Google Threat Intelligence Group upozornil na špionážní kampaň, která podle jeho zjištění zasáhla severoamerické akademické, lékařské a vojenské výzkumné organizace. Za útokem má stát skupina sledovaná pod označením UNC6508, kterou Google spojuje s čínským státním zájmem. Nešlo o běžný kybernetický incident s rychlým průnikem a okamžitým únikem dat. Podle zprávy se útočníci dokázali v napadeném prostředí pohybovat déle než rok a hledali informace z oblastí medicíny, umělé inteligence, obranného výzkumu, bezpilotních systémů a vojenské strategie v Indo-Pacifiku.

Zprávu zveřejnili analytici Patrick Whitsell a John McGuiness z Google Threat Intelligence Group. Popisují v ní útok, který začal u veřejně dostupných serverů REDCap. Tuto platformu používají nemocnice, univerzity a výzkumná pracoviště pro správu klinických studií, databází a dotazníků. Právě proto je pro útočníky mimořádně cenná. Neobsahuje jen technické informace, ale často i citlivá výzkumná data, kontakty, interní komunikaci a přístupové údaje.

Malware ukrytý v prostředí REDCap

Google uvádí, že útočníci nasadili vlastní malware označený INFINITERED. Ten byl vytvořený přímo pro prostředí REDCap. Podle technického popisu měl několik částí. Jedna zajišťovala trvalé udržení v systému, další kradla přihlašovací údaje a třetí fungovala jako zadní vrátka pro vzdálené příkazy. Zvlášť nebezpečné bylo to, že malware dokázal sbírat uživatelská jména a hesla z přihlašovacích stránek.

Vyšetřování podle Googlu ukázalo, že první známé napadení sahá k září 2023 a aktivita pokračovala až do listopadu 2025. Útočníci se tedy nesnažili jen rychle získat jeden balík souborů. Postupně mapovali prostředí, získávali další přístupy a přesouvali se k citlivějším částem sítě. V praxi to znamená, že z jednoho špatně zabezpečeného nebo zastaralého serveru se mohl stát vstupní bod do mnohem širší infrastruktury.

Nejzajímavější část celé kampaně se netýká samotného malwaru, ale způsobu odčerpávání dat. Google popsal, že útočníci zneužili legitimní funkci pro pravidla souladu v podnikovém e-mailovém prostředí. Po získání administrátorského přístupu vytvořili pravidlo pojmenované „Patroit“, tedy zjevně chybně napsané slovo „Patriot“. Toto pravidlo vyhledávalo zprávy podle konkrétních slov, frází a adres. Pokud e-mail odpovídal nastaveným podmínkám, systém jej skrytě odeslal jako slepou kopii na účet ovládaný útočníky.