Jak útok funguje krok za krokem

Infekční řetězec začíná u aplikace TWCore, která v ekosystému DoFun slouží jako systémový updater. Řidič ji nikdy nevidí, protože nemá uživatelské rozhraní. Právě proto je tak nebezpečná: útočníci ji zneužili jako vstupní bránu.

Prvním krokem je dropper JarService (balík com.tw.jar1), který se tváří jako systémová služba. Druhým krokem je loader, který připraví prostředí pro hlavní zátěž. Třetí fáze je nejzávažnější: modul zhima promění palubní jednotku v rezidenční proxy uzel. Prakticky to znamená, že internetový provoz cizích lidí proudí přes datové připojení auta. Podle analýzy Kaspersky třetí fáze kontaktuje řídicí server každých 90 minut a umí přijímat devět různých příkazů, od otevírání webových stránek přes odesílání požadavků až po stahování dalších modulů.

Zásadní odlišnost od běžného malwaru na telefonu: tady nečeká nikdo na kliknutí uživatele. Škodlivý kód přišel přes legitimní aktualizační kanál zabudovaný přímo ve firmwaru. Jde tedy spíš o zneužití dodavatelského řetězce než o klasický phishing.

Kdo za tím stojí a co z toho má

Kaspersky našel vazby na skupinu MoYu a proxy sítě PXYEDGE a ProxyForU. Bezpečnostní firma HUMAN Security už dříve popsala, že MoYu prodává přístup do rezidenčních proxy sítí přes službu IpMoYu. Kupci takové sítě pak využívají ke konkrétním podvodům:

• Převzetí cizích účtů
• Zakládání falešných účtů pro spam a manipulaci
• Automatizovaný skupování limitovaného zboží
• Hromadné stahování dat z webů
• Reklamní podvody generující peníze z falešných zobrazení

Obchodní model je prostý: čím víc zařízení v botnetu, tím víc proxy uzlů na prodej. A palubní jednotky, které bývají online celé hodiny denně a mají stabilní datové připojení, jsou pro tento účel ideální.

Týká se to i českých řidičů?

Přímý seznam zasažených aut, značek nebo VIN kódů neexistuje. DoFun ale není výrobce, jehož jméno byste našli na krabici, je to white-label dodavatel. Poskytuje cloud, obchod s aplikacemi, aktualizační službu i mobilní aplikaci CarMate a podporuje celou řadu hardwarových platforem (T5, T7, TS7, TS9, TS10, TS18). Nabízí dokonce možnost, aby si prodejce autorádio označil vlastní značkou. Řidič kupuje „Android autorádio pro Octavii“ a vůbec netuší, že pod kapotou běží software od DoFun.

A právě takové dodatečně montované androidové jednotky se v Česku běžně prodávají. Na tuzemských e-shopech najdete aftermarket autorádia s Androidem, Wi-Fi, GPS a CAN-BUS pro vozy jako Volkswagen Passat B8, Škoda Octavia 2 nebo Škoda Yeti. Zda konkrétní kus obsahuje firmware DoFun, bez nahlédnutí do systémového menu nezjistíte. Veřejné potvrzení českých infekcí chybí, ale typ zařízení, na který útok cílí, se u nás prodává zcela běžně.

Jak zjistit, jestli máte DoFun, a co s tím

Pokud máte aftermarket androidovou palubní jednotku a chcete vědět, jestli běží na softwaru od DoFun, existuje konkrétní cesta. Podle návodu z oficiální komunity CarMate otevřete v menu palubní jednotky 360° Safety → Settings → General setting → software. Tam by měl být údaj o výrobci softwaru. U platforem TS10 a TS18 je postup ověřený, u jiných jednotek může být potřeba hledat v obecném systémovém info nebo se zeptat prodejce.

Příznaky napadení, které může zaregistrovat i laik:

• Infotainment je výrazně pomalejší než dřív
• Systém padá nebo je nestabilní
• Internetové připojení v autě je znatelně pomalejší
• Objevuje se nevyžádaná reklama
• Neobvykle vysoká spotřeba mobilních dat

Kaspersky v tiskové zprávě uvádí, že DoFun po nahlášení problém opravil. Konkrétní číslo opravené verze firmwaru ani veřejný návod k instalaci záplaty ale dodavatel nevydal. Praktické minimum: připojte palubní jednotku k internetu, spusťte kontrolu systémových aktualizací a nechte si od prodejce nebo servisu potvrdit, že máte build s opravou. A pokud jednotku nepotřebujete online, nenechávejte ji trvale připojenou k síti.

Infotainment ano, brzdy ne, ale klid na duši to není

Důležité upřesnění: ve zveřejněné analýze není jediný doklad o tom, že by útočníci převzali řízení, brzdy nebo pohon vozidla. Veškerá popsaná aktivita se odehrává v doméně infotainmentu: sběr identifikátorů zařízení, webové příkazy, reklamní podvody a proxy provoz. To ale neznamená, že jde o banalitu. Kompromitovaná palubní jednotka s přístupem k internetu a potenciálně i k některým komfortním funkcím auta přes CAN-BUS je bezpečnostní problém, který si žádný řidič nepřeje ignorovat.

Kaspersky malware zachytil při monitoringu v červnu 2026, indicie v kódu ukazují minimálně na 8. červen jako datum distribuce. Celá kauza odhaluje zranitelnost, o které většina řidičů neměla tušení: to, co vypadá jako obyčejné autorádio s navigací, může být součástí globální infrastruktury kybernetického podsvětí.

Jak přesně funguje AI uvnitř viru

Klasický mobilní malware má v kódu napevno zapsané souřadnice tlačítek a názvy prvků rozhraní. Stačí, aby výrobce telefonu změnil launcher nebo Google posunul položku v nastavení o pár pixelů, a celý útok selže. PromptSpy tohle obchází elegantně: pošle Gemini textový prompt spolu s XML výpisem aktuální obrazovky (typy prvků, jejich texty, souřadnice). Gemini vrátí JSON s konkrétními pokyny: kam klepnout, co podržet, kudy přejet prstem. Malware instrukce provede přes služby přístupnosti.

Důležité upřesnění: Gemini nekrade peníze. Nekontroluje bankovní účet, nepřepisuje příkazy k platbě. Jeho role je čistě „údržbářská“, pomáhá malwaru přežít na různých zařízeních, zamknout se v seznamu posledních aplikací a zablokovat pokusy o odstranění. Samotné ovládnutí telefonu pak zajišťuje vestavěný VNC modul, který útočníkům dává plný vzdálený přístup k displeji.

Co se stane po instalaci

Řetězec útoku podle ESETu vypadá takto:

• Oběť klikne na odkaz z SMS, e-mailu nebo podvodného webu a stáhne si dropper, aplikaci, která vypadá jako bankovní.
• Dropper otevře falešnou bankovní stránku ve španělštině a nabídne „aktualizaci“. Ta je ve skutečnosti hlavním škodlivým kódem.
• Po spuštění payload požádá o služby přístupnosti a zobrazí klidnou obrazovku „Loading, please wait“.
• Na pozadí se spojí s řídicím serverem, získá klíč k Gemini API a začne pracovat.

Od té chvíle malware umí zachytit PIN nebo heslo z uzamčené obrazovky, nahrávat displej i gesta, pořizovat snímky obrazovky a předat útočníkům plné vzdálené ovládání přes VNC. Aktivuje se i po restartu díky systémové události BOOT_COMPLETED, nejde tedy o jednorázový kód, ale o nástroj navržený k dlouhodobému přežití.

Klíčový API klíč k Gemini si přitom PromptSpy neukládá natvrdo do vlastního kódu. Přijímá ho ze serveru útočníků, což znamená, že AI vrstva je provozně řízená a dá se aktualizovat bez vydání nové verze malwaru.

Nejde smazat? Jak se ho přesto zbavit

Formulace „nejde smazat“ neznamená, že je malware nesmrtelný. Znamená, že běžný postup (otevřít nastavení, najít aplikaci, klepnout na Odinstalovat) nefunguje. PromptSpy zneužívá služby přístupnosti k tomu, aby přes kritická tlačítka (stop, end, clear, Uninstall) položil neviditelné obdélníky. Uživatel klepá, ale dotyk zachytí překryvná vrstva.

Řešení existuje a je poměrně přímočaré:

• Restartovat telefon do Safe Mode, v tomto režimu se aplikace třetích stran dočasně vypnou, včetně PromptSpy. Postup se liší podle výrobce, ale typicky stačí podržet tlačítko vypnutí a pak dlouze klepnout na „Vypnout“ nebo „Restartovat“, dokud se neobjeví nabídka Safe Mode.
• V Safe Mode přejít do Nastavení → Aplikace a MorganArg klasicky odinstalovat.
• Zkontrolovat Google Play Protect, nainstalovat dostupné bezpečnostní aktualizace.
• Z jiného čistého zařízení změnit hesla k bankovnictví, e-mailu a dalším důležitým službám.

Hrozí to i v Česku?

Přímé veřejné varování českých institucí konkrétně na PromptSpy se nám k září 2026 dohledat nepodařilo. Známé vzorky míří primárně na Argentinu: název MorganArg ESET interpretuje jako „Morgan Argentina“, podvržené rozhraní je ve španělštině a čtyři pokročilejší vzorky byly nahrány z argentinských IP adres. ESET navíc přiznává, že PromptSpy dosud nezachytil ve vlastní telemetrii, a nevylučuje, že může jít o proof of concept.

To ale neznamená, že se českých uživatelů netýká. Podobné androidové bankovní kampaně v Česku už doložené jsou. V roce 2024 ESET popsal malware NGate, který cílil na klienty tří českých bank a umožňoval výběry z bankomatů přes přeposílání NFC komunikace; NÚKIB to následně potvrdil. A v srpnu 2026 CSIRT.CZ varoval před dalším androidovým malwarem vydávajícím se za finanční instituce včetně českých a slovenských. Technika se mění, princip zůstává: falešná bankovní aplikace mimo Google Play, povolení instalace z neznámých zdrojů, žádost o služby přístupnosti.

Tohle je důležitější, než se zdá

Největší posun není v tom, že malware „používá AI“, to zní jako marketingová fráze. Podstatné je, co mu AI prakticky dává: nezávislost na konkrétním modelu telefonu, verzi Androidu nebo typu launcheru. Klasický bankovní trojan fungoval na Samsungu s One UI, ale na Xiaomi s MIUI selhal, protože tlačítka byla jinde. PromptSpy se prostě zeptá Gemini, kde jsou teď.

ESET v pololetní zprávě H1 2026 zařadil PromptSpy mezi klíčové příklady nových hrozeb a poznamenal, že absence dalších podobných vzorků může souviset s tím, že Google aktivně monitoruje zneužití Gemini API. Jinými slovy: obrana funguje, ale závod začal.

Kdo instaluje aplikace výhradně z Google Play a neuděluje neznámým aplikacím oprávnění přístupnosti, má riziko výrazně nižší. Kdo ale klikne na odkaz v SMS a povolí vše, co mu telefon nabídne, dává PromptSpy přesně to, co potřebuje, a zbavit se ho pak bude muset v Safe Mode.

Jak funguje krádež „offline“ a co to vlastně znamená

Slovo „offline“ v tomto kontextu neznamená, že malware magicky odesílá data z telefonu ležícího v šuplíku bez jakéhokoli signálu. Znamená to, že infikované zařízení nepotřebuje vlastní internetové připojení k tomu, aby ukradené údaje doručilo útočníkům. Manic funguje jako store-and-forward relay. Zachycené PINy, hesla, jednorázové ověřovací kódy z SMS i notifikací ukládá do lokální šifrované fronty chráněné algoritmem AES-GCM. Pak hledá další infikovaný telefon v dosahu přes Wi-Fi Direct, Bluetooth RFCOMM nebo BLE GATT. Jakmile najde zařízení, které má přístup k internetu, předá mu balík dat. Podle reportu ThreatFabric může řetězec přeskočit až čtyři infikovaná zařízení, než data dorazí na řídicí server útočníků.

Finanční škoda pak nevzniká v okamžiku krádeže dat, ale následně, když útočníci použijí ukradené přihlašovací údaje k přístupu do bankovní aplikace nebo když vzdáleně převezmou legitimní bankovní relaci přímo na napadeném telefonu.

Manic je nebezpečnější než klasický bankovní trojan

Většina známých bankovních trojanů pro Android pracuje s takzvaným overlay útokem: přes legitimní bankovní aplikaci zobrazí falešnou přihlašovací obrazovku a čeká, až uživatel zadá údaje do podvrhu. Manic tohle nedělá. Místo toho zneužívá pravou číselnou klávesnici legitimní aplikace. Technika nazvaná pinPadOverlay čte přímo vstupy z reálného rozhraní banky, takže uživatel při zadávání PINu nevidí nic podezřelého. Žádná podivně vypadající obrazovka, žádné přebliknutí.

K tomu přidejte další vrstvy:

• Accessibility keylogger – po získání oprávnění k usnadnění přístupu zaznamenává veškeré vstupy na obrazovce, včetně hesel a e-mailových přihlášení.
• SMS a notifikační přístup – sbírá jednorázové ověřovací kódy dřív, než si jich uživatel všimne.
• Vzdálené ovládání přes WebRTC – útočník může sledovat obrazovku telefonu v reálném čase a provádět akce za uživatele.
• 169 sledovaných aplikací – nejde jen o banky. Manic monitoruje platební služby, kryptoměnové peněženky, autentikátory, messengery, prohlížeče, e-mailové klienty i státní a eID aplikace.

Červencový build navíc po instalaci zmizí z launcheru. V seznamu aplikací ho nenajdete. Maskuje se pod názvy napodobujícími systémové komponenty, například dev.huawei.media.helper nebo tech.intel.dialer.updater.

Česko na seznamu: co přesně víme a co ne

Report výslovně jmenuje Českou republiku mezi bankovními i gov/eID cíli. Na seznamu ohrožených zemí jsou dále Ukrajina, Rusko, Polsko, Slovensko, Rakousko, Německo, Francie, Španělsko, Nizozemsko, Estonsko, Litva a Spojené království. Zařazení Česka není obecné; malware obsahuje konfiguraci zaměřenou na konkrétní české bankovní a státní aplikace. Jejich přesné názvy ale ThreatFabric ve veřejné verzi reportu nezveřejnil.

Důležitý kontext: veřejně nejsou dostupná čísla o tom, kolik zařízení v Česku bylo skutečně nakaženo. Jde o reálně existující a aktivní hrozbu s potvrzeným zacílením na české aplikace, nikoli o potvrzenou masovou nákazu. Google prostřednictvím mluvčího pro server BleepingComputer uvedl, že na Google Play nenašel aplikace obsahující Manic a že známé verze blokuje Play Protect na zařízeních s Google Play Services.

Časová osa přitom ukazuje, že přípravy běžely měsíce: první infrastruktura útočníků pochází z února 2026, první zachycené vzorky malwaru z konce května a silnější build s pokročilou ochranou proti analýze z července.

Jak se chránit a co dělat při podezření

Riziko výrazně roste u lidí, kteří instalují aplikace mimo Google Play, z odkazů v SMS, e-mailech nebo chatových zprávách. Právě sideloading falešných APK je nejpravděpodobnější cesta nákazy. Praktická kontrola telefonu zabere pár minut:

• Accessibility služby: Nastavení → Usnadnění přístupu – projděte aktivní služby. Cokoli, co tam nepatří k vědomě nainstalované asistenční aplikaci, vypněte.
• Přístup k notifikacím: Nastavení → Aplikace → Speciální přístup → Přístup k oznámením – zkontrolujte, které aplikace čtou vaše notifikace.
• Play Protect: Otevřete Google Play → klepněte na profil → Play Protect. Měl by být zapnutý a ukazovat poslední sken. Podle Googlu Play Protect denně skenuje přes 350 miliard aplikací.
• Podezřelé názvy aplikací: Hledejte cokoli připomínající systémovou komponentu, co jste sami neinstalovali, zejména s názvy obsahujícími „updater“, „helper“, „processor“ nebo „executor“ v kombinaci se značkami výrobců.

Pokud máte podezření na nákazu, nepoužívejte bankovní aplikaci z podezřelého telefonu. Zkuste Safe Mode, který dočasně vypne všechny stažené aplikace; pokud problém zmizí, viníkem je pravděpodobně některá z nich. Hesla k bankovnictví a dalším důležitým službám měňte výhradně z jiného, čistého zařízení. Jako krajní řešení zbývá tovární reset.

Manic ukazuje směr, kterým se mobilní hrozby posouvají. Už nejde jen o falešné přihlašovací obrazovky a primitivní SMS trojany. Jde o platformu, která telefon tiše převezme, vytěží z něj vše cenné a k odeslání dat nepotřebuje ani váš internet.

Jak Manic krade PIN bez falešné bankovní obrazovky

Starší bankovní trojany jako BlackRock fungovaly jednoduše: přes cílovou aplikaci položily falešnou přihlašovací obrazovku a čekaly, až uživatel zadá údaje. Manic jde jinou cestou. Využívá službu Accessibility, systémovou funkci Androidu určenou pro usnadnění ovládání, jako keylogger. Čte vstupy přímo v legitimních aplikacích, aniž by je nahrazoval. U bankovního PINu překryje jen oblast číselníku transparentní vrstvou, zaznamená klepnutí a pak je přes Accessibility přepošle do skutečné aplikace. Uživatel nic nepozná. Banka nic nepozná. A data mezitím putují do fronty.

Nejde přitom jen o banky. ThreatFabric uvádí 169 sledovaných aplikací napříč kategoriemi: bankovnictví, kryptoměnové peněženky a burzy, eID, autentikátory, prohlížeče, e-maily, messengery, včetně vojensky zaměřených komunikačních nástrojů. Manic chce celou digitální identitu.

Cizí telefon v blízkosti: brána ven, ne vstupní vektor

Důležité upřesnění: „cizí telefon ve vaší blízkosti“ neznamená, že vás nakazí náhodný mobil spolucestujícího v metru. Samotná blízkost k nákaze nestačí. Aby Manic fungoval, musí být váš telefon už kompromitovaný, typicky přes phishingový web nebo podvrženou aplikaci vydávající se za užitečný nástroj. Podle The Hacker News, které cituje ThreatFabric, první známá verze wrapperu se tvářila jako rezervační aplikace.

Teprve po nákaze přichází na řadu okolní zařízení. Pokud je i další telefon v rádiovém dosahu infikovaný, poslouží jako přestupní uzel (gateway) pro odeslání zašifrovaného balíku dat na řídicí server útočníka. ThreatFabric neuvádí přesnou vzdálenost v metrech, jen formulaci „v rádiovém dosahu“. Wi-Fi Direct má obecně delší dosah než Bluetooth, který podle Bluetooth SIG může fungovat od méně než metru po více než kilometr v závislosti na hardwaru a podmínkách. Nejde o telefon kdekoli na světě, ale o zařízení ve vašem fyzickém okolí.

Princip není úplně bez precedentu. Už v éře Symbianu se červ Cabir šířil přes Bluetooth a v českém prostředí malware NGate zneužíval NFC relay k platebním podvodům. Manic ale přidává něco nového: víceúrovňovou store-and-forward exfiltraci s více skoky, kde každý nakažený telefon funguje jako článek řetězu.

Česko je na seznamu cílů

Hlavní zaměření Manicu je podle ThreatFabric Ukrajina, ale Česká republika figuruje v cílovém setu výslovně, jak v kategorii bankovních aplikací, tak u státních a eID služeb. Konkrétní seznam českých aplikací veřejná analýza nejmenuje, ale samotné zařazení mezi cílové země znamená, že útočníci mají české bankovní a státní aplikace v hledáčku.

K 7. září 2026 se nepodařilo dohledat veřejné varování české bezpečnostní instituce přímo k Manicu. To ale neznamená, že je téma mimo radar. Český CSIRT v srpnu 2026 varoval před jiným androidovým malwarem WindRelay/SpyNote a ESET už v květnu 2026 popsal nárůst NGate v Česku a na Slovensku. Mobilní bankovní malware cílený na české uživatele je realita, ne abstraktní hrozba ze zahraničních reportů.

Co zkontrolovat a čeho se vyvarovat

Manic se aktivně snaží zůstat neviditelný. Červencová verze podle ThreatFabric umí schovat ikonu z launcheru, obsahuje příkaz disable_gp pro pokus o vypnutí Google Play Protect přes automatizaci uživatelského rozhraní a maskuje činnost pod černé nebo falešné aktualizační obrazovky. Na pozadí běží workery s periodou 10–15 minut.

Přesto existují praktické kroky, které riziko výrazně snižují:

• Neinstalovat APK mimo důvěryhodný obchod. Google přes The Hacker News uvedl, že známé verze Manicu v době vyjádření na Google Play nenašel. Malware se šíří přes phishingové weby a podvržené aplikace.
• Nepovolovat restricted settings u aplikací instalovaných mimo obchod. Android 13 a novější toto omezení zavádí právě proto, aby zbrzdil sideloadovaný malware.
• Zkontrolovat oprávnění. Nejrizikovější kombinace: Accessibility, přístup k notifikacím, zobrazení přes jiné aplikace (SYSTEM_ALERT_WINDOW) a široký přístup k souborům (MANAGE_EXTERNAL_STORAGE). Pokud je má aplikace, kterou nepoznáváte nebo která k nim nemá zjevný důvod, odeberte je.
• Nechat zapnutý Play Protect. Není samospasitelný, ale je to první linie obrany, která je ve výchozím stavu aktivní a skenuje i aplikace z jiných zdrojů.
• Pokud máte podezření na infekci: škodlivou aplikaci odstraňte, zrevidujte oprávnění a hesla měňte z jiného, čistého zařízení. Ne z telefonu, který mohl být kompromitovaný.

Vypnutí dat nestačí

Největší omyl, který Manic odhaluje, je představa, že offline telefon je bezpečný telefon. Není, pokud už jednou dostala škodlivá aplikace privilegia. Krádež dat probíhá lokálně, bez připojení. Internet potřebuje až finální článek řetězu, a tím nemusí být váš telefon. „Vypnout data“ je v nejlepším případě nouzové omezení škod po kompromitaci. Spolehlivá ochrana začíná dřív, u toho, co do telefonu pustíte a jaká oprávnění tomu dáte.

Co přesně Memory Integrity dělá a proč ji potřebujete

Memory Integrity běží v izolovaném virtualizovaném prostředí a kontroluje každý kus kódu, který se pokouší spustit v režimu jádra. Pokud ovladač není důvěryhodný, podepsaný nebo je na seznamu známých zranitelných ovladačů, funkce ho nepustí dál. Spolu s HVCI se vynucuje i seznam blokovaných zranitelných ovladačů, tedy databáze ovladačů, o kterých se ví, že je útočníci aktivně zneužívají.

Běžný antivir, třeba vestavěný Microsoft Defender, skenuje soubory, programy a chování systému. Hledá viry, ransomware, phishing. Memory Integrity dělá něco jiného: hlídá nejnižší vrstvu, kam se Defender nedostane. Jedno bez druhého nefunguje kompletně. Váš počítač tedy nebyl dosud „bez ochrany“, jen mu chyběla tato konkrétní vrstva ochrany jádra.

Říjnový rollout: ne najednou, ne všem

Podle oznámení z 1. září 2026 začne Microsoft rozšiřovat automatické zapnutí Memory Integrity od říjnových quality updates, tedy kolem Patch Tuesday 13. října. Nejde ale o jednorázové přepnutí všech počítačů. Rollout bude postupný a Microsoft slibuje, že bude respektovat dřívější volby uživatelů i administrátorů. Kdo si funkci v minulosti sám vypnul, tomu ji říjnová aktualizace znovu nezapne.

Automatické zapnutí se týká jen způsobilých zařízení. Minimální požadavky:

• Procesor: Intel 8. generace a novější, AMD Zen 2 a novější, nebo Snapdragon 8180+
• RAM: alespoň 8 GB (u x64 systémů)
• Úložiště: SSD s kapacitou minimálně 64 GB
• BIOS/UEFI: zapnutá virtualizace
• Ovladače: kompatibilní s HVCI

Před zapnutím Microsoft vyhodnocuje hardware, kompatibilitu ovladačů i výkonové dopady. Stroje, které podmínky nesplňují, by měly zůstat beze změny. Žádné regionální omezení oznámeno nebylo, čeští uživatelé spadají do rolloutu stejně jako všichni ostatní.

Proč vás to může štvát a co s tím

Samotná ochrana výkon moderních počítačů prakticky neovlivní. Co ale může obtěžovat, je důsledek: Memory Integrity zablokuje ovladač, který dosud tiše fungoval, protože nesplňuje bezpečnostní požadavky. Tiskárna přestane tisknout. Zvuková karta ztichne. Starší herní periférie se neprobudí. Microsoft výslovně varuje i před vzácnými případy, kdy nekompatibilní ovladač způsobí modrou obrazovku nebo selhání při startu.

Když se to stane, postup je jednoduchý:

• Otevřete Zabezpečení Windows > Zabezpečení zařízení > Podrobnosti izolace jádra; systém obvykle ukáže název a výrobce problematického ovladače.
• Hledejte aktualizovaný ovladač přes Windows Update, Správce zařízení nebo přímo na webu výrobce.
• Pro pokročilejší diagnostiku: Prohlížeč událostí > Applications and Services Logs > Microsoft > Windows > CodeIntegrity > Operational, událost s ID 3087.

Teprve když aktualizace neexistuje a zařízení nutně potřebujete, je dočasné vypnutí Memory Integrity přijatelným nouzovým krokem. Ale opravdu jen dočasným. Vypnutím přijdete o ochranu jádra proti útokům přes ovladače, a pokud máte Secured-core počítač, vypadnete z jeho vyššího bezpečnostního stavu.

Microsoft tlačí na ochranu jádra

Útoky přes ovladače nejsou teoretická hrozba. Útočník najde legitimní, ale zranitelný podepsaný ovladač, načte ho do jádra a přes něj obejde veškerou ochranu: antivir, firewall, vše. Microsoft ve své dokumentaci k odolnosti proti manipulaci uvádí, že právě tohle je jedna z nejrozšířenějších technik. Podle bezpečnostní zprávy k Windows 11 přes 80 % podniků za poslední dva roky zažilo útok cílený na firmware nebo nízkoúrovňové komponenty.

Dosud byla Memory Integrity zapnutá hlavně na čistých instalacích a na Secured-core strojích, které mají navíc ochranu firmwaru a DMA. Miliony upgradovaných počítačů ale zůstávaly bez této vrstvy, ne proto, že by na ni neměly hardware, ale proto, že Microsoft nechtěl riskovat problémy s kompatibilitou. Říjnový rollout je signál, že firma vyhodnotila riziko útoků jako vyšší než riziko rozbitých ovladačů.

Pět týdnů do října je dost na to, abyste si zkontrolovali stav ve svém počítači a případně aktualizovali ovladače. Memory Integrity najdete v Zabezpečení Windows pod izolací jádra. Pokud je už zapnutá, nemusíte dělat nic. Pokud ne, říjen to za vás pravděpodobně vyřeší a vy ji nechte zapnutou.

Malware z výroby, ne z internetu

Nejznepokojivější na celém případu je způsob, jakým se Keenadu do zařízení dostal. Nešlo o podezřelou aplikaci staženou z pochybného webu. Škodlivý kód byl vložený do systémové knihovny libandroid_runtime.so, tedy do základní součásti Androidu, která se spouští při každém startu zařízení. Infikované obrazy firmwaru přitom nesly platné digitální podpisy; útočník musel zasáhnout přímo do výrobního procesu firmwaru nebo získat přístup k podpisovým klíčům.

Uživatel mohl dělat všechno správně. Neinstalovat nic podezřelého, nenavštěvovat rizikové stránky, používat silná hesla. A přesto bylo jeho zařízení kompromitované od prvního zapnutí. Tovární reset nepomůže, škodlivý kód sedí v systémové partition, kterou reset nemaže. Bez čistého firmwaru od výrobce se malwaru nelze zbavit standardními prostředky.

Čínská stopa, ne definitivní viník

Označení „čínský malware“ v titulku stojí na několika konkrétních indiciích, které Kaspersky veřejně popsala. Keenadu se nespustí, pokud je systémový jazyk zařízení nastaven na čínštinu a časové pásmo odpovídá Číně; jinými slovy, tvůrci chránili domácí uživatele. Ve zdrojovém kódu zůstaly cesty obsahující značku zh, v jednom z distribučních vektorů se objevila doména search-hub.cn a payloady se stahovaly z Alibaba Cloud.

To všechno ukazuje na čínské prostředí vývoje nebo operací. Kaspersky ale veřejně nepřipisuje útok žádné konkrétní hackerské skupině. Přesnější je tedy mluvit o silné čínské stopě než o potvrzeném státním útoku. Firma zároveň našla vazby na dřívější kampaň BADBOX a připomíná podobnosti s trojany Triada a Vo1d, které rovněž cílily na firmware levných Android zařízení.

Čtyři modely, tři cesty šíření

Kaspersky ve své zprávě přímo jmenuje dva modely: Alldocube iPlay 50 mini Pro (T811M) a iPlay 50 mini Pro NFE. Výrobce ale 4. března 2026 sám rozšířil seznam dotčených zařízení na čtyři:

• Alldocube iPlay 50 mini Pro (včetně NFE varianty)
• Alldocube iPlay 60 mini Pro
• Alldocube iPlay 60 Pro
• Alldocube iPlay 70 Pro

Kaspersky navíc zmiňuje, že infekce firmwaru se týkala i hardwaru od dalších výrobců, ale konkrétní značky nezveřejňuje.

Keenadu se přitom nešířil jen přes firmware. Kaspersky identifikovala celkem tři distribuční cesty: předinstalaci do firmwaru tabletů, vložení do systémových aplikací a distribuci přes běžné obchody s aplikacemi včetně Google Play. Na Google Play se malware dostal prostřednictvím aplikací pro ovládání chytrých kamer, které měly dohromady přes 300 tisíc stažení. Google je po upozornění odstranil a podle vyjádření pro BleepingComputer chrání uživatele s Google Play Services služba Play Protect.

Co dělat, když máte dotčený tablet

Alldocube problém veřejně přiznal 25. února 2026, o dva dny později představil plán nápravy a 4. března oznámil, že všechny čtyři dotčené modely dostaly OTA aktualizaci s čistým firmwarem. Kaspersky potvrdila, že nové verze firmwaru od výrobce už Keenadu neobsahují.

Pokud vlastníte některý z jmenovaných modelů, postup je následující:

– Zkontrolujte, zda máte k dispozici aktualizaci firmwaru, a nainstalujte ji.
– Po aktualizaci zařízení projděte bezpečnostním nástrojem; Kaspersky detekuje malware pod označením HEUR:Backdoor.AndroidOS.Keenadu.
– Pokud aktualizace není dostupná, zvažte ruční flash čistého firmwaru.
– Do vyřešení situace zařízení nepoužívejte pro bankovnictví, přihlašování ani jiné citlivé operace.

Důležité: samotný tovární reset problém neřeší. Škodlivý kód přežije v systémové partition, kterou standardní reset nemaže.

Není to poprvé a nebude naposledy

Keenadu není izolovaný incident. Kaspersky ho sama srovnává s trojanem Triada, který v dubnu 2025 analytici našli ve firmwaru padělaných Android telefonů. Oba případy ukazují na stejný systémový problém: u levných zařízení s nejasným původem a slabou kontrolou dodavatelského řetězce je riziko kompromitace firmwaru výrazně vyšší. Nejde o paušální odsouzení všech čínských značek, ale o připomínku, že u tabletu za pár tisíc korun z marketplace neplatíte jen nižší cenou za hardware, ale potenciálně i bezpečností svých dat.

Kdo si v posledních dvou letech koupil levný Android tablet přes AliExpress nebo evropský Amazon, udělá dobře, když zkontroluje model a verzi firmwaru. Cena za pohodlný nákup může být vyšší, než se zdálo.

Které aplikace to jsou a jak je najít

Názvy aplikací zní tak obecně, že je snadno přehlédnete. Rozhodující je proto takzvané ID balíčku, tedy technický identifikátor aplikace. Tady je kompletní seznam:

• Čistič telefonu – Průzkumník souborů (com.volabs.androidcleaner)
• Prohlížeč PDF – Průzkumník souborů (com.xolab.fileexplorer)
• Čtečka PDF – prohlížeč a editor (com.jumbodub.fileexplorerpdfviewer)
• Čistič telefonu: Průzkumník souborů (com.appiclouds.phonecleaner)
• Čtečka PDF: Správce souborů (com.tragisoap.fileandpdfmanager)

Jedna z těchto aplikací dosáhla před odstraněním až 100 tisíc stažení. Útočníci je cíleně tlačili do žebříčků typu Top New Free a Top Free Tools, kde působily jako běžné nástroje.

Jak se z nevinné aplikace stala zbraň

Síla této kampaně spočívala v tom, že aplikace při prvním schválení v Google Play neobsahovaly škodlivý kód. Prošly kontrolou, získaly publikum a teprve potom přišla aktualizace s dropperovou logikou. ThreatFabric popisuje vícestupňový proces: nejprve se ze vzdáleného serveru stáhla konfigurace, poté modul s kódem a nakonec samotný trojan Anatsa. Aktivace se navíc filtrovala podle výrobce telefonu, verze Androidu i země; v kódu se objevily filtry pro cz i sk. Jedna z vln z listopadu 2023 cílila specificky na zařízení Samsung s Androidem 13.

Po instalaci malware využil službu přístupnosti (Accessibility Service), překryl bankovní aplikace falešnými přihlašovacími obrazovkami, zaznamenával stisky kláves a dokázal číst dění na displeji. Nešlo tedy jen o krádež hesla. Šlo o snahu převzít kontrolu nad telefonem a provádět operace jménem uživatele.

Česko v hledáčku: říkají české banky

Česko figurovalo mezi cílovými zeměmi kampaně. Přesný počet českých instalací veřejně znám není, ale Komerční banka v dubnu 2024 ve svém přehledu hrozeb Anatsu jmenovitě zmínila a uvedla „větší počet případů napadení u klientů“. Popsala přitom stejný model útoku: černé obrazovky, překryvy a falešné výzvy k aktualizaci.

Anatsa přitom není jednorázový incident. ThreatFabric dokumentuje jeho vlny v letech 2021, 2023, 2024 a znovu v roce 2025. Modus operandi zůstává podobný: nasadit legitimně vypadající utilitu, počkat na schválení a pak ji proměnit ve zbraň. Už v roce 2023 byly potvrzeny reálné finanční ztráty u obětí v Evropě.

Co udělat, pokud jste některou z aplikací měli

Samotné smazání aplikace je nutný první krok, ale nestačí. Česká spořitelna ve svých bezpečnostních doporučeních radí:

• Aplikaci ihned odinstalovat.
• Vrátit telefon do továrního nastavení.
• Změnit hesla k internetovému bankovnictví.
• Při podezření okamžitě kontaktovat banku, protože malware mohl číst i potvrzovací SMS.

Varovné signály, že telefon může být infikovaný: aplikace náhle požaduje povolení služby přístupnosti, uvnitř vyskočí výzva k „nutné aktualizaci“ mimo Google Play nebo se při otevření bankovní aplikace objeví neobvyklá překryvná hláška.

Ani Google Play už není na 100 % bezpečný

Google tvrdí, že aplikace v Play procházejí kontrolou a průběžným prověřováním prostřednictvím Play Protect. Tato kauza ale ukazuje limit celého modelu: když škodlivý kód přijde až v pozdější aktualizaci a další části se stahují vzdáleně po částech, automatická kontrola ho nemusí zachytit včas. NÚKIB v samostatných doporučeních varuje před náhle populárními aplikacemi a doporučuje kontrolovat jejich oprávnění, zejména u utilit, které logicky žádná zvláštní oprávnění potřebovat neměly.

Pětice aplikací z Google Play je pryč. Trojan Anatsa ale ne; vrací se v nových obálkách a čeká na další vlnu uživatelů, kteří si stahují „čistič telefonu“ a nekontrolují, co po nich aplikace požaduje.

Proč skenery pletou oprávnění s nebezpečím

Většina současných detekčních přístupů funguje na jednoduchém principu: vezme seznam oprávnění, která aplikace žádá, podívá se na volání citlivých API a porovná vzorce s tím, co zná z databází malwaru. Problém je, že tento postup nerozlišuje kontext. Aplikace pro zálohování souborů legitimně potřebuje přístup k úložišti, kontaktům i síti a statisticky pak může vypadat podobně jako spyware.

Studie pracovala s testovací sadou 270 benigních aplikací z 49 kategorií Google Play, z nichž každá deklarovala minimálně devět takzvaných nebezpečných oprávnění. Šest porovnávaných baseline detektorů (Drebin, MalScan, MsDroid, MaskDroid, LAMD a ForDroid) u těchto aplikací vykázalo míru falešných poplachů mezi 54,1 a 80,0 procenty. Více než polovina aplikací se širokými oprávněními byla označena jako malware.

Na druhé straně barikády stojí škodlivý kód, který vypadá nevinně. Studie popisuje konkrétní vzorec: aplikace čte příchozí SMS a odesílá je přes HTTP na vzdálený server. Obě operace (čtení zpráv i síťová komunikace) existují i v legitimních aplikacích. Detektory založené na izolovaných signálech je proto snadno přehlédnou.

Tři důvody, proč je behaviorální detekce tak těžká

Autoři studie pojmenovali tři překážky, které brání přechodu od povrchových signálů ke skutečné analýze chování:

• Škodlivé chování je řídké. V kódu aplikace tvoří zlomek celkové funkčnosti a je schované mezi tisíci legitimními operacemi.
• Chování se těžko mapuje na kód. Jedno škodlivé chování, třeba krádež SMS, je rozprostřené přes více funkcí a cest spuštění. Najít všechny relevantní části vyžaduje propojení fragmentů, které samy o sobě vypadají neškodně.
• Kontext je implicitní. Aplikace sama neřekne, jestli běží na pozadí za zády uživatele. Detektoru nikdo neprozradí, zda čtení SMS odpovídá deklarované funkci kalkulačky, nebo zda uživatel o sběru dat vůbec ví.

Co dělá PRAXIS jinak

Framework PRAXIS (název vychází z „evidence-based detection“) opouští model „spočítej oprávnění a porovnej s databází“. Místo toho pracuje ve třech krocích. Nejprve z hrubých signálů formuluje hypotézy o možném chování. Pak každou hypotézu ověřuje analýzou kódu a hledá konkrétní důkazní řetězce, které potvrdí nebo vyvrátí, že se dané chování skutečně odehrává. Nakonec posuzuje kontext: je uživatel o chování informován? Odpovídá to deklarované funkci aplikace? Skládají se jednotlivé kroky do útočného vzorce?

Výsledky mluví jasně. PRAXIS dosáhl celkového F1 skóre 87,4 procenta, nejsilnější základní linie (Drebin) skončila na 68,8 procenta a nejslabší (MsDroid) na 52,6 procenta. U benigních aplikací s vysokými oprávněními klesl podíl falešných poplachů na 13,0 procenta, tedy o 41 až 67 procentních bodů méně než u porovnávaných metod.

Jeden detail přitom ukazuje, jak zásadní je právě kontextová vrstva. Když výzkumníci z PRAXIS odstranili modul pro posuzování kontextu, F1 skóre spadlo na 24,7 procenta. Samotné „našli jsme podezřelé API“ bez pochopení, proč a za jakých okolností se volá, nestačí ani u sofistikovaného frameworku.

Co to znamená pro běžného uživatele

PRAXIS je výzkumný prototyp, nikoli aplikace ke stažení z Google Play. Komerční adopce zatím nebyla oznámena. Studie navíc netestovala konkrétní značky jako Avast, ESET nebo Bitdefender, ale kritizuje principy detekce, nikoli jednotlivé produkty. Část komerčních antivirů už ostatně sama přidává behaviorální vrstvy: Bitdefender nabízí App Anomaly Detection, ESET provádí audit oprávnění a Avast integruje ochranu proti phishingu a podvodům.

Důležitější než značka antiviru je ale způsob, jakým k ochraně telefonu přistupujete. Podle nás má smysl kombinovat několik vrstev:

• Nechat aktivní Google Play Protect, který kontroluje aplikace při instalaci i průběžně a umí škodlivou aplikaci zablokovat nebo odstranit.
• Před instalací zkontrolovat sekci Bezpečnost dat v Google Play, která ukazuje, jaká data aplikace sbírá a s kým je sdílí.
• Ověřit, jestli požadované oprávnění odpovídá hlavní funkci aplikace. Kalkulačka nepotřebuje přístup k SMS. Svítilna nepotřebuje číst kontakty.
• Ověřit identitu vývojáře. Google Play nově zobrazuje verifikační odznak u ověřených vývojářů.

Problém, který nový přístup nevyřeší

PRAXIS má slepá místa. Největší slabinou zůstává obsah načtený až za běhu aplikace, škodlivé stránky zobrazené přes WebView nebo payloady stažené a dešifrované až po instalaci. Statická analýza kódu je v těchto případech bezmocná, protože škodlivý obsah jednoduše není v instalačním balíčku přítomen.

Jen v prvním čtvrtletí roku 2026 evidoval Kaspersky přes 2,67 milionu zablokovaných mobilních útoků a více než 306 tisíc zachycených škodlivých instalačních balíčků. Mobilní malware není okrajový problém a detekce založená na povrchových signálech ho zjevně nezvládá. PRAXIS ukazuje směr od slepého počítání oprávnění k pochopení toho, co aplikace skutečně dělá a proč. Otázkou není, jestli se tímto směrem bezpečnostní průmysl vydá, ale jak rychle.

Tři cesty, jak GigaWiper zničí vaše data

GigaWiper není jednoduchý škodlivý program s jedinou funkcí. Microsoft popsal tři odlišné destruktivní režimy, z nichž každý sám o sobě stačí k tomu, aby data na disku přestala existovat.

Přímé zničení fyzického disku. Malware přes rozhraní WMI najde všechny fyzické disky v počítači. U disků, na kterých neběží Windows, znovu inicializuje metadata oddílů a následně zapisuje přímo do surového obsahu disku. Po takovém zásahu neexistuje tabulka oddílů ani souborový systém; disk je z pohledu operačního systému prázdné úložiště.

Falešný ransomware. Druhý režim vypadá jako klasický vyděračský útok: soubory se zašifrují algoritmem AES-256, přejmenují se na příponu .candya změní se tapeta plochy. Jenže klíč i inicializační vektor malware náhodně vygeneruje a nikam je neuloží. Neexistuje výzva k zaplacení výkupného, neexistuje platební adresa ani způsob dešifrování. Je to stěrač převlečený za ransomware.

Vícenásobný přepis systémového disku. Třetí režim, který Microsoft označuje jako WipeCMain, cílí přímo na disk s Windows. Přepisuje ho několika průchody s různými bajtovými vzory. Výsledek je stejný jako u prvního režimu: data jsou pryč.

Podstatné je, že GigaWiper zasahuje i další fyzické disky připojené k počítači. Záloha na druhém interním disku nebo trvale připojeném externím disku tedy nepomůže.

Proč se maskuje zrovna za aktualizaci OneDrivu

Maskování za legitimní systémové procesy je osvědčená útočná taktika. Databáze MITRE ATT&CK ji eviduje jako subtechniku „Masquerade Task or Service“ a uvádí desítky případů, kdy různé skupiny zneužívají důvěryhodně znějící názvy úloh a služeb. GigaWiper z tohoto scénáře vychází.

Konkrétně vytvoří v Plánovači úloh Windows úlohu pojmenovanou přesně „OneDrive Update“ a spojí ji s klíčem v registru HKCU\SOFTWARE\OneDrive\Environment. Úloha se spouští při každém startu systému a opakuje se každou minutu. Právě tento krátký interval je zásadním vodítkem. Legitimní aktualizační mechanismus OneDrivu podle oficiální dokumentace Microsoftu kontroluje nové verze přibližně jednou za 24 hodin a aktualizace provádí přes proces OneDriveSetup.exe /update /restart. Úloha, která se spouští šedesátkrát za hodinu a spouští neznámý binární soubor, je proto silně podezřelá.

Název „OneDrive Update“ zvolili útočníci záměrně. OneDrive je předinstalovaný na stovkách milionů počítačů s Windows a jeho aktualizační úloha nikoho nepřekvapí. Administrátor, který projde seznam naplánovaných úloh, si ji snadno může splést s legitimním procesem.

Nejprve špionáž, pak destrukce

GigaWiper není jen stěrač. Než útočníci vydají příkaz ke zničení dat, malware funguje jako plnohodnotný backdoor napsaný v jazyce Go. Umí sbírat systémové informace, pořizovat snímky obrazovky, zaznamenávat dění na monitoru, vzdáleně ovládat počítač přes rozhraní VNC a odesílat soubory na servery útočníků prostřednictvím protokolu MinIO.

Komunikaci s řídicí infrastrukturou zajišťuje přes RabbitMQ (protokol AMQP) pro příjem příkazů a Redis pro odesílání výstupů. Jak upozorňuje sekundární analýza společnosti Binary Defense, v podnikových sítích, kde se RabbitMQ legitimně používá, může tento provoz splynout s běžnou komunikací mezi aplikacemi, což odhalení výrazně komplikuje.

Logika je pragmatická: útočníci nejprve maximalizují hodnotu přístupu, stahují citlivá data, mapují síť a získávají potřebné údaje. Teprve když z napadeného prostředí vytěží maximum, spustí destrukci a „spálí“ svůj přístup. Microsoft v analýze uvádí, že GigaWiper vychází ze starších destruktivních rodin Crucio a FlockWiper, ale spojuje jejich funkce do jednoho implantátu. Méně nástrojů v síti znamená menší šanci na odhalení.

Část bezpečnostních expertů spojuje GigaWiper s aktivitou napojenou na Írán; Binary Defense s odkazem na Google Threat Intelligence Group hovoří o cílení na izraelské subjekty. Microsoft ve svém veřejném rozboru konkrétního aktéra nejmenuje. Veřejně potvrzené české oběti se zatím nepodařilo ověřit.

Jak se bránit a co konkrétně zkontrolovat

GigaWiper je nástroj nasazovaný až po průniku; útočníci ho instalují poté, co se do sítě nebo počítače dostanou jiným způsobem. Nejde o malware, který by se masově šířil e-mailem nebo přes infikované webové stránky. To ale neznamená, že se běžného uživatele netýká: pokud by se na konkrétní počítač dostal, zničí data bez ohledu na to, zda jde o firemní nebo domácí zařízení.

Co zkontrolovat v Plánovači úloh:

• Úlohu přesně pojmenovanou „OneDrive Update“
• Spouštění při startu systému s opakováním každou minutu
• Akci spouštějící neznámý binární soubor místo standardního OneDriveSetup.exe
• Přítomnost klíče HKCU\SOFTWARE\OneDrive\Environment v registru
• Nastavení skrytého úkolu a automatického restartu při selhání

Jak má vypadat záloha, která přežije stěrač:

Microsoft ve svých doporučeních doporučení pro ochranu proti ransomwaru požaduje pravidlo 3-2-1-1: tři kopie dat, na dvou různých médiích, jedna kopie mimo pracoviště a jedna neměnná (immutable) nebo plně izolovaná. Záloha na druhém disku ve stejném počítači nestačí, protože GigaWiper cíleně vyhledává a přepisuje i další fyzické disky.

Microsoft Defender detekuje GigaWiper pod názvy zahrnujícími GigaWiper, FlockWiper a WprFlock; Malwarebytes uvádí detekce Trojan.FlockWiper a Backdoor.GigaWiper. Aktualizovaný antivirus s cloudovou ochranou je základní, nikoli však dostačující vrstva obrany.

GigaWiper připomíná, že nejnebezpečnější malware dnes nemusí krást hesla ani zobrazovat reklamy. Tiše čeká, sbírá data a na povel smaže vše, co najde. Jedinou skutečnou pojistkou jsou zálohy, ke kterým se útočník nedostane.

Jak se falešné weby dostaly nad originály

Nejde o placenou reklamu v Googlu, alespoň pro to veřejné zdroje neposkytují důkazy. Analytická firma Fullstory už v listopadu 2025 popsala mechanismus, který stojí za vysokou pozicí těchto napodobenin: WordPressové šablony plněné obsahem generovaným umělou inteligencí a převzatým z jiných webů, placené zpětné odkazy přes takzvané „pay-for-play“ publikace a několik vzájemně propojených domén. Z jejich vzorku 165 podobných webů téměř polovina mířila na projekty hostované na GitHubu nebo SourceForge, tedy na menší open-source nástroje, jejichž autoři často nemají právní oddělení ani rozpočet na SEO.

Výsledek? Falešný web s generickými návody a zastaralým logem se ve výsledcích Googlu dostal nad oficiální stránku projektu. Check Point i Fullstory to dokumentují na konkrétních příkladech. Pro běžného uživatele, který hledá utilitu a klikne na první odkaz, je rozdíl prakticky neviditelný.

Klik, který vypadá nevinně, ale spouští řetězec

Tady je klíčový technický detail, který odlišuje tuto kampaň od klasického phishingu. Nejde o falešný formulář. Web funguje jako legitimní projektový portál a když najedete myší na tlačítko „Download“, v levém dolním rohu prohlížeče uvidíte aktuální adresu GitHubu. Vypadá to bezpečně.

Jenže první klik zachytí JavaScript. Místo GitHubu se otevře takzvaný Traffic Distribution System (TDS), tedy přesměrovací řetězec, který na základě vaší polohy, prohlížeče, IP adresy a dalších parametrů rozhodne, kam vás pošle. Část uživatelů dostane nebezpečný software, třeba falešný instalátor Opery. Část obdrží přímo malware. Při opakovaném pokusu ze stejné IP adrese navíc může výsledek vypadat úplně jinak, protože skripty využívají frekvenční limity a lokální úložiště prohlížeče. To, že „jsem to zkoušel a nic se nestalo“, tedy nic nevyvrací.

Check Point v širší infrastruktuře doložil tři malwarové rodiny:

• RemusStealer – infostealer zaměřený na více než 20 webových prohlížečů, několik typů rozšíření, kryptopeněženky, nástroje pro dvoufaktorové ověření a správce hesel. Krade také obsah schránky, snímky obrazovky a soubory.
• AnimateClipper – upravuje kryptoměnové adresy ve schránce, takže převod může odejít na účet útočníka.
• SessionGate – vícestupňový loader s antianalytickými technikami používaný k doručování dalšího nežádoucího softwaru.

První veřejně zachycená nabídka RemusStealeru z podzemního prostředí se objevila 12. února 2026 na ruskojazyčném fóru. Relevantní vzorky na VirusTotal měly více než 5 000 odeslaných souborů, což ukazuje na nezanedbatelný rozsah kampaně.

Které aplikace jsou zasažené

Check Point ve své analýze jmenuje napodobeniny nástrojů Ghidra, dnSpy, ILSpy, grpcurl, MQTT Explorer, MFCMAPI, WinSetupFromUSB, CrystalDiskMark nebo GUIFormat. Vývojář Wintoys ve své analýze 72 domén identifikoval kopie PowerToys, WinUtil, EasyBCD, CrystalDiskMark a samotného Wintoys.

Veřejná varování přišla i odjinud. Moderátoři komunity SignalRGB upozornili, že doména signalrgb.io je škodlivá a jediným oficiálním zdrojem je signalrgb.com. Podobně se ozvala i komunita Lively Wallpaper.

Důležité upřesnění: u všech 72 domén není samostatně doloženo, že každá z nich přímo distribuovala malware. Bezpečně lze říct, že jde o síť napodobenin windowsových aplikací, přičemž širší ekosystém, do kterého patří, už malware prokazatelně šířil. Pro běžného uživatele je ale prakticky jedno, jestli konkrétní falešný web je dnes „jen“ SEO past a zítra zdroj malwaru. Pokud stahujete .exe soubor z neověřené domény, nacházíte se v rizikové zóně.

Jak se chránit a co dělat, pokud jste už něco stáhli

Česká lokalizace ani .cz domény nejsou ve veřejných zdrojích doložené, jde o globální, anglicky vedenou infrastrukturu. Česko ale není z geofiltrování TDS automaticky vyloučeno, takže čeští uživatelé mohli do řetězce spadnout stejně jako kdokoli jiný.

Základní pravidlo: softwaru věřte distribučnímu kanálu, ne pozici ve vyhledávání. Oficiální zdroje klíčových zmíněných aplikací:

• PowerToys – vydávání přes GitHub nebo Microsoft Store.
• CrystalDiskMark – web Crystal Dew World (crystalmark.info).
• EasyBCD – webová stránka NeoSmart Technologies (neosmart.net).
• Wintoys – výhradně Microsoft Store; sám vývojář uvádí, že jiný distribuční kanál nepoužívá.
• Lively Wallpaper – GitHub repozitář rocksdanister/lively.
• SignalRGB – pouze signalrgb.com.

U každého staženého instalátoru si ověřte digitální podpis: pravé tlačítko na soubor → Vlastnosti → karta Digitální podpisy. V PowerShellu totéž provede příkaz Get-AuthenticodeSignature. Nepodepsaný .exe soubor u známého nástroje je silný varovný signál.

Pokud jste v poslední době stáhli některou z těchto aplikací z neověřeného webu, Microsoft doporučuje aplikaci odinstalovat, aktualizovat definice Windows Defenderu, spustit úplnou kontrolu a při pochybnostech také offline kontrolu. Zkontrolujte historii ochrany v nastavení Zabezpečení Windows. Pokud jste po spuštění podezřelého souboru měli v prohlížeči uložená hesla, správce hesel nebo rozšíření pro kryptopeněženky, RemusStealer cílí přesně na tyto údaje. Změna hesel není přehnaná opatrnost, ale základní bezpečnostní krok.

Celá kampaň ukazuje posun v tom, jak se malware distribuuje. Útočníci už nepotřebují, abyste klikli na podezřelý e-mail nebo otevřeli přílohu od neznámého odesílatele. Stačí zadat do Googlu název aplikace a kliknout na první výsledek.