„Tady Emily, zaplatím vám.“ Útočníci se pokoušeli chytit do pasti novináře Seznamu

Do pracovních schránek novinářů denně chodí množství spamů i podvodných zpráv. Tenhle e-mail ale byl jiný. Začal jím útok cílený na člena investigativního týmu Seznam Zpráv, který rozkrývá korupční i špionážní kauzy.

Pokud by se záměr útočníků maskovaných za akademiky povedl, sám novinář by si nainstaloval škodlivý kód, který by mu z počítače ukradl data, hesla a zároveň by laptop útočníci na dálku ovládli a mohli by detailně sledovat, na čem reportér pracuje.

K tomu ale nedošlo. Místo toho Seznam Zprávy přinášejí reportáž o tom, jak útočníci pracují a jak se pokoušejí příjemce manipulovat, aby si počítač sám nakazil. Ukazují se tak detaily operace, pro kterou si hackeři zaregistrovali hned několik internetových domén. Je přitom pravděpodobné, že cílů obdobných útoků je více. Předchozí útoky už v minulosti způsobily po světě miliardové škody.

Začalo to e-mailem, který mě měl nalákat. Dorazil do pracovní schránky od odesílatelky, která se představila jako Emily Tan, manažerka lidských zdrojů soukromé singapurské školy PSB Academy.

„Milý Lukáši, pro naše studenty organizujeme sérii přednášek hostujících odborníků a ráda bych Vás přizvala,“ psala „Emily“ ve zprávě, která měla v hlavičce oficiální logo asijské vzdělávací instituce.

Bylo přitom patrné, že „Emily“ se připravila a pokoušela se mi lichotit. Co tím sleduje, se ukázalo naplno až později.

„Vaše práce investigativního reportéra v Seznam Zprávách, zejména vaše zpravodajství o politické korupci a střetu zájmů, nabízí studentům názorný pohled na to, jak důsledná žurnalistika přivádí veřejně činné osoby k odpovědnosti. Zvláště nás zajímá samotná práce, která za tím stojí: Práce s dokumenty, ověřování faktů a zodpovědné nakládání se zdroji,“ uváděl dále e-mail.

A na závěr zasekl udičku. „Je to placená spolupráce. Pokud máte zájem, ráda poskytnu další detaily,“ končila zprávu „Emily“.

Nabídky na přednášky či lektorování mi občas do e-mailu dorazí, většinou ale z Česka, případně některých jiných zemí Evropy. Téměř deset tisíc kilometrů vzdálený Singapur je z ruky, a i proto jsem zpozorněl. A rychle jsem odhalil několik háčků.

E-mail totiž přišel z adresy info@hr-psb.eu. Evropský registr ukazuje, že odpovídající doménu si někdo s e-mailem suhaahaashid630@gmail.com zabral teprve v polovině července. Jen devět dní předtím, než ho „Emily“ využila k tomu, aby mi svou nabídku poslala.

Tak jsem se na Emily Tan ještě zeptal přímo v Singapuru. A zjistil, že pro skutečnou školu nikdo takový nepracuje.

„Tato osoba není zaměstnancem PSB Academy. Pro informaci - naše e-mailová doména je @psb-academy.edu.sg,“ zdůraznila mluvčí PSB Academy Eleanor Wong, že jejich e-maily chodí z adresy, která má singapurskou národní koncovku sg a nikoliv evropskou eu.

Rozhodl jsem se si s podvodnou „Emily“ dále dopisovat. Se záměrem tento cílený kyberútok lépe zdokumentovat. „Díky moc za nabídku. Rád se dozvím podrobnosti,“ napsal jsem a zajímal se, zda mě hodlá pozvat přímo do Singapuru, nebo pro koho mám vlastně přednášet.

„Emily“ mi postupně věnovala hned 22 e-mailů, které ukázaly, jak sofistikovaná je celá operace s cílem dostat se k datům v mém počítači. Po celou dobu na mě „Emily“ nijak netlačila. Zprávu za zprávou ale zvyšovala šanci, že mě skutečně přesvědčí, abych útočníkům sám otevřel dveře do svého počítače.

Na dotazy „Emily“ odpověděla v dlouhé zprávě, v níž popsala, čemu se věnuje skutečná PSB Academy a zdůraznila, že protože teprve sestavují rozvrh na další akademický rok, rádi mi vyjdou vstříc. S tím, že začneme nejprve přednáškou online, takže nebudu muset opustit Prahu, ale otevřená je i další spolupráce. Teprve na konci e-mailu následovala nenucená nabídka - přednáška obvykle trvá 45 až 75 minut a dostanu za ni v přepočtu až 70 tisíc korun.

„Jako přirozený další krok bych uvítala krátký úvodní hovor, během kterého bychom mohli probrat případné zbývající otázky a najít řešení, které vám bude dobře vyhovovat,“ zakončila zprávu Emily a rovnou poslala odkaz na běžně používanou službu calendly, kde jsem si měl podle své libosti zarezervovat termín online setkání.

Soudě dle uváděných časových možností by přitom „Emily“ musela ke své práci přistupovat se značným nasazením. K dispozici byly třeba i sloty v deset večer pražského času, když jsou v Singapuru čtyři hodiny ráno.

Nakonec jsem zvolil přijatelnější dopolední termín. Stále jsem ale netušil, jak se s „Emily“ spojíme. Odkaz na webovou aplikaci dorazil až několik hodin před termínem. „Emily“ mě ponoukala, abych si s ní zavolal přes americkou webovou stránku StreamYard, která se skutečně používá k pořádání online webinářů. Aplikace s kachnou v logu přitom nevyžaduje instalaci na počítač, vše běží v internetovém prohlížeči.

Opět mě ovšem zarazila doména, přes kterou jsem se k setkání s „Emily“ měl připojit. Ta totiž firmě StreamYard vůbec nepatří. „Emily“ mě směřovala na adresu, kterou laik za skutečnou „streamyard.com“ může zaměnit. „Emily“ chtěla, abych kliknul na „streamyard.host07eu.com“.

Odpovídající doména host07eu.com přitom v tu chvíli byla v provozu necelé tři týdny. Když jsem ve speciálním prostředí izolovaném od mých dat na odkaz klikal, očekával jsem pokus zavirovat mi počítač.

Ukázalo se ovšem, že útok míří mnohem dál. Antivirovými skeny totiž odkaz bez problémů prošel. A mě na něm čekala podařená kopie rozhraní skutečného webu StreamYard. Zvolil jsem si uživatelské jméno a klikl na tlačítko připojit. Chvíli to vypadalo, že „Emily“ opravdu uvidím.

Pak ale aplikace zobrazila dopředu připravenou chybu - problém s mým spojením. Útočníci na věc šli pomalu a nenápadněji.

„Vidíme, že jste se připojil, ale bohužel systém ukazuje, že vaše připojení má velmi vysokou latenci, takže vás nemůžeme správně vidět ani slyšet,“ psala mi hned „Emily“, čímž se pokoušela vystupňovat mou případnou nervozitu, že domluvená schůzka neprobíhá dle plánu.

„Pokud je to možné, mohl byste se prosím zkusit znovu připojit pomocí jiného prohlížeče, případně ideálně prostřednictvím desktopové aplikace? To obvykle problém vyřeší,“ naváděla mě dále falešná pracovnice školy.

Začínalo být zřejmé, co bude následovat - snaha mě nenuceně přimět, abych vypnul zabezpečení a sám si do počítače nainstaloval program na videohovory - ve skutečnosti balíček se škodlivým kódem, který by mi ukradl data.

Když jsem pokračoval ve scénáři a „Emily“ napsal, že se mi nedaří připojit v žádném prohlížeči a zda mi může poslat odkaz na stažení aplikace, zpět mi přišla nefungující adresa, která vedla na web skutečné firmy StreamYard.com. Fungovat ani nemohla. Firma totiž počítačovou aplikaci vůbec nenabízí.

„Emily“ nejspíše kalkulovala, že v tu chvíli už budu dostatečně vynervovaný z dalšího nezdaru. Bylo desítky minut po čase, kdy jsme se měli s ní a jejími kolegy spojit při hovoru, v němž bychom probrali, za jakých podmínek mi zaplatí slibovanou částku.

Teprve pak mě Emily znovu nasměrovala přímo do falešného webového rozhraní videohovorové aplikace, odkud se dalo prokliknout na stažení počítačového programu. Web mě zároveň vyzýval, abych hned po stažení vypnul ochrany operačního systému a soubor spustil.

V prostředí izolovaném od mých dat jsem ho stáhl. A otestoval jsem, že běžnými antivirovými programy bez potíží projde. Z bezpečnostních důvodů jsem sám ale už program nespouštěl.

Teprve když software aktivovali experti Seznamu ve své laboratoři, začaly se dít věci. Potvrdilo se, že přes stažený program bych si nezavolal. Protože by se místo toho škodlivý kód pokusil získat přístup k mým heslům, sociálním sítím, do redakčního systému, e-mailu i chatovacích aplikací. A zároveň zkopírovat a svým provozovatelům odeslat dokumenty, které na počítači uchovávám.

Program se přitom pokouší činnost maskovat, aby ho neodhalil antivirový program. Jako bonus v dalším kroku skrytě nainstaloval i nástroj pro vzdálenou správu počítače. „Emily“ by tak mohla dlouhodobě sledovat, na čem na počítači pracuji. Ale také sama můj stroj ovládat.

„Tento software se snaží ukrást data a zřídit si perzistentní přístup do počítače. Je to spíše v kategorii nástrojů pro špionáž,“ zhodnotil to ředitel informační bezpečnosti Seznamu Martin Doleček.

„Emily“ jsem odeslal poslední e-mail. Ptal jsem se, kdo je ve skutečnosti a proč se snažila dostat k mým datům. Odpověď nikdy nepřišla. Útok jsem paralelně nahlásil i bezpečnostním složkám. Analýza expertů Seznamu doložila, že jsem se stal cílem takzvaného spear-phishingu.

„Využívají ho zločinci i sofistikovaní útočníci (zejména státy podporované skupiny hackerů) k získání přístupu do sítě oběti, ať už za účelem špionáže nebo způsobení škod,“ definuje techniku Národní úřad pro kybernetickou bezpečnost (NÚKIB).

Identifikovat původce ale bude obtížné. Běžně se o to kyberexperti snaží propojením použitého škodlivého kódu nebo internetových domén s předchozími útoky. V tomto případě ale domény útočníci registrovali těsně před činem a identitu tají i jinak.

„Jde o načisto vytvořené prostředí včetně internetových domén, které útočníci po nějakém čase nebo útoku opouští a vytvářejí jiné,“ konstatoval Doleček.

Škodlivý kód ale nese charakteristiky nástroje, který bezpečnostní odborníci pojmenovali Storm (tedy Bouře). Upozornila na něj v dubnu americká kyberbezpečnostní firma Varonis.

Bývá ovšem běžné, že takové připravené nástroje si jde v temných koutech internetu na konkrétní útok pronajmout. Loni v září popsal odborník na kryptoměny Zac Cole podobný pokus, ve kterém opět fungovala falešná stránka StreamYard. V jeho případě mu nakonec útočník přiznal, že si nástroj pronajímá za tři tisíce dolarů měsíčně. Coleovi se s jeho pomocí nejspíše pokoušel ukrást kryptoměny.

Jako reportér Seznam Zpráv jsem dost pravděpodobně nebyl jediný cíl probíhajícího útoku. Domén, pomocí nichž přes falešné videohovory útočníci lákali na stažení škodlivého kódu, se mi podařilo identifikovat šest. Všechny spojuje majitel ukrytý přes službu na zastření identity, která sídlí na Islandu. Ten má jedny z nejpřísnějších zákonů na ochranu soukromí a je mimo dosah českých bezpečnostních složek.