Fałszywa konferencja krypto zamieniła Google Docs w narzędzie do dostarczania malware

W sierpniu 2026 roku osoby związane z konferencjami Black Hat i DEF CON stały się celem kampanii socjotechnicznej, która wykorzystywała platformę X oraz pozornie zwyczajny dokument Google. Konto @HartmansDoeke podawało się za wiceprezesa i szefa marketingu serwisu CoinDesk. Napastnik najpierw odpowiadał potencjalnym celom publicznie, a następnie przenosił rozmowę do wiadomości prywatnych. 1411

W kolejnym kroku proponował udział w rzekomej konferencji kryptowalutowej organizowanej przez CoinDesk i wysyłał dokument Google przedstawiony jako materiały dotyczące planowania wydarzenia. Sam dokument mógł wyglądać wiarygodnie. Złośliwy element stanowił dołączony interfejs Google Apps Script oraz instrukcje wyświetlane w jego panelu. Dostępne relacje opisują próbę dostarczenia malware, ale nie potwierdzają, że badacz Huntress lub inne osoby faktycznie zainstalowały ładunek. 468

Jak działała przynęta

Pierwsze wiadomości wykorzystywały kontekst konferencji jako skrót do zbudowania zaufania. Podszywający się napastnik, pisząc łamaną angielszczyzną, pytał badacza o plany udziału w kolejnym wydarzeniu, a następnie przedstawiał fikcyjną konferencję powiązaną ze znanym medium o kryptowalutach. Publiczne odpowiedzi na X pomagały docierać do osób, które prawdopodobnie uczestniczyły w Black Hat lub DEF CON. Prywatne wiadomości tworzyły natomiast bardziej zamknięty kanał dalszej manipulacji. 4510

Gdy rozmówca wykazywał zainteresowanie, otrzymywał dokument wyglądający jak plik organizacyjny konferencji. Wraz z nim napastnik przekazywał na X „klucz szyfrujący” lub „klucz deszyfrujący”. Taki schemat sprawiał, że wymiana przypominała zwykłą koordynację wydarzenia, a nie klasyczną próbę phishingu. 68

Pułapka w Google Docs

Użytkownik zalogowany do Google, który otworzył plik, widział obok dokumentu niestandardowy panel boczny. Według Huntress panel sugerował, że materiał jest częściowo zaszyfrowany, i prosił o wpisanie klucza otrzymanego w wiadomości prywatnej. Klucz miał rzekomo nie działać, co dawało napastnikowi pretekst do przedstawienia kolejnych „kroków naprawczych”. 68

Następne opcje obejmowały instrukcje w stylu ClickFix oraz możliwość pobrania pliku. Obie ścieżki miały skłonić odbiorcę do pobrania i uruchomienia złośliwego kodu. Dokument nie był więc tylko odsyłaczem do podejrzanej strony — prawdziwa infrastruktura Google i wygląd natywnego interfejsu Docs miały sprawić, by cały proces wydawał się znajomy.

To najważniejsza lekcja z tej kampanii: adres google.com potwierdza, gdzie treść jest hostowana, ale nie dowodzi, że bezpieczny jest sam dokument, osadzony skrypt, wyświetlane instrukcje ani proponowane pliki do pobrania.

Jakie narzędzia złośliwe wykorzystywano

Opisane ścieżki ataku różniły się w zależności od systemu operacyjnego:

• macOS: celem było dostarczenie Atomic macOS Stealer, znanego jako AMOS — złodzieja informacji. Relacje łączą tę ścieżkę także z fałszywym udostępnieniem Dropbox DocSend i podrobionym instalatorem. 2
• Windows: kampania wykorzystywała NetSupport RAT. To legalne narzędzie do zdalnego wsparcia i pulpitu, które zostało użyte jako trojan zapewniający zdalny dostęp. 2
• Portfele kryptowalutowe: badacze zidentyfikowali również podrobiony instalator lub implant podszywający się pod portfel Ledger. Sugeruje to zainteresowanie danymi związanymi z kryptowalutami i portfelami. 2

Dostępne dowody opisują planowane ładunki i sposoby ich dostarczenia, a nie potwierdzone przejęcie komputera badacza, który analizował kampanię.

Jak Huntress prześledziła atak

Badacz Huntress rozpoznał podejście jako podejrzane, ale udawał zainteresowanie, aby obserwować dalsze działania napastnika. Dzięki temu mógł przeanalizować wiadomości, otrzymać dokument i udokumentować, w jaki sposób fałszywy komunikat o szyfrowaniu prowadził do prób uruchomienia malware. Ładunek nie został zainstalowany. 1411

Pozwoliło to odtworzyć cały łańcuch: od podszywania się pod CoinDesk na X, przez pretekst fikcyjnej konferencji i dokument Google, po panel Apps Script, fałszywy klucz oraz różne ścieżki malware dla macOS i Windows.

Na co powinny uważać zespoły bezpieczeństwa

Kampania pokazuje, że zaproszenia konferencyjne wymagają takiej samej ostrożności jak phishing e-mailowy — nawet jeśli przychodzą przez publiczną platformę społecznościową i wykorzystują legalną usługę chmurową.

Sygnały ostrzegawcze to m.in.:

• nieoczekiwany kontakt z konta podającego się za organizatora konferencji, przedstawiciela medium lub sponsora;
• próba przeniesienia rozmowy z publicznej odpowiedzi do wiadomości prywatnych przed niezależnym potwierdzeniem tożsamości;
• dokument proszący o klucz, hasło lub „deszyfrowanie”, gdy dane dostępowe przekazano innym kanałem;
• Google Docs z niestandardowym panelem albo nietypowym komunikatem nakłaniającym do pobrania programu lub wklejenia poleceń; oraz
• portfel kryptowalutowy, narzędzie zdalnego dostępu lub aplikacja konferencyjna oferowane poza kanałami potwierdzonymi niezależnie.

Jeśli ktoś wykonał instrukcje z takiej wiadomości, powinien odłączyć lub odizolować potencjalnie zainfekowany system, zmienić narażone dane uwierzytelniające, unieważnić i wygenerować ponownie sekrety oraz sprawdzić portfele kryptowalutowe i inne wrażliwe konta. 1819

Czego nie potwierdzają dostępne materiały

Źródła potwierdzają podstawowe elementy kampanii: podszywanie się na X, wykorzystanie publicznych odpowiedzi i wiadomości prywatnych, fikcyjną konferencję kryptowalutową, dokument Google z dodatkiem Apps Script, fałszywy klucz deszyfrujący, instrukcje w stylu ClickFix oraz próby dostarczenia malware na macOS i Windows. 1246811

W przekazanym materiale nie ma zweryfikowanej wypowiedzi podejrzewanego napastnika ani Google. Nie ma też wystarczających dowodów, by szczegółowo porównywać ten incydent z konkretnymi kampaniami przypisywanymi grupom powiązanym z rządami. Na szerokim poziomie jest to kolejny przykład ukierunkowanej socjotechniki wymierzonej w specjalistów bezpieczeństwa. Wyróżnia go jednak użycie zaufanej infrastruktury Google i interfejsu Apps Script jako części drogi prowadzącej do instalacji malware.