Nová metoda podvodu na WhatsAppu. Podvodníci pošlou fakturu, neklikejte na ni

Zpráva, která nevypadá jako hrozba

Na ploše naskočí upozornění z chatovací aplikace. Neznámé číslo, krátký text a příloha s číselným názvem, který připomíná finanční výpis: Statement-846143734.zip. Žádné překlepy, žádný křiklavý nápis. Jen naléhavá prosba o rychlou kontrolu.

Kdo takovou zprávu dostane v hektickém pracovním dni, často neváhá. Archiv se rozbalí, uvnitř leží jediný soubor a poklepání na něj trvá zlomek vteřiny. Na obrazovce se přitom nestane vůbec nic. Žádné okno, žádná chyba, žádné varování.

A právě to ticho je znepokojivé. Zatímco uživatel čeká, že se objeví dokument, v paměti počítače už běží něco úplně jiného.

Co se děje za zavřenými dveřmi systému

Škodlivý kód se nejdřív rozhlédne po okolí. Zjišťuje verzi systému, velikost paměti, typ procesoru i rozlišení obrazovky a hledá známky analytických laboratoří a bezpečnostních sandboxů. Pokud mu něco nesedí, okamžitě se stáhne a skončí.

Pokud je prostředí v pořádku, rozbalí se výhradně v operační paměti RAM. V první fázi se na disk nezapisují žádné spouštěcí soubory, a tak je co zachytit jen velmi těžko. Zvenčí to připomíná dokonalý zločin bez stop.

Následně se pokročilou technikou vpraví do systémové služby, která plánuje úlohy ve Windows. Odtud získá nejvyšší možná oprávnění. Zbytek řetězce už tato práva zdědí automaticky.

Další krok je ještě drzejší. Do systému se dostane ovladač s platným digitálním podpisem, který pomůže vypnout ochranné programy přímo v jádře systému. Strážci jsou oslepeni dřív, než stihnou zareagovat.

Jméno hrozby: VulcanRAT207.A

Tady se opona zvedá. Jde o trojského koně pro vzdálený přístup s označením VulcanRAT207.A. Jeho podrobný popis zveřejnil bezpečnostní tým Morphisec v říjnu 2026. Šíří se přes WhatsApp a nespoléhá na žádnou chybu v aplikaci. Spoléhá na člověka.

Jde o klasické sociální inženýrství. Útočník potřebuje jediné: aby uživatel přílohu přijal, archiv rozbalil a soubor Statement-846143734.exe sám spustil.

Pro trvalý přístup malware využívá techniku DLL Side-Loading. Vytvoří naplánovanou úlohu USOPrivate Kit, která pod účtem LocalSystem spouští legitimní nástroj vulkaninfo-64.exe. Ten ale načte podvrženou knihovnu vulkan-1.dll a datový soubor vulkan-1.bin.

Spojení s řídicím serverem útočníka probíhá přes protokol WebSocket. Od té chvíle může útočník zachytávat stisky kláves, sledovat schránku, pořizovat snímky obrazovky nebo ovládat myš a klávesnici. Dokáže také vytvořit skrytý administrátorský účet, upravit síťová pravidla a smazat protokoly událostí.

Co říkají odborníci a uživatelé

Analytik týmu Morphisec Research popisuje zlomový bod útoku takto: „Klíčovým momentem celého řetězce je brzké předání řízení do procesu Windows Task Scheduleru. Díky tomu všechny následující škodlivé komponenty automaticky zdědí systémový token LocalSystem.“

Podle něj útočníci kombinují techniky, které nezapisují na disk, se zneužitím legitimně podepsaného ovladače GoFly. Tak odstaví ochranu z jádra systému a obejdou běžné detekční nástroje.

Podobně to vidí uživatelé v internetových diskusích. Jeden z nich píše: „Už léta se opakuje to samé, lidé si pletou ikonu dokumentu se spouštěcím souborem .exe schovaným v ZIPu.“ Podle něj nepomůže ani antivirus, dokud si lidé nezapnou zobrazování přípon a nepřestanou otevírat pracovní věci z osobního WhatsAppu.

Jak se nenechat napálit

• Zapněte zobrazování přípon souborů ve Windows, aby faktura nemohla být ve skutečnosti souborem .exe. | Neotevírejte archivy z neznámých čísel, ani když zpráva zní naléhavě. | Ověřte odesílatele jiným kanálem, například telefonátem nebo e-mailem. | Oddělte pracovní a osobní komunikaci, aby se firemní dokumenty nepřenášely přes soukromý messenger.

Pravidlo zůstává pořád stejné: nikdy nespouštějte neznámé soubory z neověřených zpráv, ať se tváří jakkoli důležitě.