Malware CloudEyE útočí na české uživatele PC

Září bylo opět měsícem větší aktivity škodlivého kódu CloudEyE. Vyplývá to z pravidelné analýzy kybernetických hrozeb pro operační systém Windows v České republice od společnosti ESET.

Bezpečnostní experti monitorují tento škodlivý kód po celý letošní rok a upozorňují především na jeho povahu a funkce, díky kterým se stal tolik oblíbeným mezi kybernetickými útočníky: skryté šíření infostealerů, silná ochrana před odhalením bezpečnostními nástroji a možnost pořídit ho pohodlně na černém trhu bez nutnosti dalších úprav a vývoje. Útočníci ho šíří, podobně jako známé infostealery Formbook nebo Agent Tesla, prostřednictvím falešných e-mailových příloh.

Malware CloudEyE se v podobném rozsahu objevoval v Česku naposledy v lednu a březnu letošního roku. Hranici 50 % všech zachycených detekcí znovu překročil až nyní v září, a to po výrazně slabších srpnových číslech. Útočníci si totiž po větších útocích ponechávají následující měsíc na přípravu nových kampaní.

„Absolutně nejsilnější vlnu útoků jsme tentokrát zaznamenali ke konci září. Útoky byly opět upraveny i na míru českým uživatelům a uživatelkám. Mezi škodlivými e-mailovými přílohami, do kterých útočníci malware CloudEyE ukrývají, se objevovaly názvy jako smlouva nebo objednávka,“ shrnuje zářijovou statistiku kyberhrozeb pro Českou republiku Martin Jirkal, vedoucí analytického týmu v pražské výzkumné pobočce společnosti ESET. „CloudEyE je mezi útočníky zkrátka oblíbeným nástrojem, a to hned z několika důvodů: pomáhá šířit infostealery, je upravený tak, aby ho nebylo snadné odhalit, a útočníci si ho mohou pohodlně pořídit na černém trhu. Je tak ideálním nástrojem, který si nemusí sami vyvíjet,“ vysvětluje Jirkal.

Škodlivý kód CloudEyE funguje jako tzv. loader. Jeho hlavním úkolem je cílové zařízení v první fázi napadnout a ve druhé fázi do něj stáhnout další malware, v tomto případě tedy například infostealer Rescoms, Agent Tesla či Formbook. Tyto škodlivé kódy jsou pak přímým ohrožením pro naše uživatelská data, především hesla. Útočníci ho v září ukrývali nejčastěji do těchto příloh: 20260924-000581.js, SMLOUVA-pdf.js, BIK1910485_20260930.js nebo Objednávka_32262428978960745.js. Experti proto uživatelům a uživatelkám nedoporučují tuto kyberhrozbu podceňovat. K ochraně zařízení by měli zvolit profesionální bezpečnostní software a hesla nejlépe uchovávat v zabezpečených správcích hesel.

Když si útočníci mohou malware jednoduše koupit

Zatímco ještě v srpnu dosáhl počet detekcí dropperu LausivLoader skoro pětiny všech zachycených případů malwaru v Česku, v září u něj bezpečnostní experti zaznamenali znatelný pokles, a to na necelých 8 % všech detekcí. I tento škodlivý kód ukrývají útočníci do škodlivých e-mailových příloh. Samotné e-maily pak vydávají za obchodní komunikaci – poptávky, objednávky a zásilky.

„Dropper LausivLoader se již zařazuje mezi pravidelné kybernetické hrozby v Česku. Zatímco počet detekcí loaderu CloudEyE v září vzrostl, u tohoto dropperu jsme zaznamenali pokles. Situaci monitorujeme a uvidíme, co nám o této hrozbě řekne příští měsíc. Ani tento škodlivý kód bych rozhodně nepodceňoval – dropper funguje jako obálka a slouží opět k nepozorovanému doručení dalšího malwaru do svého cíle, kde ho rozbalí. I LausivLoader je inzerovaný jako komerční nástroj, a to dokonce s informací, že je určený pro obcházení ochrany operačního systému Windows,“ říká Jirkal.

LausivLoader se v září nejčastěji ukrýval v přílohách s názvy Kopia oferty BM190.js, Request for qoutation.js nebo FedEx_Shipment_Document.js.

Rizikem je i vzdálené ovládnutí počítače

V září se v pravidelné statistice objevil také malware Agent.GDN. Na její přední příčky se tentokrát vyšplhal poprvé. Nejvíce aktivní byl koncem měsíce. Jedná se o tzv. RAT – nástroj pro vzdálené ovládání počítače.

„Tento malware funguje tak, že po spuštění připojí napadený počítač k řídicím serverům útočníka a skrytě, klidně i po dlouhou dobu, čeká na jeho příkazy. Nabízí útočníkům široké využití: virtuální desktop, na němž útočník ovládá obrazovku oběti, která to ale zároveň nevidí, krádež přihlašovacích údajů z desítek prohlížečů, krádež kryptoměnových peněženek, export dat z Telegramu, zaznamenávání stisků kláves, snímání obrazovky, ovládání webové kamery a mikrofonu či plnou práci se soubory. Co považuji za zvlášť nebezpečné, je to, že během bankovních operací umí navíc přes celou obrazovku umístit domnělé okno s ohlášením aktualizace Windows, čímž zamkne počítač a zakryje to, co se na něm právě děje,“ říká Jirkal z ESETu.

Kybernetické hrozby pro operační systém Windows se nejen v Česku šíří prostřednictvím phishingových e-mailů. V případě obrany zde platí jednoduché pravidlo – pokud obdržíme nějakou zprávu bez předchozího vyžádání, automaticky bychom k ní měli přistupovat skepticky a zkontrolovat adresu odesílatele. V takových zprávách bychom neměli klikat na odkazy ani stahovat a otevírat přiložené soubory.