- Microsoft podrobně NeedyMantis, což je rodina malwaru používaná pro dlouhodobý přístup s bočním načítáním DLL a ovládáním pomocí WebSocketu.
- Nizozemská policie zatkla 24letého muže spojeného s ShinyHuntersZprávy ho identifikují jako Pepijna van der Stapa, zatímco skupina tvrdila, že došlo k narušení pracovního portálu FBI.
- ShinyHunters zneužili Oracle PeopleSoft CVE-2026-35273 a údajně obcházel pravidla WAF, což ovlivnilo vzdělávání, technologie, zdravotnictví, zemědělství, dopravu a vládu.
- Proofpoint říká TA419, skupina napojená na Čínu, se vydávala za experty na politiku v oblasti umělé inteligence, aby ukradla pověření od think-tanků a dodavatelů.
Nedávný vývoj ve světě hackerských útoků se ubíral dvěma směry najednou: špionážní týmy napojené na státy hledající dlouhodobý přístup a zločinecké vyděračské skupiny chující se agresivněji než obvykle. Společnost Microsoft zveřejnila technický rozbor rodiny malwaru s názvem NeedyMantis , která byla použita v omezeném počtu útoků proti telekomunikačním společnostem, univerzitám, neziskovým zdravotnickým organizacím, mezivládním orgánům a vládním dodavatelům. Zdá se, že nástroj je navržen tak, aby vetřelce po prvním průniku udržel uvnitř sítí, spíše než aby se dále šířil.
Nizozemské úřady zároveň zadržely 24letého muže v souvislosti s gangem ShinyHunters , který je spojen s rozsáhlými krádežemi dat a hrozbami výkupného. Zatčení však nezpomalilo veřejné chvástání skupiny: během několika dní se přihlásila k odpovědnosti za narušení pracovního portálu FBI a byla spojena se zneužitím zranitelnosti PeopleSoft. Vědci dále uvádějí, že skupina TA419 , která je napojena na Čínu , se vydává za experty na politiku umělé inteligence, aby ukradla identifikační údaje od think-tanků, dodavatelů a univerzit.
Microsoft spojuje NeedyMantis s dlouhodobými útoky
Analýza společnosti Microsoft uvádí, že NeedyMantis byl pozorován nejméně od října 2025 a objevil se v malém počtu cílených operací. Mezi oběťmi jsou telekomunikační organizace, univerzity, neziskové organizace v oblasti zdravotnictví, mezivládní organizace a vládní dodavatelé. Malware je určen k trvalému a kontrolnímu využití, nikoli k hromadnému narušení bezpečnosti.
Stopa vedoucí k NeedyMantis částečně pochází z vyšetřování společnosti Kaspersky týkajícího se útoku na dodavatelský řetězec nástroje DAEMON Tools. Oficiálně podepsané instalační programy pro DAEMON Tools Lite obsahovaly škodlivý kód od 8. dubna 2026 a vývojář 5. května obnovil čistou verzi. Microsoft sleduje související aktivitu jako Storm-3069, ale samotný NeedyMantis neviděl, že by se tímto dodavatelským řetězcem dostal.
Balíček malwaru se obvykle skládá ze tří částí: legitimního programu, škodlivé knihovny DLL pojmenované po souboru, který program načte, a zašifrovaného archivu se stejným označením. Při spuštění aplikace načte falešnou knihovnu DLL pomocí techniky známé jako DLL sideloading.
Mezi legitimní programy zneužívané tímto způsobem patří Poedit, curl, Vim a TightVNC . Malware se také maskoval jako knihovny DLL vázané na Microsoft Office, Broadcom, Intel a NVIDIA. V jednom vzorku nahradil WinSparkle.dll, aktualizační komponentu Poeditu.
Jak užitečné zatížení skrývá svůj provoz
V podrobném příkladu operátor, který se již nacházel v síti, použil Impacket ke zkopírování balíčku ze sdílené složky a jeho spuštění na cílovém počítači. Počáteční přístup se může v jednotlivých případech lišit.
Po načtení knihovna DLL extrahuje další fázi ze zašifrovaného archivu a spustí ji. Tato fáze dekóduje hlavní komponentu, která kontaktuje velitelský server přes HTTPS a poté se přepne na připojení WebSocket.
Prostřednictvím tohoto kanálu mohou operátoři načítat a uvolňovat další moduly a odesílat do nich data. Společnost Microsoft nepotvrdila, co tyto moduly dělají. Starší verze z října 2025 obsahovala modul perzistence, který používal služby Windows ; metoda perzistence novější verze nebyla podrobně popsána.
Připisování Číně zůstává opatrné
Storm-3069 je dočasné označení, které Microsoft uděluje novým nebo rozvíjejícím se clusterům, dokud si nebude jistější, kdo za nimi stojí. Společnost viděla NeedyMantis mimo kampaň DAEMON Tools a tvrdí, že jej může používat více než jedna skupina . Nebylo zjištěno, zda veškerá aktivita pochází od jednoho aktéra.
Společnost Microsoft odhaduje, že aktivita zřejmě pochází z Číny, ale nespojuje Storm-3069 s žádným čínským národním aktérem. Cíle a selektivní soubor obětí odpovídají vzorcům, které společnost spojuje s Čínou. Společnost Kaspersky nalezla v malwaru DAEMON Tools text v čínštině , ale neuvedla jeho původ.
Skupina Google Threat Intelligence Group sleduje aktéra stojící za kampaní DAEMON Tools jako UNC6863 . Společnost Mandiant popsala UNC6863 jako podezřelého aktéra z Číny, který použil kompromitaci DAEMON Tools k nasazení malwaru. Zda jsou UNC6863 a Storm-3069 stejné, zůstává nejasné.
Indikátory, detekce a čištění
Mezi zveřejněné indikátory společnosti Microsoft patří tři hashe SHA-256 vázané na zavaděč první fáze a šifrované archivy, dále doména C2 corp.tripswithenginecom na portu 443 a pevně zakódovaný uživatelský agent firefox/21.0.
- e842dd7642c8e04b5ec20b6393848a9c904e4832930950c16664fe7800ba382e – zavaděč první fáze WinSparkle.dll, poprvé zobrazen 21. května 2026.
- 9cb68f986043a576e19d32184c583b7d8f571c7219d8dc0065dced1c13f077ef – zašifrovaný archiv s názvem WinSparkle, poprvé spatřen 23. května 2026.
- c82520eb03c084226be4eafbff46f56dca0aa8804a2a7f23a085a96afe71ef77 – zašifrovaný archiv s názvem libcurl, starší verze, poprvé zobrazen 3. října 2025.
Cesty k souborům zaznamenaným u škodlivých DLL souborů zahrnují komponenty Poedit, libcurl, Vim, TightVNC, Office, Broadcom, Intel a NVIDIA v běžných složkách programů a programových dat.
Defender detekuje malware jako TrojanDropper:Win64/NeedyMantis a Behavior:Win64/NeedyMantis. Dotazy typu „hunter“ se zaměřují pouze na sedm dní zpětně, takže by nenašly starší události z října 2025 nebo května 2026, pokud by nebyly upraveny. Samotný zásah do cesty k souboru Poedit není důkazem, protože WinSparkle.dll je také běžnou součástí Poeditu.
Společnost Microsoft doporučuje cloudovou ochranu, blokování na první pohled, EDR v blokovacím režimu, síťovou ochranu, automatické přerušení útoku a určitá pravidla pro redukci povrchu útoku. Doporučuje také kontrolovat odchozí provoz na připojení k doméně C2, což lze provést bez Defenderu. Každý, kdo si nainstaloval dotčený DAEMON Tools Lite 12.5.1 , by jej měl odinstalovat, spustit úplnou kontrolu a stáhnout verzi 12.6 z oficiálních stránek.
Zatčení v Nizozemsku vyvíjí tlak na ShinyHunters
Nizozemské úřady potvrdily zatčení 24letého muže v rámci vyšetřování skupiny ShinyHunters, která je obviněna z krádeže dat a vydírání ve více než 140 organizacích po celém světě. Policie uvedla, že muž byl zatčen 15. září a nařízeno mu vyšetřování v délce nejméně 90 dnů.
Několik zpráv identifikuje podezřelého jako Pepijna van der Stapa , usvědčeného kyberzločince, který kdysi používal pseudonym Umbreon. V roce 2023 byl odsouzen ke čtyřem letům vězení, z nichž jeden byl podmíněně podmíněně, za krádeže dat a vydírání, které podle státních zástupců vygenerovalo 1.5 až 2.7 milionu eur. Z vězení byl propuštěn v prosinci 2025.
Před svým zatčením se van der Stap podle rozhovorů a zpráv v médiích prezentoval jako napravený a pracoval na vedoucí bezpečnostní pozici ve společnosti Neo Security . Dobrovolně pracoval také v Nizozemském institutu pro odhalování zranitelností, který později odhalil interní kybernetický incident zahrnující škodlivé použití umělé inteligence a uvedl, že se nezdá být spojen se ShinyHunters. Společnost Neo Security na žádosti o komentář nereagovala.
Nizozemská policie požádala veřejnost o pomoc s identifikací hlasu v hovoru z února 2026, v němž byl zaměstnanec společnosti Odido pomocí sociálního inženýrství přinucen k přihlášení na falešný web, což vedlo ke krádeži dat více než 6.2 milionu Nizozemců . Server ShinyHunters potvrdil, že volající byl členem, ačkoli zatčený muž nebyl formálně spojován s případem Odido.
Vyšetřovatelé také podle RTL podezřívají van der Stapa, že se pokusil zorganizovat nejméně dvě vraždy v zahraničí na základě informací zjištěných po jeho zatčení. Nizozemské úřady popsaly tuto linii vyšetřování jako oddělenou od vyšetřování ShinyHunters.
Narušení portálu pracovních nabídek FBI a zneužití PeopleSoft
Několik dní po zatčení si ShinyHunters připsala odpovědnost za narušení bezpečnosti webových stránek FBI pro ucházení o zaměstnání, apply.fbijobs.gov . Zprávy uváděly, že mezi ukradenými údaji byla čísla sociálního zabezpečení a osobní údaje více než 5 000 úředníků, spolu s pracovními pozicemi nebo týmy, jako je zvláštní agent, examinátor hrozeb, jednotka pro hlavní kyberkriminalitu a zaměstnanci vyšetřující kybernetické hrozby podporované zahraničními státy.
Agentura Reuters prozkoumala dokumenty sdílené skupinou a nalezla citlivé psychiatrické a lékařské spisy týkající se zaměstnanců FBI. Únik dat vyvolal obavy kontrarozvědky kvůli povaze dat. Úřad neposkytl podrobnou veřejnou zprávu o incidentu.
Společnost ShinyHunters uvedla, že se k nim dostala zneužitím nedávno opravené chyby CVE-2026-35273 v Oracle PeopleSoft, široce používané platformě pro lidské zdroje a nábor. Oracle vydal opravu poté, co byla chyba údajně použita jako zero-day od začátku června.
Společnost Mandiant zveřejnila pravidla firewallu webových aplikací pro organizace, které se nedokázaly rychle opravit, ale BleepingComputer uvedl, že ShinyHunters k jejich obejití použil trik s kódováním URL . Zpráva společností Mandiant a Google Threat Intelligence Group z 25. září potvrdila masové zneužívání zranitelnosti PeopleSoft ve vysokoškolském vzdělávání, technologiích, zdravotnictví, zemědělství, dopravě a státní správě.
ShinyHunters serveru TechCrunch sdělili, že únik dat ze strany FBI nebyl finančně motivován a jeho cílem bylo zpochybnit obvinění proti skupině. Uvedli, že ukradená data FBI nezveřejní. Šéf kybernetického oddělení FBI Brett Leatherman poděkoval nizozemským partnerům a vyzval zbývající členy, aby se přihlásili.
Boj o vedení uvnitř ShinyHunters
Zdroje blízké vyšetřování uvádějí, že nedávné riskantní kroky skupiny proti FBI a ruskému ransomwarovému týmu Cl0p signalizují odklon od jejího staršího, umírněnějšího stylu. Změna údajně následovala po převzetí skupiny dospívajícím kyberzločincem z jordánského Ammánu, známým jako Rey , který působí v rámci koalice s názvem ScatteredLapsussHunters.
Tato koalice je popisována jako směsice Scattered Spider, LAPSUS$ a ShinyHunters. Rey měl údajně spor s nizozemským hackerem o kontrolu nad značkou a daty ShinyHunters . Nadměrně velký obrázek Umbreonu ponechaný na stránce FBI s údajným znehodnocením byl vnímán jako pokus připsat útok Nizozemci.
Rey se na Twitteru/X posmíval Clopovi a FBI pomocí memu; jeho účet byl později smazán poté, co ho reportér požádal o rozhovor. Zpráva Wired uvádí, že ShinyHunters a SLSH krátce spolupracovali s TeamPCP , aby zpeněžili ukradené přihlašovací údaje, poté se ShinyHunters zpronevěřili a výtěžek si nechali. Mandiant infiltroval TeamPCP a poskytl přihlašovací údaje poskytovatelům cloudových služeb, což zneplatnilo klíče.
Výzkumník společnosti Mandiant Austin Larsen uvedl, že ShinyHunters se pustil do vydírání a v roce 2026 by mohl od obětí získat téměř 100 milionů dolarů. Van der Stap tvrdil, že jeho dřívější zločiny byly motivovány touhou shromažďovat databáze, nikoli penězi.
Čínský TA419 se vydává za experty na politiku v oblasti umělé inteligence
Proofpoint uvádí, že skupina TA419 , která je napojena na Čínu , se v USA vydává za experty na umělou inteligenci, včetně Lynne Edwards Parkerové, bývalé zástupkyně ředitele Úřadu pro vědeckotechnickou politiku Bílého domu. Kampaň je aktivní od dubna 2025.
E-maily zpočátku vypadaly neškodně a často zvaly příjemce, aby se připojili k „Poradnímu výboru pro politiku umělé inteligence“. Jakmile cíl odpověděl, útočníci odeslali falešnou přihlašovací stránku, jejímž cílem bylo odcizit přihlašovací údaje. Mezi oběťmi byli političtí experti z think tanků, dodavatelé obranných technologií, univerzity a právnické firmy v USA a Japonsku.
Tato technika vytváří falešné vyskakovací okno prohlížeče uvnitř legitimní webové stránky, které napodobuje skutečnou přihlašovací výzvu, takže je méně pravděpodobné, že si oběti uvědomí, že předávají informace. Proofpoint nejmenoval všechny cíle, ale agentura Reuters potvrdila, že Alex Engler, bývalý úředník Bílého domu, který nyní vede Pennovo centrum pro média, technologie a demokracii, jednu ze zpráv obdržel a zjistil, že pochází od imitátora.
V únoru se stejná skupina vydávala za prominentního zaměstnance společnosti Anthropic a zaměřovala se na experty na politiku v oblasti umělé inteligence. Proofpoint očekává, že TA419 bude i nadále používat identity skutečných expertů proti think tankům a politickým specialistům. Parker na žádost stanice Al Jazeera o komentář nereagoval.
Na co by si měli lidé a obránci dávat pozor
Bezpečnostním týmům ukazují indikátory NeedyMantis a zneužití PeopleSoft, jak útočníci kombinují důvěryhodný software, odcizené přihlašovací údaje a známé zranitelnosti. Kontrola odchozího provozu , neobvyklé načítání DLL a oprava odhalených HR nebo náborových platforem může toto okno zkrátit.
Pro běžné uživatele je kampaň TA419 připomínkou toho, že i vyleštěné e-maily a realistické přihlašovací výzvy mohou být stále phishingové. Pomáhá ověřování neočekávaných pozvánek prostřednictvím druhého kanálu a používání vícefaktorového ověřování odolného vůči phishingu.
V těchto případech je společným prvkem přístup: se státem propojené skupiny chtějí zůstat skryty v sítích, zatímco zločinecké gangy chtějí proměnit ukradená data v platby a veřejné páky. Analýza NeedyMantis ukazuje, jak sideloading DLL a WebSocket C2 mohou proměnit legitimní nástroje v oporu; zatčení ShinyHunters a narušení bezpečnosti FBI ukazují, jak rychle může hackerská značka eskalovat po vnitřních nepokojích; a phishing s tématem umělé inteligence od TA419 ukazuje, že sociální inženýrství stále funguje nejlépe, když si vypůjčuje důvěryhodné jméno. Žádný z těchto příběhů není izolovaný a obranné ponaučení se překrývají: rychle instalujte záplaty, sledujte neobvyklý provoz a načítání souborů a s podezřením se postavte k nevyžádaným požadavkům na přihlášení.
