Začiatkom roka 2026 sa objavil prípad, ktorý opäť ukázal, ako sa kybernetické útoky posúvajú od čisto technických zraniteľností k manipulácii správania používateľov. Na prvý pohľad neškodné rozšírenie prehliadača, ktoré sa vydávalo za nástroj na blokovanie reklám, dokázalo preniknúť do oficiálnych obchodov prehliadačov a získať dôveru tisícov používateľov. Útok nevyužíval iba škodlivý kód, ale kombinoval techniky sociálneho inžinierstva, manipuláciu s výkonom prehliadača a psychologický tlak na používateľa. Výsledkom bolo, že samotná obeť spustila škodlivé príkazy vo svojom systéme. V nasledujúcich častiach článku sa podrobnejšie pozrieme na fungovanie falošného ad blockeru, mechanizmus ClickFix útokov, technické pozadie incidentu a tiež na to, prečo predstavujú podobné scenáre významné riziko najmä pre verejnú správu a organizácie.

Falošné rozšírenia prehliadača ako vstupná brána do systému

Rozšírenia prehliadačov patria medzi najčastejšie používané nástroje na zvyšovanie komfortu práce na internete. Používatelia ich inštalujú s cieľom blokovať reklamy, spravovať heslá alebo zlepšiť produktivitu. Práve táto popularita však z nich robí atraktívny cieľ pre útočníkov.

V analyzovanom prípade sa škodlivé rozšírenie vydávalo za legitímny ad blocker s názvom NextShield. Distribuované bolo cez oficiálne obchody prehliadačov Chrome a Edge, čo výrazne zvýšilo jeho dôveryhodnosť. Útočníci zároveň využili marketingový trik – rozšírenie sa prezentovalo ako nástroj od autora známeho blokovača reklám. Tento detail zohral dôležitú úlohu, pretože používatelia často dôverujú známym menám alebo projektom.

Takýto typ útoku je nebezpečný najmä preto, že:

• využíva oficiálne distribučné kanály, ktoré používatelia považujú za bezpečné,
• rozšírenie po inštalácii získava široké oprávnenia v prehliadači,
• je schopné manipulovať s obsahom stránok alebo systémovým správaním,
• dokáže fungovať nenápadne dlhší čas.

Útočníci čoraz častejšie cielia práve na rozšírenia, pretože predstavujú kombináciu dôvery, dostupnosti a technických možností na manipuláciu používateľského prostredia.

Ako fungoval incident s rozšírením NextShield

Po inštalácii sa rozšírenie nesprávalo okamžite ako typický malware. Namiesto toho využilo techniku, ktorá mala vyvolať problém a následne ponúknuť „riešenie“. Konkrétne dochádzalo k zámernému zahlcovaniu pamäte prehliadača, čo spôsobovalo jeho nestabilitu alebo úplný pád.

Keď používateľ prehliadač znovu spustil, zobrazila sa mu výzva na opravu systému. Táto výzva nebola náhodná – bola navrhnutá tak, aby vyzerala technicky dôveryhodne a presvedčila používateľa vykonať manuálny zásah.

Proces útoku prebiehal približne nasledovne:

• inštalácia rozšírenia z oficiálneho obchodu,
• postupné zvyšovanie spotreby pamäte prehliadača,
• pád alebo zamrznutie aplikácie,
• zobrazenie falošnej inštrukcie na „opravu“,
• spustenie príkazov v príkazovom riadku používateľom,
• aktivácia škodlivého skriptu v systéme.

Týmto spôsobom sa útočníkom podarilo obísť tradičné bezpečnostné mechanizmy. Antivírus alebo bezpečnostné nástroje často sledujú automatické spúšťanie škodlivého kódu, nie však situáciu, keď príkazy vykoná sám používateľ.

ClickFix útoky: manipulácia používateľa ako hlavná zbraň

Takzvané ClickFix útoky patria do kategórie sociálneho inžinierstva. Ich základnou myšlienkou je presvedčiť používateľa, že systém má problém, ktorý je potrebné manuálne vyriešiť.

Útočníci vytvárajú scenár, ktorý vyvoláva pocit naliehavosti a technickej autority. Používateľ vidí chybové hlásenie alebo systémové upozornenie a dostane presné pokyny, čo má urobiť. Tieto pokyny často zahŕňajú kopírovanie príkazov, spustenie skriptu alebo zmenu systémových nastavení.

Psychologické prvky, ktoré ClickFix útoky využívajú:

• pocit technického problému, ktorý treba okamžite vyriešiť,
• autoritatívny tón inštrukcií,
• imitácia systémových alebo bezpečnostných nástrojov,
• minimalizovanie podozrenia – používateľ má pocit, že rieši chybu.

V tomto prípade bol útok ešte sofistikovanejší tým, že používateľ vykonal škodlivú akciu dobrovoľne a vedome, hoci si neuvedomoval jej skutočný dôsledok.

Technické detaily: časovač, detekcia a ďalšie fázy útoku

Zaujímavým prvkom incidentu bol aj zabudovaný 60-dňový časovač. Tento mechanizmus mal znížiť pravdepodobnosť odhalenia bezpečnostnými nástrojmi alebo analytikmi.

Takéto správanie je v modernom malvéri čoraz častejšie. Útočníci sa snažia minimalizovať podozrivú aktivitu v počiatočnej fáze, aby sa škodlivý kód dostal do väčšieho počtu zariadení.

Po úspešnom spustení skriptu mohlo dôjsť k nasledujúcim krokom:

• stiahnutie vzdialeného prístupového nástroja (RAT),
• získanie prístupu k systému používateľa,
• zbieranie informácií o zariadení a sieti,
• pokročilé sťahovanie ďalších modulov v prostredí organizácie.

V analyzovanom prípade bol potenciálnym nástrojom vzdialeného prístupu malware známy ako ModeloRAT. Takéto nástroje umožňujú útočníkom prakticky plnú kontrolu nad napadnutým zariadením, vrátane sledovania aktivít, manipulácie so súbormi alebo ďalšieho šírenia v sieti.

Riziká pre organizácie a verejný sektor

Organizácie verejnej správy, mestá a obce patria medzi prostredia, kde môžu podobné útoky spôsobiť vážne následky. Zamestnanci často pracujú s množstvom webových aplikácií, informačných systémov a doplnkov prehliadača, ktoré zjednodušujú každodennú agendu.

Ak však inštalácia rozšírení nie je riadená centrálne, vzniká bezpečnostná medzera. Útočník nepotrebuje prelomiť firewall ani zneužiť zraniteľnosť servera – stačí presvedčiť jedného používateľa.

Najväčšie riziká zahŕňajú:

• kompromitáciu pracovnej stanice zamestnanca,
• prístup k interným systémom organizácie,
• laterálny pohyb útočníka v sieti,
• únik citlivých údajov alebo dokumentov,
• dlhodobú nepozorovanú prítomnosť útočníka v infraštruktúre.

Práve preto sa čoraz viac organizácií zameriava na kontrolu koncových zariadení, správu rozšírení prehliadačov a bezpečnostné politiky pre používateľov.

Ponaučenia a odporúčania pre prax

Incident s falošným ad blockerom ukazuje, že kybernetická bezpečnosť dnes stojí na troch pilieroch: technológie, procesy a ľudia. Ak jeden z nich zlyhá, vzniká priestor pre útok.

Organizácie by mali zaviesť najmä tieto opatrenia:

• centrálne riadenie inštalácie rozšírení prehliadača,
• používanie zoznamov povolených aplikácií a doplnkov,
• monitorovanie neštandardného správania prehliadačov,
• obmedzenie spúšťania príkazov používateľmi bez oprávnenia,
• pravidelné školenia o sociálnom inžinierstve.

Dôležité je tiež vysvetliť používateľom jednoduché pravidlo: ak webová stránka alebo aplikácia vyžaduje spúšťanie príkazov v systéme, ide o vysokorizikovú situáciu.

Prečo sa podobné útoky budú objavovať čoraz častejšie

Trend v kybernetických hrozbách ukazuje, že útočníci sa čoraz viac orientujú na kombinované techniky. Namiesto jedného exploitu využívajú mix sociálneho inžinierstva, legitímnych platforiem a legitímne vyzerajúcich nástrojov.

Dôvod je jednoduchý – je to efektívnejšie. Obísť bezpečnostný systém je často zložité, no presvedčiť človeka býva jednoduchšie. Navyše moderné organizácie využívajú cloudové služby, prehliadače a integrácie, ktoré vytvárajú nové možnosti útoku.

Rozšírenia prehliadača sa tak postupne stávajú jedným z najdôležitejších bezpečnostných vektorov, ktorým by mali bezpečnostné tímy venovať väčšiu pozornosť.

Čo nám tento incident skutočne ukazuje

Prípad falošného ad blockeru a ClickFix útoku ukazuje, ako sa mení charakter kybernetických hrozieb. Útok nebol založený iba na technickej zraniteľnosti, ale na kombinácii dôvery, manipulácie a dobre pripraveného scenára. Rozšírenie, ktoré sa tvárilo ako užitočný nástroj, sa dostalo do oficiálnych obchodov, získalo dôveru používateľov a následne vytvorilo situáciu, v ktorej obeť sama spustila škodlivý kód. Tento model útoku je mimoriadne nebezpečný, pretože obchádza klasické bezpečnostné bariéry.

V článku sme si ukázali, ako fungovalo samotné rozšírenie, akú úlohu zohral mechanizmus ClickFix a prečo je dôležité vnímať rozšírenia prehliadača ako potenciálny bezpečnostný rizikový faktor. Zároveň sme sa pozreli na technické aspekty útoku, vrátane časovača, postupného nasadzovania škodlivých modulov a možného využitia vzdialeného prístupu k systému. V kontexte organizácií a verejného sektora ide o obzvlášť kritickú tému, pretože jediný kompromitovaný počítač môže otvoriť cestu do celej infraštruktúry.

Najdôležitejším ponaučením je, že kybernetická bezpečnosť už nie je len o technológii. Rozhodujúcu úlohu zohráva správanie používateľov, ich schopnosť rozpoznať podozrivú situáciu a správne reagovať. Organizácie by preto mali investovať nielen do ochranných nástrojov, ale aj do systematického vzdelávania a riadenia koncových zariadení. Práve kombinácia týchto prístupov dokáže výrazne znížiť pravdepodobnosť, že sa podobný útok podarí zopakovať.