Čo je nové

Cisco Talos 22. septembra opísal CLOSEDQUORUM, škodlivý program pre Windows, ktorý má o svojom ďalšom kroku rozhodovať pomocou komerčných modelov AI. Zameriava sa na prihlasovacie údaje a kryptopeňaženky. Dôležité obmedzenie: nasadenie v reálnych útokoch nebolo potvrdené a verejná vzorka obsahovala nefunkčné prístupové údaje. Výskumníci preto nepozorovali úplný priebeh navrhnutého mechanizmu. Ide o analýzu schopností kódu, nie o dôkaz prebiehajúcej vlny útokov. Zdroj: Analýza Cisco Talos

Prečo by to malo zaujímať aj vedenie firmy

Redakčný pohľad SXIZA: podstatná otázka znie, kto môže vo vašom prostredí robiť rozhodnutia a s akým dosahom. Pri zavádzaní automatizácie zvyčajne riešime, koľko času ušetrí zamestnancom. Rovnakú pozornosť si zaslúži okamih, keď sa automatizovaný proces správa neočakávane. Kto ho zastaví? Ktoré účty používa? K akým údajom sa dostane predtým, než si niekto všimne problém?

Predstavme si bežnú poradu o novom nástroji. Dodávateľ ukáže užitočnú funkciu a tím schváli skúšobnú prevádzku. Bezpečnostná otázka však nekončí tým, či má služba dobré meno. Firma potrebuje poznať aj konkrétnu aplikáciu, jej oprávnenia a zodpovedného vlastníka. Takto sa dá o riziku hovoriť bez katastrofických titulkov a bez požiadavky, aby každý manažér rozumel analýze škodlivého kódu.

Zneužívanie legitímnych internetových služieb má pritom širší kontext. MITRE ATT&CK ho opisuje pri technike Web Service: škodlivá komunikácia sa môže skryť medzi bežnými spojeniami na známe služby. Samotná dôveryhodná doména teda nevysvetľuje účel konkrétneho spojenia. Tento všeobecný opis nepotvrdzuje výskyt CLOSEDQUORUM vo vašej sieti. Zdroj: MITRE ATT&CK T1102

Čo z toho zatiaľ nevyvodzovať

Neodporúčame vyhlásiť incident len na základe dnešného titulku ani plošne vypínať užitočné pracovné nástroje. Rozhodnutie o zásahu má vychádzať z vlastných zistení, významu dotknutého systému a plánu reakcie. Pri komunikácii vo firme oddeľte pozorovaný fakt od predpokladu: „našli sme nezvyčajný proces“ je iná informácia než „tento proces zodpovedá potvrdenému útoku“.

Za rozumný výsledok prvého interného rozhovoru považujeme krátky zoznam otvorených otázok s vlastníkmi a termínmi. Ak odpovede chýbajú, priznať to je užitočnejšie než označiť celý problém za vyriešený nákupom nového produktu. Výskumnú správu možno použiť ako podnet na kontrolu pripravenosti, pričom naliehavé opravy a prebiehajúce incidenty si zachovajú prioritu.

Tri praktické kroky

Microsoft vo svojich všeobecných odporúčaniach zdôrazňuje riadenie identít, primerané oprávnenia, obmedzenie odchádzajúcich spojení a sledovanie správania. Zdroj: Microsoft Security Blog

Nasledujúce úlohy sú naším návrhom, ako tieto princípy preniesť do firemnej praxe; nejde o špecifický návod na odstránenie CLOSEDQUORUM.

  1. Spíšte používané AI aplikácie a ku každej priraďte zodpovednú osobu.

    Pri každej položke si vyžiadajte stručný opis účelu, schvaľovania zmien a postupu pri probléme. Začnite malým overiteľným zoznamom namiesto rozsiahlej tabuľky bez vlastníka.

  2. Overte na jednom pracovnom scenári, kto dokáže zastaviť podozrivú automatizáciu.

    Na porade si prejdite modelovú situáciu od prvého hlásenia po rozhodnutie zodpovednej osoby. Zapíšte chýbajúce kontakty aj nejasné právomoci. Cieľom je uskutočniteľný postup, nie iba existencia dokumentu.

  3. Dohodnite si termín kontroly, či sa prijaté opatrenia naozaj dokončili.

    Vedenie by malo dostať výsledok v zrozumiteľnej forme: čo sme preverili, čo zostáva otvorené a kto to rieši. Takáto spätná väzba dáva bezpečnostnej správe praktickú hodnotu aj po tom, čo prestane byť novinkou.

Zdroje

Zdroje overené 22. 9. 2026. Odporúčania a firemné príklady sú redakčným spracovaním SXIZA.