Zvlášť zákeřný virus se usadí v Androidu a nejde smazat. Sleduje obrazovku, čte hesla a míří na bankovní účty

Bezpečnostní firma Group-IB odhalila novou verzi bankovního trojanu, který si v telefonu sám otevře vývojářský přístup a brání vlastnímu smazání.

Zdroj fotografie: Pexels

RedHook není běžný mobilní malware, který by šlo odinstalovat jedním tahem. Nová verze tohoto trojanu pro Android kombinuje sledování obrazovky v reálném čase, záznam každého stisku klávesy, krádež hesel a ověřovacích kódů a vzdálené ovládání telefonu, to vše zabalené do mechanismu, který po pokusu o smazání malware znovu aktivuje. Výsledek: útočník vidí totéž co oběť, sbírá bankovní přihlašovací údaje a může přímo na napadeném zařízení provést finanční podvod. Podle Group-IB jde o první zdokumentovaný případ, kdy malware tímto způsobem zneužil funkci Wireless ADB, vývojářský nástroj, o kterém většina uživatelů ani neví, že v jejich telefonu existuje.

Co přesně RedHook v telefonu dělá

Sada příkazů narostla z 34 v roce 2025 na 53 v aktuální verzi. Výčet schopností je nepříjemně dlouhý:

• Sledování obrazovky – stream přes WebSocket, po získání vyšších oprávnění i přes RTMP protokol, a to bez standardního dialogu, který by uživatele upozornil na nahrávání.
• Keylogging – záznam každého stisku kláves, včetně zadávaných hesel a PIN kódů.
• Phishingové překryvy – falešné formuláře napodobující bankovní aplikace, kde oběť sama vyplní jméno banky, číslo účtu, heslo i šestimístný ověřovací kód.
• Vzdálené ovládání – klikání, swipování, otevírání aplikací, instalace i odinstalace dalších APK, spuštění kamery nebo restart telefonu.
• Sběr dat – kontakty, SMS zprávy, snímky obrazovky a informace o zařízení.

Právě kombinace živého přenosu obrazovky, zachycených ověřovacích kódů a vzdáleného ovládání dává útočníkovi nástroje k převzetí bankovní relace. Nejde jen o jednorázovou krádež hesla; operátor na druhé straně může transakci provést přímo na napadeném telefonu, zatímco jeho majitel nic netuší.

Proč ho běžný uživatel prakticky nesmaže

Označení „nejde smazat” není přehnané, i když technicky přesnější je „velmi obtížně odstranitelný při běžné uživatelské odinstalaci”. RedHook si v systému buduje vícevrstvou obranu:

Malware přes službu Accessibility sám sedmkrát klepne na číslo sestavení v nastavení, zapne vývojářské možnosti, otevře Wireless Debugging, získá párovací kód a jeho vestavěný ADB klient naváže spojení s lokálním ADB démonem přes adresu 127.0.0.1. Telefon se tak stane sám sobě hostitelem vývojářského přístupu. Tím RedHook spustí privilegovaný helper pod shell oprávněními (uid 2000), bez rootu a bez připojeného počítače.

Persistence pak stojí na několika pilířích najednou. Dva oddělené procesy se navzájem hlídají a oživují. Téměř neviditelná aktivita o rozměru 1×1 pixel běží na pozadí. Tichý audio stream udržuje prioritu procesu. WakeLock brání uspání procesoru. Parametr oom_score_adj nastavený na −1000 říká systému, aby proces nezabíjel ani při nedostatku paměti. Po restartu telefonu se malware znovu spustí, obnoví Wireless ADB a znovu nasadí svůj shell helper. Kontrola běží každých pět minut. Nejde tedy o rootkit ve firmwaru, ale o hluboké usazení v systému přes legitimní androidí mechanismy, které dohromady tvoří mimořádně odolný řetězec.

Koho zatím ohrožuje, a proč by to mělo zajímat i Čechy

Veřejně doložené kampaně RedHooku míří na Vietnam a nově na Indonésii. Již v roce 2025 bezpečnostní firma Cyble zdokumentovala, jak malware napodoboval vietnamské instituce (State Bank of Vietnam, banku Sacombank nebo vládní služby). Pro Česko ani Evropu otevřené zdroje k červenci 2026 konkrétní kampaň nedokládají a české banky ve veřejné verzi reportu jmenované nejsou.

Jenže technika funguje na Androidu 11 a novějším napříč značkami telefonů. Stačí, aby uživatel kdekoli na světě stáhl podvržené APK a povolil mu citlivá oprávnění. Podle Googlu se v aplikacích instalovaných mimo oficiální obchod vyskytuje více než 90× více malwaru než v Google Play. RedHook se šíří právě přes falešné weby maskované jako Google Play nebo jako legitimní finanční a vládní služby. Riziko proto není geograficky omezené.

Cyble navíc ve starší verzi kódu našla čínské jazykové artefakty, které naznačují čínsky mluvícího aktéra. Veřejná atribuce ale chybí; detailnější informace Group-IB sdílí pouze se zákazníky.

Jak se bránit a co dělat při podezření na infekci

Nejkritičtější moment nenastává po návštěvě webu, ale ve chvíli, kdy uživatel po telefonátu nebo zprávě nainstaluje falešné APK a povolí mu přístup k Accessibility. Varovné signály jsou přitom rozpoznatelné: nečekaný kontakt s naléháním na instalaci mimo Google Play, web pouze napodobující oficiální stránku, pravopisné chyby nebo požadavek na změnu citlivých nastavení bez smysluplného vysvětlení.

Pokud je telefon čistý, prevence je přímočará: stahovat aplikace výhradně z Google Play, mít zapnutý Play Protect a neschvalovat přístup k Accessibility aplikacím, které ho nepotřebují. Google v Androidu 16 navíc spustil režim Advanced Protection, který blokuje instalaci z neznámých zdrojů a omezuje služby Accessibility na ověřené nástroje. V Androidu 17 má přijít ještě tvrdší zásah: odebrání přístupu k Accessibility všem aplikacím, které nejsou výslovně označené jako nástroje pro zpřístupnění.

Při podezření na infekci:

• Okamžitě kontaktovat banku přes oficiální číslo (ne přes vyskakovací okno v telefonu) a zablokovat účty, ke kterým měl telefon přístup.
• Zapnout Play Protect včetně rozšířené detekce škodlivých aplikací.
• Nainstalovat všechny systémové a bezpečnostní aktualizace.
• Odstranit nedůvěryhodné aplikace, ideálně přes nouzový režim.

Pokud příznaky přetrvávají, Google doporučuje tovární reset nebo řešení přímo s výrobcem zařízení.

Co dělá RedHook výjimečným mezi bankovními trojany

Phishing, vzdálený přístup, keylogging, krádež SMS – to všechno umí i jiné malwarové rodiny. Zásadní rozdíl je v tom, jak RedHook skládá běžné androidí nástroje do jednoho řetězce. Sám si zapne vývojářskou funkci, sám se spáruje, sám si zajistí vyšší oprávnění a sám se po každém pokusu o odstranění znovu aktivuje. Group-IB výslovně uvádí, že takové zneužití Wireless ADB u malwaru dosud nezaznamenala.

Právě tahle modularita a odolnost z něj dělají hrozbu, která přesahuje obvyklý scénář „stáhni si škodlivou aplikaci, přijdeš o heslo”. Tady útočník získá trvalý, privilegovaný a těžko odstranitelný přístup k celému zařízení, a s ním i ke všemu, co na něm oběť dělá.