Ani to netušíte. Zdánlivě neškodná rozšíření v prohlížeči mohou potají sledovat každé vaše kliknutí. Smažte je

Falešné rozšíření „Google Docs Offline“ je poslední fází vícestupňového útoku GlassWorm, který sbírá cookies, klávesy, screenshoty i session tokeny.

Zdroj fotografie: Unsplash

Když bezpečnostní firma Aikido v březnu 2026 rozebrala kampaň GlassWorm, odhalila něco neobvyklého. Škodlivé rozšíření v Chrome nebylo začátkem útoku, ale jeho závěrečným tahem. Do prohlížeče se dostalo až poté, co útočník převzal kontrolu nad celým počítačem, a to přes kompromitovaný vývojářský balíček, který si programátor nainstaloval v dobré víře. Teprve pak přišel tichý dropper, který do Chrome podstrčil rozšíření k nerozeznání od legitimního nástroje Googlu. Od té chvíle běžel odposlech. Bez notifikace, bez dialogového okna, bez jediného kliknutí uživatele.

Jak se GlassWorm dostane do počítače

Vstupní brána nevede přes Chrome Web Store. Útočníci kompromitovali legitimně vypadající npm a PyPI balíčky, v březnové vlně šlo o „react-native-country-select“ a „react-native-international-phone-number“ s kombinovanými 134 887 měsíčními stahováními. Stačilo spustit „npm install“ a skript v „preinstall hooku“ stáhl první payload.

Řetězec má tři stupně:

• Stage 1 – loader si z konkrétní Solana peněženky přečte transakční memo, dekóduje Base64 odkaz a stáhne další stage. Útočník může C2 adresu kdykoli změnit novou transakcí, aniž by balíček znovu publikoval.
• Stage 2 – RAT prohledá systém a sebere npm tokeny, GitHub tokeny, SSH klíče, přihlašovací údaje AWS/GCP/Azure, konfigurace Dockeru a Kubernetes, data z kryptopeněženek i uložená přihlášení z Chrome, Edge, Brave, Opera, Vivaldi a Firefoxu.
• Stage 3 – dropper nasadí falešné Chrome rozšíření maskované jako „Google Docs Offline“ verze 1.95.1 a zajistí perzistenci přes naplánovanou úlohu UpdateApp a registrový klíč Run.

Celý proces proběhne bez jediné uživatelské výzvy. Rozšíření se neinstaluje z Web Store, ale z lokálního adresáře, na Windows „C:\Users\<uživatel>\AppData\Local\Google\Chrome\jucku\“, na macOS „/Library/Application Support/Google/Chrome/myextension/“.

Co všechno falešné rozšíření vidí

Jakmile je virus na místě, kopíruje C2 server každých 5 až 30 sekund a čeká na příkazy. Aikido zdokumentovalo tento seznam schopností:

Příkaz	Co dělá
domsnapshot	Stáhne celý HTML obsah aktivní záložky
getcookies	Exportuje cookies včetně session tokenů
localstoragedump	Vyčte localStorage webu
take_screenshot	Pořídí screenshot aktuálního tabu
capture_clipboard	Přečte obsah schránky
history	Stáhne až 5 000 položek historie
bookmarks	Exportuje celý strom záložek
startkeylogger	Zaznamenává klávesy, formulářové hodnoty i kontext prvků
enumeration	Fingerprint hardware, prohlížeče a nainstalovaných rozšíření

Keylogger odesílá data každých 5 sekund. Aikido navíc popisuje cílený dohled nad cookies burzy Bybit, konkrétně „secure-token“ a „deviceid“. Pokud se z napadeného prohlížeče přihlašujete do banky, e-mailu nebo firemních systémů, technicky existuje přímá cesta ke kompromitaci těchto relací.

Jak odlišit falešné rozšíření od pravého

Legitimní „Google Docs Offline“ je běžnou součástí ekosystému Googlu, umožňuje offline práci s dokumenty v Chrome a Edge. Právě proto ho útočníci zvolili jako masku: většina uživatelů ho v seznamu rozšíření očekává.

Rozlišení je ale možné. Otevřete chrome://extensions a porovnejte:

• Oficiální ID: ghbmnnjooekpmoecnnnilnnbdlolhkhi
• Publisher: Google Ireland, Ltd.
• Aktuální verze: 1.102.1 (aktualizace 17. března 2026)
• Zdroj: odkaz na stránku v Chrome Web Store

Falešná varianta v kampani GlassWorm má verzi 1.95.1, nemá URL do Web Store a v systému zanechává adresáře „jucku“ nebo „myextension“. Jakýkoli duplicitní „Google Docs Offline“ bez shody na ID a publisherovi je důvod k okamžité reakci. Google doporučuje neznámé rozšíření rovnou odstranit a spustit kontrolu anti-malwarem.

Proč je GlassWorm těžké zastavit, a kdo za ním stojí

Klasický malware má pevně zakódovanou C2 adresu. Stačí ji zablokovat a kampaň padne. GlassWorm používá Solana blockchain a DHT síť jako směrovací vrstvu, decentralizovanou infrastrukturu bez jedné vypínací páky. Záložní kanály vedou přes Google Calendar a GitHub. Rotace C2 nevyžaduje nový build ani nový balíček.

Aikido i bezpečnostní firma Socket potvrzují, že malware kontroluje ruské locale a časové pásmo systému. Pokud je detekuje, zastaví činnost. Socket to interpretuje jako klasický kriminální OPSEC vzorec, kterým se operátoři vyhýbají domácímu postihu. Veřejná atributace konkrétní skupině ale chybí.

Ve veřejně dostupných zdrojích nejsou doložené konkrétní české incidenty. To neznamená, že se kampaň Česku vyhnula, znamená to jen, že nikdo veřejně nepotvrdil zasažení. Každý tým pracující s npm nebo PyPI balíčky je potenciálním cílem.

Co dělat hned

Pro vývojáře existuje open-source skener glassworm-hunter od AFINE, který prohledá rozšíření VS Code, „node_modules“, git repozitáře i Python „site-packages“. Aikido Safe Chain dokáže blokovat škodlivé balíčky přímo při instalaci a podporuje npm, pip, uv i poetry. Microsoft Defender Antivirus má detekci „Behavior:Win32/GlassWorm.A!MTB“.

Na Windows hledejte tyto konkrétní stopy: naplánovaná úloha UpdateApp spouštějící PowerShell skript z „%LOCALAPPDATA%\QtCvyfVWKH\“, registrové klíče „Run\UpdateApp“ a „Run\UpdateLedger“, soubory „SKuyzYcDD.exe“ a „index.js“ v temp adresářích. Pokud je najdete, nejde o podezření, jde o potvrzený kompromis.

Nejnebezpečnější na celé kampani není samotné rozšíření v prohlížeči. Je to fakt, že ve chvíli, kdy rozšíření začne sbírat vaše cookies a klávesy, útočník už dávno drží vaše npm tokeny, SSH klíče a přístup k infrastruktuře. Falešný „Google Docs Offline“ je jen tichý pozorovatel na konci řetězce, který začal o několik kroků dřív.