Štítek: IOC
Všechny články, které se týkají tématu IOC.
Aktivně zneužívané
FaceStealer: FBI narušila severokorejskou kampaň falešných videohovorů, USA zajistily 1,2 miliardy dolarů z krádeže na Binance
Americké ministerstvo spravedlnosti 12. listopadu 2026 oznámilo dva zásahy proti severokorejským krádežím kryptoměn. FBI narušila cloudovou infrastrukturu kampaně FaceStealer, která lidi z kryptoměnové branže a vývojáře open source zve na falešné videohovory a pod záminkou „opravy zvuku“ jim nainstaluje malware. Z krádeže více než 6 miliard dolarů na burze Binance (29. 10.) soud povolil zajistit přes 1,2 miliardy. Jak trik poznat a co dělat, když jste do takového hovoru vstoupili.
Aktivně zneužívané
Ransomware BlackNevas zničil ESXi i zálohy: útočníci zapnuli SSH přes Host Profiles ve vCenter
Tým Kaspersky GERT 13. listopadu 2026 zveřejnil rozbor útoku ransomwaru BlackNevas, který zašifroval čtyři hostitele ESXi se všemi virtuálními stroji, obě appliance vCenter i zálohovací infrastrukturu. Útočníci nepotřebovali žádnou zranitelnost ve VMware: stačily jim přihlašovací údaje ukradené z jiných systémů a běžné funkce vCenter. Shrnujeme průběh, indikátory a co v prostředí hlídat.
Aktivně zneužívané
SilentAir: státní útočník přesměrovává hovory a SMS přes napadené mobilní operátory, hlavně na Tchaj-wanu
Firma Enea, která se specializuje na bezpečnost mobilních sítí, 11. listopadu 2026 zveřejnila rozbor skupiny SilentAir. Útočník podle ní ovládá síťové prvky uvnitř operátorů v nejméně šesti asijských zemích a z nich posílá do mezinárodní signalizační sítě příkazy, které přesměrují hovory a SMS vybraných lidí k němu. U některých obětí Enea viděla, že hned po přesměrování dostaly kódy dvoufázového ověření. Shrnujeme, co je ověřené, a co z toho plyne pro operátory i pro běžné uživatele.
Aktivně zneužívané
Cairn: skupina CL-STA-1238 nechala autonomní AI agenty útočit na výrobce čipů, obranu i neziskovky
Unit 42 (Palo Alto Networks) 12. listopadu 2026 zveřejnila rozbor kampaně, ve které útočníci napojení podle ní na Čínu použili upravený open-source framework Cairn. AI agenti v srpnu a září 2026 sami vedli 25 operací proti nejméně 19 organizacím – od průzkumu po trvalý přístup. Nevyužívali nic převratného: slabá hesla, otevřené registrace a staré chyby. Co je ověřené, indikátory a co z toho plyne pro obranu.
Aktivně zneužívané
Útočníci zneužívají GSocket k skrytému přístupu na linuxové servery
Microsoft 11. listopadu 2026 zveřejnil rozbor útoků, při nichž útočníci po průniku přes zranitelnou webovou aplikaci nainstalují na linuxový server legitimní open-source nástroj GSocket. Spojení vede ven přes sdílenou relay síť, takže ho vstupní firewall nevidí, a přístup útočníkům zůstává i poté, co správce původní chybu opraví. Rozbor obsahuje cesty, hashe, domény a dotazy pro hledání.
Aktivně zneužívané
Útoky přes ScreenConnect na poskytovatele IT služeb: ConnectWise vypnulo rozšíření RMM+
ConnectWise 11. listopadu 2026 večer oznámilo, že vyšetřuje neoprávněný přístup do prostředí některých partnerů ScreenConnect – typicky poskytovatelů IT služeb (MSP). Útočníci podle firmy nejspíš zneužili rozšíření třetích stran z rodiny RMM+, která umí spouštět vzdálené příkazy, a do sítí zákazníků nasadili vlastní klienty pro vzdálený přístup. Chybu v samotném ScreenConnectu firma nenašla.
Aktivně zneužívané
wfx-loot: útočník přes ukradené tokeny GitHubu vkládá do repozitářů zloděje tajemství z CI
Výzkumníci Aikido Security a StepSecurity 12. listopadu 2026 popsali kampaň, která od 10. 11. zneužívá ukradené tokeny GitHubu. Útočník z téměř 5 000 účtů otevřel přes 60 000 testovacích pull requestů a do repozitářů, kam mohl zapisovat, vložil skript, který z GitHub Actions vysává tajemství a klíče ke cloudu. Pak stopy maže. Jak zjistit, jestli se vás to týká, indikátory a co hned udělat.
Aktivně zneužívané
Ransomware Citrus vniká přes účty dodavatelů a šifrovač Sn00py rozesílá skupinovými zásadami
Kaspersky 11. listopadu 2026 popsal Citrus – dosud nezdokumentovanou rusky mluvící ransomwarovou skupinu. Přihlásila se účty dodavatelů s minimálními právy, provoz schovala do tunelů VLESS maskovaných jako Yandex, přes chybu v AD CS opravenou v červenci se vydávala za řadič domény a nakonec šifrovač Sn00py napsaný v Go rozeslala do celé domény skupinovými zásadami.
Aktivně zneužívané
ARTEX: útočníci nechávají AI agenty hledat tajemství na GitHubu a útočit na banky
Microsoft 5. a 6. listopadu 2026 a Check Point 5. listopadu popsali skutečné útoky vedené agentním AI frameworkem ARTEX. Agenti hledají uniklé klíče na GitHubu, během minut se z nich dostanou k tajemstvím v Azure Key Vault a skupina Storm-3358 je od října nasazuje proti finančním institucím. Co hledat v logu a jak se bránit.
Aktivně zneužívané
Cisco BroadWorks: chyba XXE ze srpna se zneužívá, útočníci kradou soukromé klíče serverů
Provozujete telefonní platformu Cisco BroadWorks? Chyba CVE-2026-20320 je opravená od 19. srpna 2026, ale CISA ji 10. listopadu zařadila mezi zneužívané. Výzkumníci Malbear Labs popsali útok na evropského telekomunikačního operátora, ve kterém přes ni útočník ukradl soukromé klíče a certifikáty serveru.
Aktivně zneužívané
CopperDragon zásobuje čínské špionážní skupiny nástroji Sparrow – mezi cíli je i Česko
Check Point Research 10. listopadu 2026 zveřejnil roční rozbor rodiny nástrojů Sparrow a jejího pravděpodobného vývojáře, kterého nazývá CopperDragon. Nástroje podle něj sdílí několik čínských špionážních skupin, útočí na operátory, státní správu a armádu – a jedna ze tří popsaných kampaní mířila i na Česko přes napadené weby s falešnou chybou certifikátu Chrome.
Aktivně zneužívané
Falešné instalátory „cracknutých“ programů dělají z počítačů proxy a výpočetní uzly
Microsoft 3. listopadu 2026 popsal kampaň, která láká na falešné stránky ke stažení cracknutých programů, her a aktivátorů. Jedno spuštění upraveného instalátoru může potichu přidat proxyware, výpočetního klienta BOINC a adware, které se drží v systému přes naplánované úlohy s právy SYSTEM. Co hledat na počítačích.
Zpráva
Haiou: balík pro „osvobození“ Codexu tiše přepisuje pokyny agenta a vkládá do nich reklamu
Check Point Research 3. listopadu 2026 popsal Haiou – volně šířený balík, který programovacímu agentovi OpenAI Codex oslabí bezpečnostní omezení a zároveň mu do globálních pokynů vloží reklamu na cizí bránu k jazykovým modelům. Nejde o škodlivý kód, ale o pokyny v obyčejném textu, které běžná ochrana nevidí. Co to znamená pro firmy, kde vývojáři AI agenty používají, a co zkontrolovat.
Aktivně zneužívané
Kritickou chybu v Xen Orchestra útočníci zneužívají k převzetí virtualizace XCP-ng
Vates 10. listopadu 2026 vydal bezpečnostní upozornění VSA-2026-062 ke kritické chybě ve webové správě Xen Orchestra. Útočník bez hesla se přes REST API přihlásí jako vlastník platného tokenu, typicky administrátor, a odtud může spouštět kód na spravovaných hostitelích XCP-ng jako root. Výrobce uvádí, že chybu už útočník aktivně zneužívá. Opravené xo-server 5.213.1 a 5.211.2 vyšly téhož dne.
Aktivně zneužívané
Skupina Gorbag krade data ukrajinským úřadům u fronty a zneužívá starou chybu WinRAR
ESET Research 3. listopadu 2026 zveřejnil rozbor dosud málo popsané skupiny Gorbag, kterou označuje za spojenou s Ruskem. Od února 2025 posílá cílené e-maily ukrajinské justici, policii, radnicím v příhraničí a obranným organizacím. Od začátku roku 2026 k tomu zneužívá chybu WinRAR CVE-2025-8088, kterou výrobce opravil už v červenci 2025.
Aktivně zneužívané
Turla schovává nové nástroje Cereal přímo v Exchange a krade vládní e-maily
ESET Research 10. listopadu 2026 popsal Cereal – dosud nezdokumentovanou modulární sadu nástrojů, kterou s vysokou jistotou připisuje ruské skupině Turla. Běžela na serverech Exchange státních úřadů v Kazachstánu a Rumunsku, třídila poštu přímo v transportní službě a příkazy přijímala přes obyčejně vypadající HTTPS požadavky – bez jakéhokoli vnějšího řídicího serveru.
Aktivně zneužívané
Útočníci přes chyby v AhsayCBS zanechali na zálohovacích serverech webshelly, těžaře i implantát v Pythonu
Výzkumníci Huntress 9. listopadu 2026 zveřejnili rozbor průniku do tří zálohovacích serverů AhsayCBS přes chyby CVE-2026-105133 a CVE-2026-105134. Chyby jsou známé a opravené od října 2026 a CISA je vede jako zneužívané. Nový rozbor ale ukazuje, co útočník na serverech nechal: pět druhů webshellů, těžaře kryptoměn, implantát v Pythonu s neznámým serverem C2, tunelovací nástroje a krádež hesel ze zálohování Veeam. Samotná oprava to neodstraní.