Aktivně zneužívané Aktuálně

CopperDragon zásobuje čínské špionážní skupiny nástroji Sparrow – mezi cíli je i Česko

Check Point Research 10. listopadu 2026 zveřejnil roční rozbor rodiny nástrojů Sparrow a jejího pravděpodobného vývojáře, kterého nazývá CopperDragon. Nástroje podle něj sdílí několik čínských špionážních skupin, útočí na operátory, státní správu a armádu – a jedna ze tří popsaných kampaní mířila i na Česko přes napadené weby s falešnou chybou certifikátu Chrome.

Redakce Kyberkitu · 10. listopadu 2026 · událost ze dne 10. listopadu 2026 · čtení na 4 minuty · Pro správce a analytiky

Aktivně zneužívané: CopperDragon Sparrow

Ve zkratce

Check Point připisuje sadu nástrojů Sparrow subjektu CopperDragon, který podle něj vyvíjí a dodává nástroje pro čínské skupiny jako FamousSparrow, Earth Estries, TropicTrooper a UAT-9244. Sdílené nástroje ale podle CPR neznamenají, že útok vedla stejná skupina.
Kampaň SilentDelivery (sledovaná od začátku roku 2026) napadla legitimní weby a místo obsahu ukazovala falešnou chybu certifikátu Chrome s tlačítkem k instalaci CertFixer.msi. Mezi zeměmi cílů jmenuje Česko, Německo, Francii, Tchaj-wan, Nepál, Hongkong a Indonésii.
Kampaň OceanGate pronikla přes zranitelný linuxový server dostupný z internetu, DarkWire míří na nejméně tři velké operátory v Latinské Americe. Arzenál zahrnuje zadní vrátka pro Windows i Linux, rootkit, upravené SSH krádoucí hesla a nástroje na krádež přihlašovacích údajů z LSASS.
Check Point nejmenuje žádné CVE. Zveřejnil přes 50 otisků souborů, 14 domén a skoro sto IP adres.

Co se stalo

Check Point Research (CPR) 10. listopadu 2026 zveřejnil výsledek zhruba ročního vyšetřování rodiny nástrojů Sparrow. Jejího pravděpodobného vývojáře a dodavatele nazývá CopperDragon a označuje ho za „digitálního proviantníka“ čínských špionážních skupin. Nástroje podle CPR používají mimo jiné FamousSparrow, Earth Estries, TropicTrooper a UAT-9244. CPR zároveň upozorňuje, že sdílené nástroje nebo infrastruktura ještě neznamenají, že konkrétní útok vedla stejná skupina.

Rozbor popisuje tři kampaně:

Kampaň	Kde a na koho (podle CPR)	Jak se útočníci dostali dovnitř
SilentDelivery	Česko, Německo, Francie, Tchaj-wan, Nepál, Hongkong, Indonésie	napadené legitimní weby s falešnou chybou certifikátu, spear phishing s archivem RAR
OceanGate	hlavně státní správa a kritická infrastruktura v Asii	zranitelný linuxový server dostupný z internetu (bez jména produktu)
DarkWire	nejméně tři velcí operátoři v Latinské Americe a státní instituce	CPR nepopisuje

Jak útok probíhá

Útok přes napadený web (Check Point Research, 10. 11. 2026)

SilentDelivery. Skript zamaskovaný nástrojem jsjiami nahradí obsah napadené stránky falešným hlášením Chrome o chybě certifikátu a tlačítkem „Certificate Fix“. Instalátor CertFixer.msi spustí zadní vrátka SquadC, která kontrolují sandbox, běží jen při otevřeném prohlížeči a usadí se v klíči Run pod hodnotou WindowsUpdateAssist. Umí vypsat a mazat soubory, spouštět příkazy a pořizovat snímky obrazovky. V jednom případě se útočníci na web dostali přes chybu XSS v nezabezpečeném formulářovém poli.

Zbytek arzenálu. Pro Windows CPR popisuje zadní vrátka SparrowDoor (i pasivní variantu, která přes ovladač WinDivert odchytává provoz na portu 443) a modulární CopperDoor s obcházením EDR a variantou CopperDNS, která tuneluje přes dotazy DNS MX. Dál zavaděče přes DLL sideloading, proxy SOCKS5, keylogger, výpis paměti LSASS, škodlivý balíček LSA na krádež hesel NTLM a Kerberos a nástroj CopperAdu, který vytvoří skrytý účet správce admin$ a otevře SMB na portu 445. Pro Linux zadní vrátka SparrowShell s upraveným rootkitem Reptile, AnnobinDoor v jazyce Go a upravené ssh a sshd, které zapisují hesla správců.

Koho se to týká

Cílem jsou telekomunikační operátoři, státní správa, armáda, výzkumné instituce, kritická infrastruktura, zahraniční věci a justice. Napadené weby pro SilentDelivery patřily státní správě, lodní dopravě a IT/výzkumu. Česko je výslovně mezi zeměmi kampaně SilentDelivery, CPR ale nejmenuje žádnou konkrétní oběť a Slovensko nezmiňuje. NÚKIB k rozboru do 10. listopadu 2026 nic nevydal. Ohrožený je i běžný zaměstnanec, který na napadeném webu falešnou „opravu“ spustí.

Jak poznat napadení

Výběr indikátorů z rozboru CPR (úplný seznam s dalšími desítkami IP a otisků je ve zdroji). Domény a IP jsou zneškodněné závorkami:

# Domény
microsfot[.]vip
microscoft[.]vip
aistei[.]com
astorialaza[.]com
windowsdefender.it[.]com
windowsupdates[.]us
microupdate[.]me
windefender[.]net
seosnskorea[.]com
amelicen[.]com
jamvybez[.]com
artfingo[.]com
faceorkut[.]com
aauctioneer[.]com

# IP kampaně SilentDelivery
135.136.135[.]54
103.141.235[.]123
109.205.195[.]131
158.255.213[.]189
165.154.227[.]16
45.197.12[.]11
91.210.164[.]5

# SHA-256 CertFixer.msi (instalátor SquadC)
715c206629f59ff5b0134a33362162ce7a40a9b25aa17f0543dc9648d51a67cf
b379d07ba81d4190490d9893b2d6d830ff594e042dce26053ef07794d0403787
e5f7bbfc187264336dea5dfebfb5a7dd1e7fcdcc9692db55fbe6eb4d28f027bc
e9f2f42ea3611096879f4152a7d78bb3a78a4dbead1c3b7e366dce485207551f
f44159bec1d4d3f340652cd3c6e250dcf2bdb266e5400d3e267f0466d290dda0
f51dc5e1848daee4e607d46faa25033e1151060cd3482ad4439754440d6c4c01

# Stopy na stanici
Run: WindowsUpdateAssist
účet: admin$
pravidla firewallu: RasiUwpApp (TCP 445), ss1
výpis LSASS přejmenovaný na 1.png
SoftEther VPN přejmenovaný na vmtoolsd.exe

Další stopy podle CPR: certifikáty TLS s falešným CN CN=8.8.8.8, hodnota LocalAccountTokenFilterPolicy nastavená na 1, výpisy přes comsvcs.dll MiniDump, načtený ovladač WinDivert, neznámé jaderné moduly na Linuxu a binárky ssh/sshd, jejichž otisk nesedí s balíčkem distribuce (na Debianu/Ubuntu debsums -c openssh-client openssh-server, na RHEL rpm -V openssh-clients openssh-server).

Seznam do SIEM nebo firewallu připravíte v našem IOC extraktoru, otisky souborů ověříte hash kalkulačkou. Obojí běží jen ve vašem prohlížeči.

Co udělat

Prověřte logy proxy, DNS a EDR na uvedené domény, IP a otisky – zvlášť pokud jste operátor, úřad, armáda nebo výzkumná instituce.
Hledejte stopy na stanicích a serverech: účet admin$, pravidlo firewallu RasiUwpApp, hodnotu Run WindowsUpdateAssist a podvržené DLL v C:\ProgramData a C:\Windows\debug.
Ověřte integritu SSH na linuxových serverech dostupných z internetu a aktualizujte všechno, co je vystavené do internetu.
Poučte uživatele: web nikdy nechce kvůli certifikátu nic instalovat. Instalaci MSI z prohlížeče můžete omezit politikou (AppLocker, WDAC).
Když stopy najdete, berte za kompromitovaná hesla všech účtů, které se na stroji přihlašovaly (nástroje kradou z LSASS i ze SSH), a nahlaste incident NÚKIB (na Slovensku SK-CERT).

Časová osa

Klíčová data (Check Point Research, ESET)

Časté otázky

Mám se bát, když jsem běžný uživatel?

Cílem jsou organizace – operátoři, úřady, armáda a výzkum. Užitečné pravidlo ale platí pro každého: skutečná chyba certifikátu se nikdy neřeší stažením a instalací programu z webu. Když stránka chce, abyste kvůli certifikátu něco instalovali, okno zavřete.

Kterou zranitelnost mám opravit?

Check Point žádnou nejmenuje. U kampaně OceanGate píše jen o zranitelném linuxovém serveru dostupném z internetu, v jednom případě SilentDelivery o chybě XSS na napadeném webu. Jde proto hlavně o hledání napadení a aktualizaci všeho, co je vystavené do internetu.

Které české organizace byly zasaženy?

Check Point žádné konkrétní oběti v Česku nejmenuje, uvádí jen Česko mezi zeměmi cílů kampaně SilentDelivery. NÚKIB k rozboru k 10. listopadu 2026 nic nevydal.

Je CopperDragon totéž co Salt Typhoon?

To nikdo veřejně nedoložil. FamousSparrow byla dřív spojována se Salt Typhoon, ale Check Point píše, že vztah je nejasný, a ESET už v březnu 2025 považoval FamousSparrow za samostatnou skupinu jen s volnými vazbami na ostatní.

Zdroje

Našli jste v článku chybu? Dejte nám vědět, opravu vyznačíme.