AnswersPublished20 sources
Útočník lákal výzkumníky přes X na neexistující kryptokonferenci. Pak zneužil Google Docs
Útočník vydávající se za viceprezidenta CoinDesku oslovoval v srpnu 2026 bezpečnostní profesionály spojené s konferencemi Black Hat a DEF CON a lákal je na neexistující kryptokonferenci. Falešný dokument na Google Docs vypadal důvěryhodně díky vlastnímu postrannímu panelu vytvořenému v Google Apps Script.
PublikovalUpraveno pomocí GPT-5.6 LunaObrázky vytvořeny pomocí GPT Image 1.5
Research answer
Key takeaways
- Útočník vydávající se za viceprezidenta CoinDesku oslovoval v srpnu 2026 bezpečnostní profesionály spojené s konferencemi Black Hat a DEF CON a lákal je na neexistující kryptokonferenci.
- Falešný dokument na Google Docs vypadal důvěryhodně díky vlastnímu postrannímu panelu vytvořenému v Google Apps Script.
- Huntress identifikovala různé nástroje pro macOS a Windows, včetně krádežového malwaru AMOS, zneužitého NetSupport RAT a falešného instalátoru kryptoměnové peněženky Ledger.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did a hacker posing as an employee of a leading crypto news site target cybersecurity professionals on X around the Black Hat and Def Co. Article summary: A threat actor posing on X as CoinDesk’s VP and head of marketing used a fake crypto-conference invitation to target Black Hat and Def Con attendees, aiming to make them install malware on macOS or Windows. The public re. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Kampaň spojila důvěryhodný profesní kontext s běžně používanými online službami. Účet na síti X s označením @HartmansDoeke tvrdil, že zastupuje CoinDesk, a oslovoval lidi spojené s konferencemi Black Hat a DEF CON. Někdy začínal veřejnou odpovědí a teprve poté přesouval komunikaci do soukromých zpráv. Cílem byla údajná kryptoměnová konference pořádaná CoinDeskem. Útočník k ní poslal Google Docs prezentované jako podklad pro plánování akce. 1
4
11
Samotný dokument přitom mohl působit zcela legitimně. Škodlivou část představovalo rozhraní vytvořené pomocí Google Apps Script a instrukce, které se v něm zobrazovaly. Dostupné informace popisují pokus o doručení malwaru, nepotvrzují však, že by výzkumník Huntress nebo další oslovené osoby skutečně škodlivý kód nainstalovali. 4
6
8
Jak podvod fungoval
Úvodní zprávy využívaly konferenční prostředí jako zkratku k důvěře. Podvodník se lámanou angličtinou ptal výzkumníka, zda se chystá na další akci, a následně představil údajnou konferenci spojenou se známým webem o kryptoměnách. Veřejné odpovědi na X mu pomáhaly vytipovat nebo oslovit pravděpodobné účastníky, zatímco přímé zprávy vytvořily soukromý prostor pro další manipulaci. 4
5
10
Když cíl projevil zájem, útočník mu poslal dokument vypadající jako organizační materiál ke konferenci. Součástí komunikace byl také „šifrovací“ nebo dešifrovací klíč zaslaný v konverzaci na X. Celý scénář tak připomínal běžnou koordinaci akce, nikoli klasický phishingový e-mail. 6
8
Past v Google Docs a Apps Script
Přihlášený uživatel, který soubor otevřel, viděl vedle dokumentu vlastní postranní panel. Podle popisu společnosti Huntress panel vytvářel dojem, že část materiálu je zašifrovaná, a vyzýval příjemce k zadání klíče, který mu útočník předtím poslal. Klíč se následně jevil jako nefunkční, což mělo uživatele přimět pokračovat podle nabídnutých „opravných“ kroků. 6
8
Mezi další možnosti patřily instrukce typu ClickFix a cesta ke stažení souboru. Obě varianty měly oběť přesvědčit, aby stáhla a spustila škodlivý kód. Dokument tedy nebyl jen odkazem na podezřelou externí stránku: k vytvoření známého a důvěryhodného prostředí posloužily skutečné služby Googlu a rozhraní vypadající jako nativní součást Dokumentů. 4
8
Právě v tom spočívá hlavní poučení. Skutečná adresa google.com nebo dokument otevřený v dobře známé cloudové službě potvrzuje, kde je obsah hostován, nikoli že jsou bezpečné samotný dokument, skript, pokyny nebo soubory ke stažení.
Jaký malware byl ve hře
Podle operačního systému se lišily i zamýšlené cesty doručení:
- macOS: Kampaň se pokoušela doručit Atomic macOS Stealer, známý jako AMOS, tedy malware určený ke krádeži informací. Zprávy spojují tuto cestu také s podvodným sdílením přes Dropbox DocSend a padělaným instalátorem.
2
- Windows: Operace využívala NetSupport RAT. Jde o legitimní nástroj pro vzdálenou podporu a vzdálenou plochu, který byl v tomto případě zneužit jako trojský kůň pro vzdálený přístup.
- Kryptoměnové cíle: Výzkumníci identifikovali také padělaný instalátor nebo implantát vydávající se za peněženku Ledger. To naznačuje, že mezi cíle patřily i kryptoměnové přihlašovací údaje a informace související s peněženkami.
Dostupné důkazy popisují zamýšlené nástroje a mechanismy doručení, nikoli potvrzené napadení výzkumníka, který kampaň vyšetřoval.
Jak Huntress návnadu prozkoumala
Oslovený výzkumník Huntress rozpoznal podezřelé chování, ale v komunikaci pokračoval a předstíral spolupráci. Díky tomu mohl sledovat zprávy útočníka, přijmout dokument a zdokumentovat, jak falešná výzva k dešifrování vedla k dalším krokům směřujícím ke spuštění malwaru. Payload nenainstaloval. 1
4
11
Vyšetřování tak zmapovalo celý řetězec: tvrzení o identitě účtu na X, záminku s konferencí, veřejné odpovědi i soukromé zprávy, Google Docs, postranní panel Apps Script, falešný klíč a následné cesty s malwarem pro jednotlivé operační systémy.
Proč byly služby Googlu tak přesvědčivé
Útočník nemusel oběť posílat na očividně falešnou doménu ani jí předkládat soubor z neznámého serveru. Dokument se otevíral v legitimním prostředí Googlu a vypadal jako běžný plánovací materiál. Google Apps Script navíc umožňuje přidávat do Dokumentů vlastní nabídky, postranní panely a další interaktivní prvky.
Uživatel přihlášený ke svému účtu Google tak viděl známé rozhraní a skutečný odkaz, což mohlo snížit jeho obezřetnost. Důvěryhodný hosting ale není totéž co důvěryhodný obsah.
Co by si měly bezpečnostní týmy odnést
Kampaň ukazuje, že pozvánky na konference vyžadují stejnou míru opatrnosti jako phishingové e-maily — i když přicházejí přes veřejnou sociální síť a využívají legitimní cloudovou službu.
Varovnými signály jsou zejména:
- nevyžádané oslovení z účtu, který tvrdí, že zastupuje pořadatele konference, mediální společnost nebo sponzora;
- snaha přesunout komunikaci z veřejné odpovědi do soukromých zpráv dříve, než je identita odesílatele nezávisle ověřena;
- dokument požadující klíč, heslo nebo „dešifrování“, jehož údaje přišly jiným komunikačním kanálem;
- Google Docs s vlastním postranním panelem či neobvyklou interaktivní výzvou, která uživatele nabádá ke stažení softwaru nebo vložení příkazů; a
- kryptoměnová peněženka, nástroj vzdálené podpory nebo konferenční utilita nabízená mimo oficiální a nezávisle ověřené kanály organizace.
Pokud někdo podle instrukcí postupoval, měl by postižený systém izolovat, změnit potenciálně odhalená hesla, obnovit nebo vyměnit přístupové tokeny a zkontrolovat kryptoměnové peněženky i další citlivé účty. 18
19
Co dostupné informace potvrzují — a co nikoli
Podklady potvrzují základní mechanismus kampaně: vydávání se za jinou osobu na X, využití veřejných odpovědí a soukromých zpráv, falešnou kryptoměnovou konferenci, Google Docs rozšířené o Apps Script, falešný dešifrovací klíč, následné instrukce typu ClickFix a pokus o doručení malwaru pro macOS a Windows. 1
2
4
6
8
11
Dostupný záznam neobsahuje ověřené vyjádření podezřelého útočníka ani Googlu. Neumožňuje také provést konkrétní srovnání s dříve popsanými kampaněmi spojovanými s vládními aktéry. V obecné rovině incident zapadá do známého vzorce cíleného sociálního inženýrství namířeného proti bezpečnostním profesionálům. Jeho výraznou odlišností je zneužití důvěryhodně hostovaného obsahu Googlu a uživatelského rozhraní Apps Script jako součásti cesty k malwaru.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Útočník lákal výzkumníky přes X na neexistující kryptokonferenci. Pak zneužil Google Docs"?
Útočník vydávající se za viceprezidenta CoinDesku oslovoval v srpnu 2026 bezpečnostní profesionály spojené s konferencemi Black Hat a DEF CON a lákal je na neexistující kryptokonferenci.
What are the key points to validate first?
Útočník vydávající se za viceprezidenta CoinDesku oslovoval v srpnu 2026 bezpečnostní profesionály spojené s konferencemi Black Hat a DEF CON a lákal je na neexistující kryptokonferenci. Falešný dokument na Google Docs vypadal důvěryhodně díky vlastnímu postrannímu panelu vytvořenému v Google Apps Script.
What should I do next in practice?
Huntress identifikovala různé nástroje pro macOS a Windows, včetně krádežového malwaru AMOS, zneužitého NetSupport RAT a falešného instalátoru kryptoměnové peněženky Ledger.
Sources
scworld.comBlack Hat/DEF CON attendees targeted in malware ...
theclarity.todayClickFix in the sidebar: Def Con follow-up phishing turns a real Google Doc into the payload
techcrunch.comSomeone targeted security researchers using a fake crypto conference as a lure | TechCrunch
infosecurity-magazine.comDef Con Attendees Targeted by Persistent Phishing ...