Řetězec útoku: Od kliknutí ve vyhledávači k malwaru

Infekce začíná ve chvíli, kdy uživatel vyhledá oblíbený open-source nástroj. Útočníci nasadili flotilu falešných webových stránek, které se vydávají za legitimní projektové stránky softwaru jako Ghidra, dnSpy a SpiderFoot. Tyto stránky jsou designově propracované, často odkazují na skutečné upstream zdroje a ve výsledcích vyhledávačů se umísťují vysoko, takže na první pohled vypadají jako legitimní projektové portály .

Technický podvod se spouští při interakci uživatele. Když oběť na jedné z těchto stránek klikne na tlačítko „Stáhnout", vrstva JavaScriptu hostovaná na CloudFront přemění toto první kliknutí na přesměrování. Tím je uživatel unesen do TDS infrastruktury kampaně .

Bráněný Traffic Distribution System (TDS): Filtrování cenných cílů

TDS funguje jako sofistikovaný strážce brány, nikoli pouze jako přesměrování. Analýza Check Pointu odhaluje, že aplikuje vícevrstvou ochranu proti analýze a filtrování, aby oddělil skutečné oběti od bezpečnostních výzkumníků, sandboxů a automatických crawlerů. Pouze uživatelé, kteří projdou těmito kontrolami, jsou přesměrováni na finální malware . Tento selektivní způsob doručování ztěžuje mapování kampaně a zvyšuje hodnotu každé úspěšné infekce pro provozovatele. Pro další ztížení detekce systém používá techniky, jako jsou klíče na relaci a jednorázové uvolnění klíče .

Trojice malwaru: RemusStealer, AnimateClipper a SessionGate

Bylo pozorováno, že kampaň doručuje tři odlišné rodiny malwaru, z nichž každá slouží jinému účelu zpeněžení.

• RemusStealer: Jedná se o nástroj pro krádež informací nabízený jako Malware-as-a-Service (MaaS) za cenu 250–500 USD. Cílí na širokou škálu citlivých dat, včetně přihlašovacích údajů z více než 20 prohlížečů, dat z více než 220 rozšíření pro kryptoměnové peněženky, správců hesel a nástrojů pro dvoufaktorové ověřování .
• AnimateClipper: Kryptoměnový clipper navržený k únosu transakcí v reálném čase. Nahrazuje adresu peněženky, kterou si uživatel zkopíruje, adresou ovládanou útočníkem. Je schopen monitorovat a zachycovat transakce napříč více než 20 různými blockchainovými ekosystémy .
• SessionGate: Tento dříve nezdokumentovaný framework je víceúrovňový loader, který používá silnou obfuskaci a rozsáhlou anti-analýzu k doručení potenciálně nežádoucích aplikací (PUA) nebo jiných payloadů. V pozorovaných řetězcích útoků slouží jako počáteční opěrný bod a loader .

Globální, dlouhodobá operace

Rozsah kampaně je značný. Check Point uvádí, že ekosystém je aktivní od konce roku 2025 a vygeneroval přes 5 000 nahrání na VirusTotal, což svědčí o širokém okruhu obětí. Primární geografické cíle jsou celosvětové, s vysokou koncentrací v Turecku, Polsku, Brazílii, Německu, Francii, Rusku a Spojeném království .

Pro vývojáře a bezpečnostní profesionály je ponaučení jasné. Dny, kdy bylo možné bezmyšlenkovitě stahovat nástroj na základě výsledku vyhledávání, jsou pryč. Uživatelé si musí ověřit, že jsou na oficiálním repozitáři projektu, přímo navštívit známou stránku na GitHubu nebo GitLabu a být podezřívaví ke každému stažení, které okamžitě nedoručí očekávaný soubor. Profesionalita těchto falešných stránek činí vizuální kontrolu nedostatečnou obranou proti ekosystému postaveném na zneužití důvěry a automatizovaném klamání.

Řetězec útoku: Od kliknutí ve vyhledávači k malwaru

Infekce začíná ve chvíli, kdy uživatel vyhledá oblíbený open-source nástroj. Útočníci nasadili flotilu falešných webových stránek, které se vydávají za legitimní projektové stránky softwaru jako Ghidra, dnSpy a SpiderFoot. Tyto stránky jsou designově propracované, často odkazují na skutečné upstream zdroje a ve výsledcích vyhledávačů se umísťují vysoko, takže na první pohled vypadají jako legitimní projektové portály .

Technický podvod se spouští při interakci uživatele. Když oběť na jedné z těchto stránek klikne na tlačítko „Stáhnout", vrstva JavaScriptu hostovaná na CloudFront přemění toto první kliknutí na přesměrování. Tím je uživatel unesen do TDS infrastruktury kampaně .

Bráněný Traffic Distribution System (TDS): Filtrování cenných cílů

TDS funguje jako sofistikovaný strážce brány, nikoli pouze jako přesměrování. Analýza Check Pointu odhaluje, že aplikuje vícevrstvou ochranu proti analýze a filtrování, aby oddělil skutečné oběti od bezpečnostních výzkumníků, sandboxů a automatických crawlerů. Pouze uživatelé, kteří projdou těmito kontrolami, jsou přesměrováni na finální malware . Tento selektivní způsob doručování ztěžuje mapování kampaně a zvyšuje hodnotu každé úspěšné infekce pro provozovatele. Pro další ztížení detekce systém používá techniky, jako jsou klíče na relaci a jednorázové uvolnění klíče .

Trojice malwaru: RemusStealer, AnimateClipper a SessionGate

Bylo pozorováno, že kampaň doručuje tři odlišné rodiny malwaru, z nichž každá slouží jinému účelu zpeněžení.

• RemusStealer: Jedná se o nástroj pro krádež informací nabízený jako Malware-as-a-Service (MaaS) za cenu 250–500 USD. Cílí na širokou škálu citlivých dat, včetně přihlašovacích údajů z více než 20 prohlížečů, dat z více než 220 rozšíření pro kryptoměnové peněženky, správců hesel a nástrojů pro dvoufaktorové ověřování .
• AnimateClipper: Kryptoměnový clipper navržený k únosu transakcí v reálném čase. Nahrazuje adresu peněženky, kterou si uživatel zkopíruje, adresou ovládanou útočníkem. Je schopen monitorovat a zachycovat transakce napříč více než 20 různými blockchainovými ekosystémy .
• SessionGate: Tento dříve nezdokumentovaný framework je víceúrovňový loader, který používá silnou obfuskaci a rozsáhlou anti-analýzu k doručení potenciálně nežádoucích aplikací (PUA) nebo jiných payloadů. V pozorovaných řetězcích útoků slouží jako počáteční opěrný bod a loader .

Globální, dlouhodobá operace

Rozsah kampaně je značný. Check Point uvádí, že ekosystém je aktivní od konce roku 2025 a vygeneroval přes 5 000 nahrání na VirusTotal, což svědčí o širokém okruhu obětí. Primární geografické cíle jsou celosvětové, s vysokou koncentrací v Turecku, Polsku, Brazílii, Německu, Francii, Rusku a Spojeném království .

Pro vývojáře a bezpečnostní profesionály je ponaučení jasné. Dny, kdy bylo možné bezmyšlenkovitě stahovat nástroj na základě výsledku vyhledávání, jsou pryč. Uživatelé si musí ověřit, že jsou na oficiálním repozitáři projektu, přímo navštívit známou stránku na GitHubu nebo GitLabu a být podezřívaví ke každému stažení, které okamžitě nedoručí očekávaný soubor. Profesionalita těchto falešných stránek činí vizuální kontrolu nedostatečnou obranou proti ekosystému postaveném na zneužití důvěry a automatizovaném klamání.