru existuje dál.

Praktické kroky pro běžného uživatele:

• Ověřte si e-mail přes policejní nástroj Check your hack, stránka je v angličtině a nizozemštině, stačí zadat e-mailovou adresu.
• Pokud jste kdykoli klikli na falešnou aktualizaci prohlížeče nebo stahovali software z pochybného zdroje, změňte hesla ke všem účtům, které jste na daném zařízení používali. Nejen k jednomu, protože infostealer může ukrást přihlašovací údaje k více službám.
• Zapněte dvoufaktorové ověření všude, kde to jde. Začněte u e-mailu, banky a cloudových služeb.
• Provozujete WordPress? Okamžitě změňte přihlašovací údaje k administraci, smažte neznámé účty, aktualizujte vše a zapněte vícefaktorové přihlášení.

Zda jsou mezi oběťmi i čeští uživatelé, veřejné zdroje operace nepotvrzují ani nevyvracejí. Vzhledem ke globálnímu rozsahu kampaně a tomu, že zasažené weby i koncová zařízení byly po celém světě, to ale nelze vyloučit.

Rozbití infrastruktury tří malwarů neznamená konec infostealerů. Znamená to, že jejich provozovatelé přišli o servery, domény, přístup k obětem a podle údajů zveřejněných v rámci operace i o kryptoměny v hodnotě přes miliardu korun. Příště to budou muset vybudovat znovu a vyšetřovatelé budou sledovat každý pokus.

Jak přesně Gemini pomáhá malwaru

PromptSpy posílá modelu Gemini předem připravený prompt spolu s XML výpisem toho, co je právě na obrazovce telefonu. Gemini na základě těchto dat vrátí JSON instrukce, kam kliknout, co podržet nebo kdy otevřít seznam posledních aplikací. Cílem AI části není přímo krást data. Jejím úkolem je pomoci udržet škodlivou aplikaci aktivní a připnutou v seznamu nedávných aplikací, aby ji systém neukončil a uživatel ji snadno nezavřel.

Tady je zásadní posun oproti některým starším androidovým trojanům. Ty často spoléhaly na pevně zadané souřadnice tlačítek nebo konkrétní texty v rozhraní, takže jejich chování mohlo být omezené na určité modely telefonů nebo verze Androidu. PromptSpy se tomuto omezení snaží vyhnout. Gemini dokáže rozpoznat prvky aktuálního rozhraní a podle nich zvolit další akci, ať jde o jiné rozložení, rozlišení nebo verzi systému. Útočník tak nemusí všechny kroky definovat pouze napevno pro konkrétní zařízení. AI tu funguje jako adaptivní prostředník mezi malwarem a uživatelským rozhraním.

Co všechno malware dokáže a proč „nejde odinstalovat“

Samotné ovládání telefonu zajišťuje především vestavěný VNC modul a zneužití služeb usnadnění přístupu (Accessibility Services). Operátor na druhém konci může vidět obrazovku v reálném čase a provádět klepnutí, gesta i textový vstup, jako by telefon držel v ruce. Kompletní výčet schopností podle ESETu:

• Zachycení PINu nebo hesla zamčené obrazovky
• Nahrání videa z odemykání gestem
• Snímky obrazovky a nahrávání obrazovky na vyžádání
• Seznam všech nainstalovaných aplikací
• Informace o aktuálně spuštěné aplikaci
• Sběr dat o zařízení

Oprávnění Accessibility je klíčové. Podle oficiální dokumentace Androidu umožňuje službám usnadnění přístupu číst obsah obrazovky a provádět programová gesta, která mohou napodobovat interakci uživatele. Pro malware jde o velmi silnou kombinaci: může získat přehled o tom, co se na obrazovce děje, a zároveň s ní do určité míry interagovat.

A proč nejde PromptSpy běžně odinstalovat? Při pokusu o odstranění nebo vypnutí Accessibility překryje konkrétní tlačítka neviditelnými obdélníky. Reaguje na oblasti s texty jako „stop“, „end“, „clear“ nebo „Uninstall“. Uživatel tlačítko vidí, ale klepnutí zachytí překryvná vrstva. Podle ESETu je v takové situaci možné telefon restartovat do nouzového režimu a odtud škodlivou aplikaci odinstalovat.

Jak se PromptSpy šíří a koho ohrožuje

Do telefonu se PromptSpy nedostane prostřednictvím Google Play. ESET popsal konkrétní řetězec: web mgardownload[.]com šířil dropper, po jehož spuštění se otevřela stránka m-mgarg[.]com napodobující prostředí Chase/JPMorgan. Dropper pak vyzval uživatele k instalaci „aktualizace“, která byla ve skutečnosti samotný PromptSpy. Oběť musí instalaci dokončit ručně a následně povolit Accessibility. Bez tohoto oprávnění malware nemůže využít všechny popsané funkce.

ESET k 19. únoru 2026 PromptSpy nezachytil ve vlastní telemetrii a připouští, že může jít o proof of concept. Kampaň podle jazykových a distribučních stop primárně mířila na Argentinu, přičemž stopy vývoje podle ESETu s určitou mírou jistoty vedou do čínsky mluvícího prostředí. Tři vzorky předchůdce VNCSpy se na VirusTotal objevily 13. ledna 2026 z Hongkongu, čtyři pokročilejší vzorky pak 10. února z Argentiny.

Podle nás je ale důležitější než aktuální počet obětí samotný precedens. Technika je funkční a podle popisu ESETu také potenciálně replikovatelná. Známé verze PromptSpy už blokuje Google Play Protect, který kontroluje i aplikace instalované mimo oficiální obchod.

Český kontext: podobné útoky tu už byly

PromptSpy sám o sobě na Česko necílí. Princip falešných bankovních aplikací a phishingových domén je ale v českém prostředí dobře známý. ESET v srpnu 2024 popsal PWA a WebAPK kampaně mířící na klienty českých bank, které fungovaly od listopadu 2023. Ve stejném měsíci zveřejnil analýzu malwaru NGate, který podle ESETu cílil na klienty tří českých bank a dokázal prostřednictvím NFC přenášet data platebních karet. NÚKIB ve své měsíční zprávě za srpen 2024 NGate označil za hrozbu zacílenou na české občany.

Konkrétní veřejné varování NÚKIB přímo k PromptSpy se nám v otevřených materiálech nepodařilo dohledat. Úřad ale obecně doporučuje stahovat aplikace z důvěryhodných zdrojů a věnovat pozornost oprávněním, která aplikace požadují. Právě žádost o Accessibility od bankovní nebo „aktualizační“ aplikace by měla být jasným varovným signálem.

Co dělat, když máte podezření na nákazu

Pokud v telefonu vidíte neznámou aplikaci MorganArg, zaznamenáte samovolné akce na displeji nebo vám nefunguje tlačítko odinstalace, jednejte rychle. Pokud je to možné, zapněte režim Letadlo, abyste přerušili síťové spojení a ztížili útočníkovi vzdálené ovládání. Pak telefon restartujte do nouzového režimu, typicky podržením tlačítka napájení, dlouhým stiskem možnosti „Vypnout“ a potvrzením restartu do Safe Mode. Přesný postup se liší podle výrobce. V nouzovém režimu přejděte do Nastavení → Aplikace, najděte podezřelou aplikaci a odinstalujte ji. Po restartu zkontrolujte, že máte zapnutý Google Play Protect.

PromptSpy zatím není masová epidemie. Je to ale názorná ukázka toho, jak může generativní AI posunout schopnosti androidového malwaru a usnadnit mu orientaci v uživatelském rozhraní. Je to také další důvod, proč každá žádost o Accessibility od aplikace stažené mimo Google Play zaslouží zdravou dávku nedůvěry.

Jak přežije vlastní smazání

Celý trik stojí na zneužití vývojářských nástrojů Androidu. RatHat nejdřív prostřednictvím služby Accessibility (tu, kterou legitimně používají například čtečky obrazovky) sám otevře Developer options, zapne Wireless Debugging a přečte párovací kód. Bez kabelu a bez počítače. Spáruje se s lokálním ADB (Android Debug Bridge), což je standardní vývojářské rozhraní, které normálně slouží programátorům k testování aplikací. Jenže s přístupem k ADB získá oprávnění na úrovni shellu, tedy práva, jaká běžná aplikace nemá.

V tu chvíli nasadí dvě pomocné komponenty napsané v jazyce Go. První, pojmenovaná local-service, se usadí v adresáři /data/local/tmp, mimo běžný systém správy aplikací. Druhá je reverzní proxy tunel postavený na open-source nástroji frp, který vystaví telefon jako vzdáleně ovladatelný endpoint přes internet, i když je za NATem nebo firewallem.

Když se uživatel pokusí RatHat odinstalovat, malware to sleduje a podstrčí falešné chybové okno stylizované jako Google Play. Cíl je jediný: odinstalaci zmařit. Pokud se uživatel nenechá zmást a aplikaci přesto smaže, local-service zjistí, že hlavní balíček zmizel, a provede příkaz pm install -r -g, který ho znovu nainstaluje. Následně prostřednictvím systémového příkazu settings put secure znovu zapne Accessibility, bez další interakce uživatele. Malware je zpět.

Umělá inteligence jako navigátor

RatHat nepoužívá AI k psaní phishingových zpráv ani ke generování kódu. Používá ji k něčemu praktičtějšímu: k ovládání telefonu v reálném čase. Malware serializuje aktuální strom rozhraní, tedy XML popis toho, co je právě na obrazovce, a pošle ho jednomu z populárních generativních AI asistentů. Který konkrétně, Zimperium nezveřejnilo.

Od AI dostává tři typy instrukcí: souřadnice prvku, na který má kliknout, skutečný text prvku na obrazovce a navigační pokyny typu „SCROLL_DOWN“. Výhoda je zásadní. Starší bankovní trojany pracovaly s pevně naprogramovanými sekvencemi a rozbily se, jakmile výrobce telefonu změnil rozložení menu nebo banka aktualizovala aplikaci. RatHat se dokáže přizpůsobit. ESET už v únoru 2026 popsala u malwaru PromptSpy, že generativní AI zvyšuje kompatibilitu škodlivého kódu napříč zařízeními. RatHat tento princip posouvá dál: AI nepoužívá jednorázově, ale průběžně, jako živého navigátora.

Praktický dopad? Útočník může vzdáleně procházet bankovní aplikací oběti, potvrzovat převody, číst notifikace s jednorázovými kódy a extrahovat data z formulářů, a to na telefonu, který nikdy fyzicky nedržel v ruce.

Co všechno RatHat krade

Seznam je delší, než by člověk čekal od „dalšího Android trojanu“:

• Hesla a přihlašovací údaje z bankovních i jiných aplikací
• SMS zprávy včetně ověřovacích kódů
• OTP/2FA kódy z notifikací
• PINy a odemykací vzory – Go agent čte surové dotykové události přes getevent a z rozložení klávesnice nebo mřížky gest rekonstruuje zadaný PIN nebo nakreslený vzor
• Obsah formulářů a URL z adresních řádků prohlížečů
• Inventář nainstalovaných aplikací

Zvlášť znepokojivé je čtení hardwarových vstupů. Nejde o zachytávání textu na obrazovce, ale o přímý přístup k dotykovým souřadnicím, tedy k tomu, kam přesně uživatel prstem sáhl. To je úroveň přístupu, kterou běžná aplikace z Google Play nemá.

Jak se RatHat šíří a co to znamená pro Česko

Podle dostupné analýzy se RatHat šíří mimo Google Play. Primárním vektorem je cílený smishing, tedy podvodná SMS s odkazem na stažení APK souboru. Zimperium zmiňuje i malvertising a falešné download portály. Aplikace se může tvářit jako známá streamovací služba nebo se v launcheru přejmenovat na „Chrome“. Po instalaci je oběť dotlačena k povolení Accessibility, někdy pod záminkou „síťových omezení“ nebo finanční pobídky.

Google pro BleepingComputer uvedl, že u známých verzí RatHat neeviduje žádnou aplikaci na Google Play a že Play Protect tyto vzorky dokáže detekovat. Zároveň Android v roce 2026 přidává nové pojistky, například restricted settings pro citlivé funkce a 24hodinovou čekací dobu pro instalaci aplikací od neověřených vývojářů. RatHat ale útočí i proti těmto novějším ochranám a spoléhá na to, že oběť pod tlakem podvodné zprávy některé pojistky sama obejde.

Konkrétní česká kampaň RatHat zatím zdokumentovaná není a Zimperium nezveřejnila seznam zasažených zemí. Forma útoku ale odpovídá podvodným SMS scénářům, před kterými v roce 2026 varuje Policie ČR, od falešných zpráv imitujících banky přes fingované pokuty až po podvržené doručovací služby. Česká lokalizace je technicky realistická, byť dosud neprokázaná.

Jak se bránit a co dělat při nákaze

Rozpoznat RatHat není snadné, ale existuje řetězec příznaků, které by měly spustit alarm:

• Aplikace stažená z odkazu v SMS nebo reklamě, ne z Google Play
• Neočekávaná žádost o povolení Accessibility nebo restricted settings
• Zapnuté Developer options nebo Wireless Debugging, aniž byste je sami aktivovali
• Neznámé spárované zařízení v nastavení ADB
• Falešná chybová hláška při pokusu o odinstalaci
• Aplikace, která se po smazání vrátí

Pokud máte podezření na nákazu, běžná odinstalace nestačí. Malwarebytes výslovně doporučuje tovární reset. Před ním má smysl v Developer options vypnout Wireless Debugging a zrušit všechna ADB párování, čímž útočník přijde o aktivní vzdálený kanál. Definitivní vyčištění ale podle dostupných zdrojů zajistí až kompletní obnova zařízení do továrního nastavení.

RatHat není první Android malware, který zneužívá Accessibility nebo Wireless Debugging; podobný přístup ukázala už ToxicPanda 2.0 dříve v roce 2026. Unikátní je ale kombinace AI navigace, persistence mimo životní cyklus aplikace, hardwarového čtení dotyků a několika vrstev antianalytických technik v jednom balíčku. Nejlepší obrana zůstává ta nejstarší: nestahovat aplikace z odkazů v SMS, ať slibují cokoli.

Jak se útok dostane do telefonu

Řetězec infekce začíná klasickým sociálním inženýrstvím. Oběť dostane odkaz přes SMS, messenger nebo sociální síť. Stránka se tváří jako web aerolinky, daňového úřadu nebo vládní služby a nabízí ke stažení APK soubor, tedy aplikaci mimo oficiální obchod Google Play. Po instalaci falešná aplikace požádá o několik nebezpečných oprávnění:

• Přístupnost (Accessibility) – umožní trojanu číst obsah obrazovky, ťukat a psát za uživatele.
• Překryvné vrstvy (Overlay) – dovolí zobrazit falešné přihlašovací okno přes skutečnou bankovní aplikaci.
• Výjimka z úspory baterie – pomáhá zajistit, aby systém trojan neomezoval na pozadí.

Jakmile uživatel Přístupnost povolí, získá operátor výrazně větší možnost telefon na dálku ovládat. Může prostřednictvím této funkce simulovat dotyky a psaní, zatímco překryvné vrstvy slouží například ke krádeži přihlašovacích údajů. Group-IB popisuje udělení Přístupnosti jako zásadní okamžik, od kterého může útočník zařízení výrazně ovládat.

Proč je pracovní profil tak nebezpečný trik

Běžný bankovní trojan krade přihlašovací údaje a provádí podvodné transakce ve stejném profilu, kde běží i bezpečnostní software. Bankovní aplikace i další bezpečnostní mechanismy tak mohou korelovat podezřelé chování: neznámá aplikace s Přístupností plus bankovní přihlášení ve stejném prostoru může vyvolat bezpečnostní kontrolu.

Gigabud s Vwork tuhle logiku rozbíjí. Po prvotní infekci v osobním profilu Vwork založí pracovní profil, naklonuje do něj cílovou bankovní aplikaci a operátor přesune transakční fázi útoku tam. Z pohledu bankovní aplikace může být problematické, že její bezpečnostní kontrola nevidí aplikace a aktivitu z druhého profilu. Z pohledu antiviru v osobním profilu se v pracovním prostoru nic podezřelého nemusí zobrazit, protože oba kontejnery jsou od sebe systémově oddělené.

Během samotné transakce navíc operátor může ztmavit obrazovku telefonu. Oběť vidí černý displej, zatímco na pozadí může prostřednictvím Přístupnosti probíhat ovládání zařízení a pokus o převod peněz.

Čísla z praxe ukazují, že nejde jen o laboratorní teorii. Jen v Indonésii Group-IB mezi únorem a červencem 2026 zaznamenala přibližně 1 469 kompromitovaných zařízení, 1 281 potenciálně kompromitovaných přihlášení a odhadovanou škodu kolem 960 tisíc dolarů, tedy přibližně 23 milionů korun. Group-IB zároveň upozorňuje, že jde o aktivitu, kterou sama pozorovala, nikoli o kompletní statistiku všech případů v zemi.

Koho se to týká, a koho zatím ne

Veřejně potvrzené nasazení varianty Gigabudu s Vwork je zatím zdokumentováno v Indonésii. Group-IB ale našla vzorky Gigabudu připravené pro spolupráci s Vwork, které cílily na Brazílii, Kolumbii, Egypt, Indonésii, Laos, Mexiko, Maroko, Filipíny, Thajsko, Turecko a jeden nejmenovaný stát Perského zálivu. Samotná existence těchto vzorků ale neznamená, že tam byly potvrzeny infekce nebo že se tam Vwork skutečně použil.

České banky ani české phishingové domény v dostupné dokumentaci nefigurují. To ale neznamená, že se technika nemůže přenést. Distribuce přes SMS, messengery a sociální sítě funguje jazykově nezávisle, stačí přeložit phishingovou stránku a upravit malware pro cílové bankovní aplikace. Technika je zdokumentovaná a pracovní profil je legitimní součástí Androidu, takže podobný model může být použit i v dalších kampaních.

Jak útok odhalit a co dělat

Nejčasnější varovný signál může být samotný vznik pracovního profilu na telefonu, který si uživatel ani jeho zaměstnavatel vědomě nenastavil. Konkrétní kontrolní body:

• V Nastavení → Účty nebo v části věnované účtům a profilům hledejte položku „Pracovní profil“ nebo „Work Profile“.
• V seznamu aplikací si všímejte duplicitní bankovní aplikace s malou ikonou aktovky.
• V Nastavení → Přístupnost zkontrolujte, zda nemá aktivní oprávnění neznámá aplikace.
• Vwork schová svou ikonu z launcheru, ale podle Group-IB může být dohledatelný ve správci souborů jako poskytovatel dokumentů.

Samotný pracovní profil ještě nemusí znamenat napadení, může jít o legitimní firemní nasazení. Ale druhá instance bankovní aplikace v pracovním profilu, kterou jste si sami nevytvořili, je důvod k okamžité kontrole telefonu.

Pokud jste nedávno instalovali APK z neoficiálního zdroje a povolili mu Přístupnost, Malwarebytes doporučuje kontaktovat banku přes ověřený kanál, odebrat podezřelé aplikaci oprávnění Přístupnosti, odinstalovat ji a spustit kontrolu přes Google Play Protect. V případě podezření na kompromitaci je vhodné zvážit také tovární reset. Případnou podezřelou transakci co nejdříve reklamujte u banky. Pravidla pro vrácení prostředků se liší podle okolností a toho, zda šlo o skutečně neautorizovanou transakci, proto není možné automaticky slíbit její proplacení. V Česku se lze obrátit i na finančního arbitra nebo ČNB.

Antivirus nestačí, klíčová je prevence oprávnění

Nejúčinnější obrana neleží jen v antiviru, ale také v tom, co uživatel neudělá. Neinstalovat APK mimo Google Play. Nepovolovat Přístupnost aplikaci, která ji zjevně nepotřebuje. Mít zapnutý Play Protect. Aktualizovat systém i bankovní aplikaci. A pro bankovnictví preferovat další faktor ověření, který není navázaný jen na SMS. Stejná doporučení uvádí i Group-IB.

Gigabud s Vwork ukazuje posun, který stojí za pozornost: útočníci už se nesnaží obejít jen samotnou bankovní aplikaci, ale také způsob, jakým bezpečnostní mechanismy vyhodnocují dění v telefonu. Oddělený profil, který měl chránit firemní data před osobními, se v tomto případě stává prostředím, které může útočník využít k oddělení podvodné aktivity od malwaru v hlavním profilu.

Co se stihne za 13 minut hovoru

V případu, který Group-IB detailně analyzovala, se celý podvod odehrál během jediného telefonátu. Volající se představil jako pracovník banky a oznámil problém s kartou. Vytvořil pocit akutního ohrožení, typicky legendou o podezřelé transakci nebo nutnosti provést bezpečnostní kontrolu.

Pak přišel první klíčový krok: odkaz na „bezpečnostní“ aplikaci ke stažení. Ne z Google Play, ale z externího zdroje. Oběť ji nainstalovala ručně. Jenže tato první aplikace nebyla samotný malware WindRelay. Šlo o SpyNote, nástroj pro vzdálené ovládání telefonu. Přes něj útočník následně do telefonu nainstaloval druhou aplikaci, samotný WindRelay, aniž oběť musela provést další instalaci.

Během téhož hovoru pachatel přes vzdálený přístup sjednal na jméno oběti půjčku v její mobilní bankovní aplikaci. A pak přišel finální úder: pokyn přiložit platební kartu k telefonu a zadat PIN „kvůli ověření“. V tu chvíli se telefon stal falešnou NFC čtečkou. Karta odpovídala na příkazy, WindRelay je v reálném čase odesílal útočníkovi a ten následně použil relayed komunikaci k platbě na skutečném terminálu. Třináct minut. Půjčka, karetní transakce, hotovo.

Jak relay funguje a proč terminál nic nepozná

Na technické úrovni jde o přeposílání takzvané APDU komunikace, tedy standardizovaných příkazů a odpovědí, kterými si čtečka a čip karty vyměňují data. Na straně oběti telefon s WindRelay funguje jako falešná čtečka: komunikuje s kartou a získaná data v reálném čase přeposílá přes internet útočníkovi. Na jeho straně druhý Android využívá technologii Host Card Emulation a vůči skutečnému terminálu se prezentuje jako karta.

Terminál posílá příkazy, ty putují přes internet ke kartě oběti, karta odpovídá a odpovědi se vracejí zpět. Terminál tedy nedostává statickou kopii karty, ale pokračující komunikaci s reálným čipem. Díky tomu může transakce proběhnout, přestože je mezi kartou a terminálem vložený vzdálený prostředník. Neznamená to však, že by byl takový útok z principu nedetekovatelný; relay komunikace může mít například specifické časové charakteristiky. V popsaném případě ale tento mechanismus útočníkům fungoval.

A vzdálenost? Group-IB u příbuzného ekosystému Ghost Tap dokumentuje scénář, kdy byla karta oběti v Thajsku a použita v Německu. U jednoho POS prodejce výzkumníci za období od listopadu 2024 do srpna 2025 identifikovali nejméně 355 tisíc dolarů v potvrzených podvodných transakcích.

České banky varují, i když WindRelay nejmenují

WindRelay není laboratorní kuriozita z bezpečnostní konference. CSIRT.CZ uvádí, že mezi listopadem 2025 a červencem 2026 bylo zaznamenáno 23 vzorků WindRelay vydávajících se za finanční instituce mimo jiné v Česku a na Slovensku. Group-IB zároveň uvádí, že tyto vzorky cílily také na oběti v Česku, na Slovensku a ve Slovinsku.

České banky přitom před podobným scénářem varují, byť často bez použití názvu WindRelay:

• Česká spořitelna popsala podvod s falešnou aplikací, přiložením karty a zadáním PINu.
• Komerční banka varuje před „falešnou bankovní aplikací“ a tlakem po telefonu.
• MONETA popisuje podobný NFC mechanismus v kampani, kterou označuje jako „červí díru“.

Nejde přitom o první vlnu. Už v roce 2024 ESET veřejně popsal malware NGate, Android malware využívaný v praxi k relay útokům na NFC data, tehdy mimo jiné při útocích na klienty českých bank. NGate využíval open-source nástroj NFCGate. Po zadržení podezřelého v Praze v březnu 2024 tehdejší vlna útoků podle zveřejněných informací utichla.

WindRelay jde dál v kombinaci jednotlivých technik: vlastní NFC relay doplňuje plnohodnotným vzdáleným ovládáním telefonu přes SpyNote RAT. Útočník tak může současně ovládat bankovní aplikaci a instalovat další malware, zatímco NFC část útoku zajišťuje přeposílání komunikace s kartou.

Jak podvod rozpoznat a co dělat, když už se stal

Rozpoznatelné signály existují a jsou poměrně konkrétní. Varovné příznaky, které by měly zastavit každý hovor:

• Volající se představuje jako banka, policie nebo ČNB a vytváří časový tlak.
• Posílá odkaz na aplikaci ke stažení mimo Google Play.
• Žádá přiložení platební karty k telefonu.
• Požaduje zadání PINu „kvůli ověření“ nebo „změně“.

Banka ani jiná legitimní instituce po telefonu nebude požadovat instalaci neznámé aplikace z odkazu ani zadání PINu k platební kartě. Pokud vám někdo takový postup nařizuje, hovor ukončete a banku kontaktujte sami prostřednictvím oficiálního čísla.

Pokud jste aplikaci nainstalovali nebo kartu k telefonu přiložili, prioritou číslo jedna je okamžitě zablokovat kartu a volat bance. Pak zablokovat přístup do mobilního bankovnictví a zkontrolovat účty. Podezřelé aplikace odinstalovat, zapnout Google Play Protect a provést kontrolu. Pokud přetrvávají známky kompromitace, může být nutný tovární reset telefonu. Hesla měňte z jiného, čistého zařízení.

Vrátí banka peníze?

Tohle je otázka, na kterou neexistuje jednoznačná odpověď. Zákon o platebním styku počítá s nápravou neautorizovaných platebních transakcí, zároveň ale upravuje situace, kdy klient může nést ztrátu v důsledku podvodu nebo úmyslného či hrubě nedbalého porušení svých povinností. Právě tady může vzniknout spor: banka bude posuzovat okolnosti konkrétního případu, včetně toho, jak klient s údaji a zabezpečovacími prvky nakládal a zda jeho jednání dosáhlo intenzity hrubé nedbalosti.

Praktický postup je jasný: okamžitá reklamace u banky s detailním popisem časové osy hovoru. Při zamítnutí reklamace lze postup dále řešit, mimo jiné prostřednictvím finančního arbitra, pokud případ spadá do jeho působnosti. ČNB doporučuje nejprve vyřídit stížnost přímo s finanční institucí.

Fyzická přítomnost karty v peněžence už sama o sobě neznamená, že je před podobným útokem zcela chráněná. Základní obranou zůstává jednoduché pravidlo: během telefonátu neinstalovat aplikaci z odkazu a nikdy nepřikládat kartu k telefonu na pokyn cizí osoby. Ani kdyby se představila jako vaše banka.

Jak útok funguje krok za krokem

Infekční řetězec začíná u aplikace TWCore, která v ekosystému DoFun slouží jako systémový updater. Řidič ji nikdy nevidí, protože nemá uživatelské rozhraní. Právě proto je tak nebezpečná: útočníci ji zneužili jako vstupní bránu.

Prvním krokem je dropper JarService (balík com.tw.jar1), který se tváří jako systémová služba. Druhým krokem je loader, který připraví prostředí pro hlavní zátěž. Třetí fáze je nejzávažnější: modul zhima promění palubní jednotku v rezidenční proxy uzel. Prakticky to znamená, že internetový provoz cizích lidí proudí přes datové připojení auta. Podle analýzy Kaspersky třetí fáze kontaktuje řídicí server každých 90 minut a umí přijímat devět různých příkazů, od otevírání webových stránek přes odesílání požadavků až po stahování dalších modulů.

Zásadní odlišnost od běžného malwaru na telefonu: tady nečeká nikdo na kliknutí uživatele. Škodlivý kód přišel přes legitimní aktualizační kanál zabudovaný přímo ve firmwaru. Jde tedy spíš o zneužití dodavatelského řetězce než o klasický phishing.

Kdo za tím stojí a co z toho má

Kaspersky našel vazby na skupinu MoYu a proxy sítě PXYEDGE a ProxyForU. Bezpečnostní firma HUMAN Security už dříve popsala, že MoYu prodává přístup do rezidenčních proxy sítí přes službu IpMoYu. Kupci takové sítě pak využívají ke konkrétním podvodům:

• Převzetí cizích účtů
• Zakládání falešných účtů pro spam a manipulaci
• Automatizovaný skupování limitovaného zboží
• Hromadné stahování dat z webů
• Reklamní podvody generující peníze z falešných zobrazení

Obchodní model je prostý: čím víc zařízení v botnetu, tím víc proxy uzlů na prodej. A palubní jednotky, které bývají online celé hodiny denně a mají stabilní datové připojení, jsou pro tento účel ideální.

Týká se to i českých řidičů?

Přímý seznam zasažených aut, značek nebo VIN kódů neexistuje. DoFun ale není výrobce, jehož jméno byste našli na krabici, je to white-label dodavatel. Poskytuje cloud, obchod s aplikacemi, aktualizační službu i mobilní aplikaci CarMate a podporuje celou řadu hardwarových platforem (T5, T7, TS7, TS9, TS10, TS18). Nabízí dokonce možnost, aby si prodejce autorádio označil vlastní značkou. Řidič kupuje „Android autorádio pro Octavii“ a vůbec netuší, že pod kapotou běží software od DoFun.

A právě takové dodatečně montované androidové jednotky se v Česku běžně prodávají. Na tuzemských e-shopech najdete aftermarket autorádia s Androidem, Wi-Fi, GPS a CAN-BUS pro vozy jako Volkswagen Passat B8, Škoda Octavia 2 nebo Škoda Yeti. Zda konkrétní kus obsahuje firmware DoFun, bez nahlédnutí do systémového menu nezjistíte. Veřejné potvrzení českých infekcí chybí, ale typ zařízení, na který útok cílí, se u nás prodává zcela běžně.

Jak zjistit, jestli máte DoFun, a co s tím

Pokud máte aftermarket androidovou palubní jednotku a chcete vědět, jestli běží na softwaru od DoFun, existuje konkrétní cesta. Podle návodu z oficiální komunity CarMate otevřete v menu palubní jednotky 360° Safety → Settings → General setting → software. Tam by měl být údaj o výrobci softwaru. U platforem TS10 a TS18 je postup ověřený, u jiných jednotek může být potřeba hledat v obecném systémovém info nebo se zeptat prodejce.

Příznaky napadení, které může zaregistrovat i laik:

• Infotainment je výrazně pomalejší než dřív
• Systém padá nebo je nestabilní
• Internetové připojení v autě je znatelně pomalejší
• Objevuje se nevyžádaná reklama
• Neobvykle vysoká spotřeba mobilních dat

Kaspersky v tiskové zprávě uvádí, že DoFun po nahlášení problém opravil. Konkrétní číslo opravené verze firmwaru ani veřejný návod k instalaci záplaty ale dodavatel nevydal. Praktické minimum: připojte palubní jednotku k internetu, spusťte kontrolu systémových aktualizací a nechte si od prodejce nebo servisu potvrdit, že máte build s opravou. A pokud jednotku nepotřebujete online, nenechávejte ji trvale připojenou k síti.

Infotainment ano, brzdy ne, ale klid na duši to není

Důležité upřesnění: ve zveřejněné analýze není jediný doklad o tom, že by útočníci převzali řízení, brzdy nebo pohon vozidla. Veškerá popsaná aktivita se odehrává v doméně infotainmentu: sběr identifikátorů zařízení, webové příkazy, reklamní podvody a proxy provoz. To ale neznamená, že jde o banalitu. Kompromitovaná palubní jednotka s přístupem k internetu a potenciálně i k některým komfortním funkcím auta přes CAN-BUS je bezpečnostní problém, který si žádný řidič nepřeje ignorovat.

Kaspersky malware zachytil při monitoringu v červnu 2026, indicie v kódu ukazují minimálně na 8. červen jako datum distribuce. Celá kauza odhaluje zranitelnost, o které většina řidičů neměla tušení: to, co vypadá jako obyčejné autorádio s navigací, může být součástí globální infrastruktury kybernetického podsvětí.

Sedm jmen, jedna metoda

Indická vládní jednotka pro analýzu kybernetických hrozeb (NCTAU), spadající pod ministerstvo vnitra, identifikovala podle varování citovaného agenturou Reuters sedm konkrétních názvů: Night Play, Reloop, Kyss, Vimo, Rivo, Nexo a Vixa. Žádná z nich nikdy nebyla v Google Play. Všechny se šířily jako APK soubory stahované z externích webů. Reuters doložil i konkrétní instalační soubor „Movexa.apk“ jako jednu z návnad.

Nejde o klasický phishing, kde útočník vyláká heslo na falešné přihlašovací stránce. Tady je situace horší. Po udělení oprávnění k přístupnosti se z telefonu stává nástroj proti vlastnímu majiteli. Podle oficiální dokumentace Androidu může služba přístupnosti číst stav obrazovky a při příslušné deklaraci i odesílat gesta, tedy klikat, posouvat obsah a potvrzovat platby. Útočník nepotřebuje vaše heslo. Potřebuje jen to, abyste jednou klepli na „Povolit“.

Proč Facebook reklamy nezastaví včas

Meta tvrdí, že podvodné reklamy maže ve velkém. Jen za rok 2025 podle vlastních údajů odstranila přes 159 milionů podvodných reklam a 10,9 milionu účtů napojených na podvodná centra. Má dokonce speciální pravidla právě pro sexualizované aplikace a odkazy vedoucí mimo platformu.

Realita ale vypadá jinak. Reuters po vydání indického varování dohledal nejméně 39 stále aktivních reklam propagujících tyto škodlivé aplikace. Zmizely až poté, co se na ně agentura přímo zeptala. Útočníci kontroly obcházejí rychlostí, maskováním obsahu reklam a zakládáním nových účtů a domén. Systém je hra na kočku a myš a myš má náskok.

V Česku to není žádná novinka

Konkrétní názvy Night Play nebo Kyss zatím nejsou veřejně doložené na českém Facebooku. Samotný typ útoku ale český prostor zná důvěrně. Už v roce 2018 NÚKIB varoval před aplikací QRecorder, která cílila přímo na klienty českých bank, snímala přihlašovací údaje a četla SMS s ověřovacími kódy. V roce 2024 pak NÚKIB popsal kampaň NGate zaměřenou na české občany, která kombinovala phishing s krádeží NFC dat z platebních karet.

NÚKIB dlouhodobě doporučuje stahovat aplikace výhradně z autorizovaných obchodů a pečlivě kontrolovat požadovaná oprávnění. Podle nás je právě tohle klíčový bod celého problému: největší bezpečnostní brzdou není antivirus ani heslo, ale rozhodnutí nestahovat nic mimo Google Play. Jakmile uživatel tuto hranici překročí, padají všechny záchranné sítě najednou.

Co dělat, když máte podezření

Příznaky napadeného telefonu jsou poměrně čitelné: neznámá aplikace, kterou jste neinstalovali z obchodu, nečekaná vyskakovací okna nebo překryvy na obrazovce, výrazné zpomalení, podivné chování bankovní aplikace nebo notifikace o transakcích, které jste neiniciovali. Google mezi varovné signály řadí i náhlý úbytek volného místa v úložišti.

Pokud něco z toho pozorujete:

• Okamžitě přepněte telefon do režimu letadlo, odříznete tak malwaru komunikaci se serverem útočníka.
• Zkontrolujte seznam aplikací a odeberte vše, co nepoznáváte. Pokud to nejde, restartujte telefon do bezpečného režimu (Safe Mode), na Pixelu při startu držte tlačítko snížení hlasitosti, na Samsungu podržte volbu „Vypnout“ a zvolte Safe Mode.
• Ověřte, že máte zapnutý Google Play Protect, ve výchozím stavu je aktivní a dokáže blokovat neověřené aplikace s citlivými oprávněními.
• Z jiného zařízení změňte hesla k bankovnictví a dalším citlivým službám.

Pokud už peníze zmizely, Policie ČR doporučuje jasné pořadí: nejprve kontaktovat banku a požádat o zablokování účtu či reklamaci transakce, uchovat výpisy a snímky obrazovky a teprve poté podat oznámení na policii. Vlastní pátrání po pachateli nedoporučuje, může zničit digitální stopy a zkomplikovat vyšetřování.

Celý útok stojí na jediném momentu: uživatel klikne na reklamu, stáhne soubor a povolí oprávnění. Tři klepnutí, která z jeho telefonu udělají bankomat pro někoho jiného.

Jak útok funguje krok za krokem

Celý řetězec začíná nevinně vypadajícím bannerem v sociálním feedu. Reklama slibuje bezplatné sledování filmů nebo TV pořadů a odkazuje na web, který vypadá jako legitimní streamovací služba. Tady se ale příběh láme.

Web nejprve ověří, zda návštěvník používá Android. Pokud ano, zjistí, odkud přišel (z Instagramu, TikToku, Facebooku nebo běžného prohlížeče) a podle toho zobrazí přizpůsobené instrukce. Výchozí varianta pro Chrome obsahovala šest kroků, které uživatele provedly povolením instalace z neznámých zdrojů a stažením APK souboru. Kdo tyto kroky dokončil, nainstaloval si StreamRat.

Po spuštění aplikace požádá o klíčová oprávnění:

• Služba přístupnosti (Accessibility Service) – umožňuje malwaru sledovat, co se na obrazovce děje, sbírat zadávaný text a simulovat dotyky
• Sdílení obrazovky (MediaProjection) – útočník vidí obrazovku telefonu v reálném čase, případně malware pořizuje snímky obrazovky přibližně každých 200 milisekund
• VPN – dropper dočasně vytvoří nefunkční VPN připojení, které odpojí ostatní aplikace od internetu, pravděpodobně aby zablokoval cloudové bezpečnostní kontroly během instalace

Jakmile oběť tato oprávnění udělí, StreamRat odešle útočníkovi seznam nainstalovaných aplikací, sleduje, která je právě v popředí, a čeká. Ve chvíli, kdy uživatel otevře bankovní aplikaci, malware nasadí interaktivní překryv, tedy falešnou přihlašovací obrazovku, do které oběť zadá své údaje. Ty okamžitě putují k útočníkovi. Současně StreamRat podporuje vzdálené ovládání telefonu, takže útočník může provádět operace přímo v zařízení.

Proč je tento podvod nebezpečnější než běžný phishing

Na SMS phishing si většina lidí postupně zvykla. Zpráva od neznámého čísla s podezřelým odkazem vzbudí ostražitost. StreamRat ale přišel jinou cestou, přes placenou reklamu v prostředí, kterému uživatelé důvěřují. Facebook, Instagram, TikTok. Místa, kde lidé denně scrollují a klikají na obsah.

Meta deklaruje manuální kontrolu reklam a zákaz šíření malwaru. TikTok uvádí, že prověřuje kreativu, cílovou stránku i cílení. Problém je, že samotné bannery vypadaly jako běžná nabídka streamovací služby. Škodlivá část se rozvinula až po prokliku, a to selektivně: web servíroval škodlivý obsah jen na Androidu a přizpůsoboval instrukce podle zdroje příchodu. Standardní kontrola kreativy a cílové stránky tento vícevrstvý útok po prokliku nemusela zachytit.

Podle Malwarebytes, který kampaň popsal 3. září 2026, je to přesně příklad situace, kdy formální existence kontrolních procesů nestačí. ThreatFabric navíc spojuje distribuci StreamRatu s aktérem, který dříve šířil malwarové rodiny GodFather a Mirax. Nejde o náhodný jednorázový podvod, ale o součást dlouhodobého malwarového ekosystému.

Co to znamená pro české uživatele

Zdokumentovaná kampaň cílila primárně na španělsky mluvící uživatele ve Španělsku. Česká vlna zatím doložena není. To ale neznamená klid, stejná taktika je snadno přenositelná. Stačí lokalizovat banner a cílovou stránku.

NÚKIB opakovaně varuje před stahováním náhle populárních aplikací a před instalací mimo oficiální obchody. České banky, Česká spořitelna i Komerční banka, ve svých bezpečnostních návodech shodně radí totéž: nestahovat aplikace z neznámých zdrojů a v případě podezření okamžitě kontaktovat banku.

Pro srovnání: v českém prostředí se v minulosti objevil malware NGate, který cílil na klienty českých bank prostřednictvím NFC relé útoku při výběrech z bankomatů. StreamRat je jiný typ hrozby, míří na kompletní převzetí telefonu a přihlašovacích údajů, ale oba případy ukazují, že malware pro Android zaměřený na bankovnictví není abstraktní zahraniční problém.

Co dělat, když jste si podobnou aplikaci nainstalovali

Důležité upřesnění: pouhé zobrazení reklamy nestačí k infekci. Útok vyžaduje několik aktivních kroků: proklik, stažení APK, povolení instalace z neznámých zdrojů a udělení oprávnění. Pokud jste ale těmito kroky prošli, jednejte okamžitě:

• Spusťte kontrolu přes Google Play Protect
• Podezřelou aplikaci odinstalujte a zkontrolujte, jaká oprávnění jí byla udělena
• Změňte hesla k bankovnictví i dalším důležitým službám
• Kontaktujte banku a požádejte o kontrolu nebo dočasnou blokaci přístupu
• Pokud se aplikace nedaří odstranit, proveďte tovární reset
• Po vyčištění aktualizujte systém i všechny aplikace

Varovné signály, které měly zazvonit už při instalaci: aplikace se nestahuje z Google Play, web radí povolit neznámé zdroje, aplikace žádá službu přístupnosti, sdílení obrazovky nebo VPN, a přitom má být „jen“ přehrávač filmů.

StreamRat ukázal, že nejnebezpečnější podvod není ten, který přijde z neznámého čísla v SMS. Je to ten, který si koupí místo přímo ve vašem feedu, mezi fotkami přátel a videi s recepty.

Jak funguje krádež „offline“ a co to vlastně znamená

Slovo „offline“ v tomto kontextu neznamená, že malware magicky odesílá data z telefonu ležícího v šuplíku bez jakéhokoli signálu. Znamená to, že infikované zařízení nepotřebuje vlastní internetové připojení k tomu, aby ukradené údaje doručilo útočníkům. Manic funguje jako store-and-forward relay. Zachycené PINy, hesla, jednorázové ověřovací kódy z SMS i notifikací ukládá do lokální šifrované fronty chráněné algoritmem AES-GCM. Pak hledá další infikovaný telefon v dosahu přes Wi-Fi Direct, Bluetooth RFCOMM nebo BLE GATT. Jakmile najde zařízení, které má přístup k internetu, předá mu balík dat. Podle reportu ThreatFabric může řetězec přeskočit až čtyři infikovaná zařízení, než data dorazí na řídicí server útočníků.

Finanční škoda pak nevzniká v okamžiku krádeže dat, ale následně, když útočníci použijí ukradené přihlašovací údaje k přístupu do bankovní aplikace nebo když vzdáleně převezmou legitimní bankovní relaci přímo na napadeném telefonu.

Manic je nebezpečnější než klasický bankovní trojan

Většina známých bankovních trojanů pro Android pracuje s takzvaným overlay útokem: přes legitimní bankovní aplikaci zobrazí falešnou přihlašovací obrazovku a čeká, až uživatel zadá údaje do podvrhu. Manic tohle nedělá. Místo toho zneužívá pravou číselnou klávesnici legitimní aplikace. Technika nazvaná pinPadOverlay čte přímo vstupy z reálného rozhraní banky, takže uživatel při zadávání PINu nevidí nic podezřelého. Žádná podivně vypadající obrazovka, žádné přebliknutí.

K tomu přidejte další vrstvy:

• Accessibility keylogger – po získání oprávnění k usnadnění přístupu zaznamenává veškeré vstupy na obrazovce, včetně hesel a e-mailových přihlášení.
• SMS a notifikační přístup – sbírá jednorázové ověřovací kódy dřív, než si jich uživatel všimne.
• Vzdálené ovládání přes WebRTC – útočník může sledovat obrazovku telefonu v reálném čase a provádět akce za uživatele.
• 169 sledovaných aplikací – nejde jen o banky. Manic monitoruje platební služby, kryptoměnové peněženky, autentikátory, messengery, prohlížeče, e-mailové klienty i státní a eID aplikace.

Červencový build navíc po instalaci zmizí z launcheru. V seznamu aplikací ho nenajdete. Maskuje se pod názvy napodobujícími systémové komponenty, například dev.huawei.media.helper nebo tech.intel.dialer.updater.

Česko na seznamu: co přesně víme a co ne

Report výslovně jmenuje Českou republiku mezi bankovními i gov/eID cíli. Na seznamu ohrožených zemí jsou dále Ukrajina, Rusko, Polsko, Slovensko, Rakousko, Německo, Francie, Španělsko, Nizozemsko, Estonsko, Litva a Spojené království. Zařazení Česka není obecné; malware obsahuje konfiguraci zaměřenou na konkrétní české bankovní a státní aplikace. Jejich přesné názvy ale ThreatFabric ve veřejné verzi reportu nezveřejnil.

Důležitý kontext: veřejně nejsou dostupná čísla o tom, kolik zařízení v Česku bylo skutečně nakaženo. Jde o reálně existující a aktivní hrozbu s potvrzeným zacílením na české aplikace, nikoli o potvrzenou masovou nákazu. Google prostřednictvím mluvčího pro server BleepingComputer uvedl, že na Google Play nenašel aplikace obsahující Manic a že známé verze blokuje Play Protect na zařízeních s Google Play Services.

Časová osa přitom ukazuje, že přípravy běžely měsíce: první infrastruktura útočníků pochází z února 2026, první zachycené vzorky malwaru z konce května a silnější build s pokročilou ochranou proti analýze z července.

Jak se chránit a co dělat při podezření

Riziko výrazně roste u lidí, kteří instalují aplikace mimo Google Play, z odkazů v SMS, e-mailech nebo chatových zprávách. Právě sideloading falešných APK je nejpravděpodobnější cesta nákazy. Praktická kontrola telefonu zabere pár minut:

• Accessibility služby: Nastavení → Usnadnění přístupu – projděte aktivní služby. Cokoli, co tam nepatří k vědomě nainstalované asistenční aplikaci, vypněte.
• Přístup k notifikacím: Nastavení → Aplikace → Speciální přístup → Přístup k oznámením – zkontrolujte, které aplikace čtou vaše notifikace.
• Play Protect: Otevřete Google Play → klepněte na profil → Play Protect. Měl by být zapnutý a ukazovat poslední sken. Podle Googlu Play Protect denně skenuje přes 350 miliard aplikací.
• Podezřelé názvy aplikací: Hledejte cokoli připomínající systémovou komponentu, co jste sami neinstalovali, zejména s názvy obsahujícími „updater“, „helper“, „processor“ nebo „executor“ v kombinaci se značkami výrobců.

Pokud máte podezření na nákazu, nepoužívejte bankovní aplikaci z podezřelého telefonu. Zkuste Safe Mode, který dočasně vypne všechny stažené aplikace; pokud problém zmizí, viníkem je pravděpodobně některá z nich. Hesla k bankovnictví a dalším důležitým službám měňte výhradně z jiného, čistého zařízení. Jako krajní řešení zbývá tovární reset.

Manic ukazuje směr, kterým se mobilní hrozby posouvají. Už nejde jen o falešné přihlašovací obrazovky a primitivní SMS trojany. Jde o platformu, která telefon tiše převezme, vytěží z něj vše cenné a k odeslání dat nepotřebuje ani váš internet.

Jak Manic krade PIN bez falešné bankovní obrazovky

Starší bankovní trojany jako BlackRock fungovaly jednoduše: přes cílovou aplikaci položily falešnou přihlašovací obrazovku a čekaly, až uživatel zadá údaje. Manic jde jinou cestou. Využívá službu Accessibility, systémovou funkci Androidu určenou pro usnadnění ovládání, jako keylogger. Čte vstupy přímo v legitimních aplikacích, aniž by je nahrazoval. U bankovního PINu překryje jen oblast číselníku transparentní vrstvou, zaznamená klepnutí a pak je přes Accessibility přepošle do skutečné aplikace. Uživatel nic nepozná. Banka nic nepozná. A data mezitím putují do fronty.

Nejde přitom jen o banky. ThreatFabric uvádí 169 sledovaných aplikací napříč kategoriemi: bankovnictví, kryptoměnové peněženky a burzy, eID, autentikátory, prohlížeče, e-maily, messengery, včetně vojensky zaměřených komunikačních nástrojů. Manic chce celou digitální identitu.

Cizí telefon v blízkosti: brána ven, ne vstupní vektor

Důležité upřesnění: „cizí telefon ve vaší blízkosti“ neznamená, že vás nakazí náhodný mobil spolucestujícího v metru. Samotná blízkost k nákaze nestačí. Aby Manic fungoval, musí být váš telefon už kompromitovaný, typicky přes phishingový web nebo podvrženou aplikaci vydávající se za užitečný nástroj. Podle The Hacker News, které cituje ThreatFabric, první známá verze wrapperu se tvářila jako rezervační aplikace.

Teprve po nákaze přichází na řadu okolní zařízení. Pokud je i další telefon v rádiovém dosahu infikovaný, poslouží jako přestupní uzel (gateway) pro odeslání zašifrovaného balíku dat na řídicí server útočníka. ThreatFabric neuvádí přesnou vzdálenost v metrech, jen formulaci „v rádiovém dosahu“. Wi-Fi Direct má obecně delší dosah než Bluetooth, který podle Bluetooth SIG může fungovat od méně než metru po více než kilometr v závislosti na hardwaru a podmínkách. Nejde o telefon kdekoli na světě, ale o zařízení ve vašem fyzickém okolí.

Princip není úplně bez precedentu. Už v éře Symbianu se červ Cabir šířil přes Bluetooth a v českém prostředí malware NGate zneužíval NFC relay k platebním podvodům. Manic ale přidává něco nového: víceúrovňovou store-and-forward exfiltraci s více skoky, kde každý nakažený telefon funguje jako článek řetězu.

Česko je na seznamu cílů

Hlavní zaměření Manicu je podle ThreatFabric Ukrajina, ale Česká republika figuruje v cílovém setu výslovně, jak v kategorii bankovních aplikací, tak u státních a eID služeb. Konkrétní seznam českých aplikací veřejná analýza nejmenuje, ale samotné zařazení mezi cílové země znamená, že útočníci mají české bankovní a státní aplikace v hledáčku.

K 7. září 2026 se nepodařilo dohledat veřejné varování české bezpečnostní instituce přímo k Manicu. To ale neznamená, že je téma mimo radar. Český CSIRT v srpnu 2026 varoval před jiným androidovým malwarem WindRelay/SpyNote a ESET už v květnu 2026 popsal nárůst NGate v Česku a na Slovensku. Mobilní bankovní malware cílený na české uživatele je realita, ne abstraktní hrozba ze zahraničních reportů.

Co zkontrolovat a čeho se vyvarovat

Manic se aktivně snaží zůstat neviditelný. Červencová verze podle ThreatFabric umí schovat ikonu z launcheru, obsahuje příkaz disable_gp pro pokus o vypnutí Google Play Protect přes automatizaci uživatelského rozhraní a maskuje činnost pod černé nebo falešné aktualizační obrazovky. Na pozadí běží workery s periodou 10–15 minut.

Přesto existují praktické kroky, které riziko výrazně snižují:

• Neinstalovat APK mimo důvěryhodný obchod. Google přes The Hacker News uvedl, že známé verze Manicu v době vyjádření na Google Play nenašel. Malware se šíří přes phishingové weby a podvržené aplikace.
• Nepovolovat restricted settings u aplikací instalovaných mimo obchod. Android 13 a novější toto omezení zavádí právě proto, aby zbrzdil sideloadovaný malware.
• Zkontrolovat oprávnění. Nejrizikovější kombinace: Accessibility, přístup k notifikacím, zobrazení přes jiné aplikace (SYSTEM_ALERT_WINDOW) a široký přístup k souborům (MANAGE_EXTERNAL_STORAGE). Pokud je má aplikace, kterou nepoznáváte nebo která k nim nemá zjevný důvod, odeberte je.
• Nechat zapnutý Play Protect. Není samospasitelný, ale je to první linie obrany, která je ve výchozím stavu aktivní a skenuje i aplikace z jiných zdrojů.
• Pokud máte podezření na infekci: škodlivou aplikaci odstraňte, zrevidujte oprávnění a hesla měňte z jiného, čistého zařízení. Ne z telefonu, který mohl být kompromitovaný.

Vypnutí dat nestačí

Největší omyl, který Manic odhaluje, je představa, že offline telefon je bezpečný telefon. Není, pokud už jednou dostala škodlivá aplikace privilegia. Krádež dat probíhá lokálně, bez připojení. Internet potřebuje až finální článek řetězu, a tím nemusí být váš telefon. „Vypnout data“ je v nejlepším případě nouzové omezení škod po kompromitaci. Spolehlivá ochrana začíná dřív, u toho, co do telefonu pustíte a jaká oprávnění tomu dáte.