Útočník lákal výzkumníky přes X na neexistující kryptokonferenci. Pak zneužil Google Docs

Kampaň spojila důvěryhodný profesní kontext s běžně používanými online službami. Účet na síti X s označením @HartmansDoeke tvrdil, že zastupuje CoinDesk, a oslovoval lidi spojené s konferencemi Black Hat a DEF CON. Někdy začínal veřejnou odpovědí a teprve poté přesouval komunikaci do soukromých zpráv. Cílem byla údajná kryptoměnová konference pořádaná CoinDeskem. Útočník k ní poslal Google Docs prezentované jako podklad pro plánování akce. 1411

Samotný dokument přitom mohl působit zcela legitimně. Škodlivou část představovalo rozhraní vytvořené pomocí Google Apps Script a instrukce, které se v něm zobrazovaly. Dostupné informace popisují pokus o doručení malwaru, nepotvrzují však, že by výzkumník Huntress nebo další oslovené osoby skutečně škodlivý kód nainstalovali. 468

Jak podvod fungoval

Úvodní zprávy využívaly konferenční prostředí jako zkratku k důvěře. Podvodník se lámanou angličtinou ptal výzkumníka, zda se chystá na další akci, a následně představil údajnou konferenci spojenou se známým webem o kryptoměnách. Veřejné odpovědi na X mu pomáhaly vytipovat nebo oslovit pravděpodobné účastníky, zatímco přímé zprávy vytvořily soukromý prostor pro další manipulaci. 4510

Když cíl projevil zájem, útočník mu poslal dokument vypadající jako organizační materiál ke konferenci. Součástí komunikace byl také „šifrovací“ nebo dešifrovací klíč zaslaný v konverzaci na X. Celý scénář tak připomínal běžnou koordinaci akce, nikoli klasický phishingový e-mail. 68

Past v Google Docs a Apps Script

Přihlášený uživatel, který soubor otevřel, viděl vedle dokumentu vlastní postranní panel. Podle popisu společnosti Huntress panel vytvářel dojem, že část materiálu je zašifrovaná, a vyzýval příjemce k zadání klíče, který mu útočník předtím poslal. Klíč se následně jevil jako nefunkční, což mělo uživatele přimět pokračovat podle nabídnutých „opravných“ kroků. 68

Mezi další možnosti patřily instrukce typu ClickFix a cesta ke stažení souboru. Obě varianty měly oběť přesvědčit, aby stáhla a spustila škodlivý kód. Dokument tedy nebyl jen odkazem na podezřelou externí stránku: k vytvoření známého a důvěryhodného prostředí posloužily skutečné služby Googlu a rozhraní vypadající jako nativní součást Dokumentů. 48

Právě v tom spočívá hlavní poučení. Skutečná adresa google.com nebo dokument otevřený v dobře známé cloudové službě potvrzuje, kde je obsah hostován, nikoli že jsou bezpečné samotný dokument, skript, pokyny nebo soubory ke stažení.

Jaký malware byl ve hře

Podle operačního systému se lišily i zamýšlené cesty doručení:

• macOS: Kampaň se pokoušela doručit Atomic macOS Stealer, známý jako AMOS, tedy malware určený ke krádeži informací. Zprávy spojují tuto cestu také s podvodným sdílením přes Dropbox DocSend a padělaným instalátorem. 2
• Windows: Operace využívala NetSupport RAT. Jde o legitimní nástroj pro vzdálenou podporu a vzdálenou plochu, který byl v tomto případě zneužit jako trojský kůň pro vzdálený přístup. 2
• Kryptoměnové cíle: Výzkumníci identifikovali také padělaný instalátor nebo implantát vydávající se za peněženku Ledger. To naznačuje, že mezi cíle patřily i kryptoměnové přihlašovací údaje a informace související s peněženkami. 2

Dostupné důkazy popisují zamýšlené nástroje a mechanismy doručení, nikoli potvrzené napadení výzkumníka, který kampaň vyšetřoval.

Jak Huntress návnadu prozkoumala

Oslovený výzkumník Huntress rozpoznal podezřelé chování, ale v komunikaci pokračoval a předstíral spolupráci. Díky tomu mohl sledovat zprávy útočníka, přijmout dokument a zdokumentovat, jak falešná výzva k dešifrování vedla k dalším krokům směřujícím ke spuštění malwaru. Payload nenainstaloval. 1411

Vyšetřování tak zmapovalo celý řetězec: tvrzení o identitě účtu na X, záminku s konferencí, veřejné odpovědi i soukromé zprávy, Google Docs, postranní panel Apps Script, falešný klíč a následné cesty s malwarem pro jednotlivé operační systémy.

Proč byly služby Googlu tak přesvědčivé

Útočník nemusel oběť posílat na očividně falešnou doménu ani jí předkládat soubor z neznámého serveru. Dokument se otevíral v legitimním prostředí Googlu a vypadal jako běžný plánovací materiál. Google Apps Script navíc umožňuje přidávat do Dokumentů vlastní nabídky, postranní panely a další interaktivní prvky.

Uživatel přihlášený ke svému účtu Google tak viděl známé rozhraní a skutečný odkaz, což mohlo snížit jeho obezřetnost. Důvěryhodný hosting ale není totéž co důvěryhodný obsah.

Co by si měly bezpečnostní týmy odnést

Kampaň ukazuje, že pozvánky na konference vyžadují stejnou míru opatrnosti jako phishingové e-maily — i když přicházejí přes veřejnou sociální síť a využívají legitimní cloudovou službu.

Varovnými signály jsou zejména:

• nevyžádané oslovení z účtu, který tvrdí, že zastupuje pořadatele konference, mediální společnost nebo sponzora;
• snaha přesunout komunikaci z veřejné odpovědi do soukromých zpráv dříve, než je identita odesílatele nezávisle ověřena;
• dokument požadující klíč, heslo nebo „dešifrování“, jehož údaje přišly jiným komunikačním kanálem;
• Google Docs s vlastním postranním panelem či neobvyklou interaktivní výzvou, která uživatele nabádá ke stažení softwaru nebo vložení příkazů; a
• kryptoměnová peněženka, nástroj vzdálené podpory nebo konferenční utilita nabízená mimo oficiální a nezávisle ověřené kanály organizace.

Pokud někdo podle instrukcí postupoval, měl by postižený systém izolovat, změnit potenciálně odhalená hesla, obnovit nebo vyměnit přístupové tokeny a zkontrolovat kryptoměnové peněženky i další citlivé účty. 1819

Co dostupné informace potvrzují — a co nikoli

Podklady potvrzují základní mechanismus kampaně: vydávání se za jinou osobu na X, využití veřejných odpovědí a soukromých zpráv, falešnou kryptoměnovou konferenci, Google Docs rozšířené o Apps Script, falešný dešifrovací klíč, následné instrukce typu ClickFix a pokus o doručení malwaru pro macOS a Windows. 1246811

Dostupný záznam neobsahuje ověřené vyjádření podezřelého útočníka ani Googlu. Neumožňuje také provést konkrétní srovnání s dříve popsanými kampaněmi spojovanými s vládními aktéry. V obecné rovině incident zapadá do známého vzorce cíleného sociálního inženýrství namířeného proti bezpečnostním profesionálům. Jeho výraznou odlišností je zneužití důvěryhodně hostovaného obsahu Googlu a uživatelského rozhraní Apps Script jako součásti cesty k malwaru.