Do schránky dorazí e-mail, který vypadá jako potvrzení o platbě z banky, třeba „HSBC payment receipt“. V příloze je soubor k „ověření“. Není to doklad. Je to první článek řetězce, na jehož konci běží Agent Tesla, infostealer, jehož jediným úkolem je tiše vytěžit přihlašovací údaje a další citlivá data z napadeného stroje. V červnu 2026 takovou kampaň detailně rozebral tým Point Wild a dobře ukazuje, jak dnešní útoky přes přílohu vypadají v praxi.
Jak Agent Tesla útočí
Klíčové je, že to není jeden spustitelný virus. Je to vícestupňový řetězec, kde každá fáze plní jednu roli a zároveň ztěžuje analýzu:
- Příloha jako spouštěč. Soubor s příponou
.bat,.jsnebo.exe, maskovaný za fakturu či doklad, spustí systémový skriptovací nástroj (typicky PowerShell). - Stažení další fáze. PowerShell běží ve skrytém okně a stáhne hlavní payload z externí infrastruktury útočníka.
- Běh v paměti. Kód se nahraje a spustí přímo v paměti (fileless), čímž minimalizuje stopy na disku a obchází signaturovou detekci.
- Injekce do legitimního procesu. Finální payload se vloží do důvěryhodného systémového procesu Windows, aby splynul s běžným chodem systému.
Jakmile je Agent Tesla aktivní, sbírá uložená hesla z prohlížečů a Windows Vaultu, loguje stisky kláves, pořizuje snímky obrazovky a provádí fingerprinting hostitele. Posbíraná data exfiltruje přes SMTP, tedy běžnou e-mailovou komunikaci, ve které se škodlivý provoz snadno ztratí.
Proč uniká detekci
Síla téhle generace útoků není v sofistikovanosti jednoho kroku, ale v rozdělení do mnoha nenápadných fází. Každá z nich cílí na obejití jiné obranné vrstvy. Payload navíc obsahuje anti-analytickou logiku: kontroly na přítomnost virtuálního stroje, sandboxu a debuggeru. Pokud usoudí, že běží v analytickém prostředí, nečinně se zastaví. Cílem je zůstat neviditelný co nejdéle a stihnout exfiltraci dřív, než si někdo všimne.
Indikátory, podle kterých phishing poznáte
- Nevyžádaná příloha k „faktuře“, „platbě“, „objednávce“ nebo „dokladu“. Standardní návnada. Pokud jste nic neobjednali, není důvod čekat doklad.
- Spustitelná přípona u „dokumentu“. Faktura nemá příponu
.bat,.js,.exeani.scr. To nejsou dokumenty, ale programy. - Dvojitá přípona. Názvy typu
faktura.pdf.batneboplatba_doc.jsmají vyvolat dojem PDF, fakticky jde o spustitelný kód. - Tlak na okamžitou akci. Naléhavost má obejít vaši pozornost a donutit vás kliknout dřív, než zprávu vyhodnotíte.
Doporučená opatření
- Neotvírejte nevyžádané přílohy a odesílatele ověřujte jiným kanálem, ne odpovědí na tentýž e-mail.
- Nasaďte vícefaktorové ověření (MFA). Pokud útočník heslo získá, bez druhého faktoru se k účtu nedostane. Proti infostealerům jde o nejúčinnější jednotlivé opatření, protože samotná hesla mají pro útočníka výrazně nižší hodnotu.
- Omezte spoléhání na hesla uložená v prohlížeči. Pozor ale: pokročilé infostealery cílí i na správce hesel a browser vaulty, takže ani správce hesel není neprůstřelná pojistka. Hodnota je v unikátních heslech na účet v kombinaci s MFA.
- Udržujte aktualizovaný systém i bezpečnostní software. I přes vrstvenou obfuskaci byla tato kampaň nakonec zachycena aktualizovanou detekcí.
- Hlaste podezřelé zprávy. Falešný poplach je levnější než tichá kompromitace.
Závěr
Agent Tesla není nový. Na české i zahraniční uživatele cílí roky a jeho vývoj je formálně ukončen. Co se mění, je doručovací řetězec: dnešní útok není jeden nápadný soubor, ale orchestrovaná posloupnost fází, která z obyčejné přílohy udělá plnou kompromitaci přihlašovacích údajů, aniž si oběť čehokoli všimne. Detekce proto musí stát na chování (vztahy procesů, aktivita v paměti, zneobvyklé spouštění skriptů), ne jen na signaturách jednotlivých souborů.
