Odpověď hned: Storm-2570 je aktér, u jehož průniků Microsoft pozoroval ransomwary Qilin, DragonForce, Anubis a BERT. Dříve než podle přípony zašifrovaných souborů jej lze hledat podle neplánovaných nástrojů vzdálené správy, přístupu k Active Directory, změn ochrany, hromadného použití PsExec a odchozích přenosů dat.
Dne 24. září 2026 zveřejnil Microsoft Threat Intelligence rozbor aktéra Storm-2570, kterého sleduje od dubna 2025. V jednotlivých vyšetřovaných průnicích se měnil nasazený ransomware, ale opakovaly se nástroje a postupy používané uvnitř napadené sítě. Microsoft zaznamenal Qilin, DragonForce, Anubis a BERT. Nešlo tedy o jeden vyděračský program se čtyřmi názvy, ale o více nasazení se společnými znaky před zašifrováním dat. (Microsoft Threat Intelligence, 24. 9. 2026)
Pro firmu je důležitá časová posloupnost. Výkupné a přípona zašifrovaných souborů se objeví až při dopadu. Nová služba vzdálené správy, použití ntdsutil, změna nastavení Defenderu nebo PsExec spuštěný proti seznamu počítačů mohou být viditelné dříve.
Co se děje před zašifrováním souborů
Storm-2570 používal legitimní nástroje vzdálené správy Atera, MeshAgent, ScreenConnect, Splashtop, Remotely_Agent a NinjaRMM. Samotný název programu není důkazem napadení. Stejné nástroje mohou oprávněně používat interní správci nebo smluvní dodavatel IT.
Podezřelá je instalace bez známého vlastníka, mimo schválený postup nebo na zařízeních, kde daný nástroj nemá být. Microsoft popsal také přejmenované varianty MeshAgentu, jejichž název odkazoval na napadenou organizaci. Hledání pouze podle názvu souboru proto nestačí.
| Fáze průniku | Co Microsoft pozoroval | Co má firma ověřovat |
|---|---|---|
| Vzdálené ovládání | Atera, MeshAgent, ScreenConnect, Splashtop, Remotely_Agent, NinjaRMM | Nové služby a agenty bez schváleného vlastníka |
| Průzkum sítě | NetScan, Nmap a další nástroje pro hledání zařízení a služeb | Skenování více adres ze stanice, která je běžně neskenuje |
| Přístup k účtům | ntdsutil, Mimikatz, LaZagne, pypykatz | Neplánovanou práci s Active Directory a NTDS.dit |
| Oslabení ochrany | Vypnutí monitorování Defenderu, nové výjimky | Změny bezpečnostních politik mimo řízenou správu |
| Pohyb mezi zařízeními | PsExec, Impacket, NetExec, skripty pro RDP | Hromadné vzdálené spouštění na stanicích a serverech |
| Odcizení dat | Rclone, s5cmd | Nové cloudové cíle a neobvyklý odchozí přenos |
Microsoft zaznamenal použití ntdsutil při získávání dat z Active Directory, zásahy do Microsoft Defenderu včetně výjimky pro C:\PerfLogs a PsExec pracující se seznamem zařízení v souboru @ip.txt. K přesunu dat mimo organizaci sloužily také nástroje Rclone a s5cmd. (Microsoft Threat Intelligence, 24. 9. 2026)
Kdy nezasahovat naslepo a co uděláme my
Pouhé odinstalování podezřelého programu nemusí incident ukončit. Současně může odstranit část stop potřebných ke zjištění rozsahu průniku. Svépomocný zásah přerušte zejména tehdy, když:
- se neznámý RMM agent objevil na řadiči domény, serveru nebo stanici správce,
- spolu s novou službou vidíte změny Defenderu, použití
ntdsutilnebo přístup kNTDS.dit, - PsExec běžel proti více zařízením nebo Rclone či s5cmd přenášely větší objem dat do neznámého cíle.
V rámci řešení IT bezpečnosti pro firmy postupujeme ve třech krocích:
- Třídění a omezení dopadu: zaznamenáme čas, zařízení, účet, službu a síťová spojení a navrhneme bezpečné oddělení dotčených systémů.
- Určení rozsahu: porovnáme služby, procesy, účty a záznamy napříč stanicemi a servery a prověříme možné odcizení přihlašovacích údajů.
- Náprava: připravíme konkrétní postup pro odstranění cizí správy, změnu dotčených hesel, obnovení bezpečnostních politik a kontrolu záloh.
Pokud už došlo k šifrování, neměňte bez rozmyslu napadené systémy. Praktické pořadí kroků shrnuje článek Ransomware ve firmě: prvních 24 hodin.
Týká se to i malé firmy v Česku?
Microsoft popisuje průniky u organizací ve Spojených státech, Kanadě, Spojeném království, Španělsku, Nizozemsku a Portoriku. Mezi zasaženými odvětvími jmenuje mimo jiné zdravotnictví, vzdělávání, státní správu, finance, energetiku, maloobchod, IT, výrobu a dopravu. Způsob prvotního vstupu zůstává podle Microsoftu i podle shrnutí Forensix Intelligence nepotvrzený. (Microsoft Threat Intelligence, 24. 9. 2026; Forensix Intelligence, 26. 9. 2026)
Z těchto dvou zdrojů nelze tvrdit, že Storm-2570 zasáhl českou firmu. Kontrolní body ale nejsou závislé na zemi ani na značce ransomwaru. Také malá firma potřebuje vědět, kdo smí instalovat vzdálenou správu, na kterých zařízeních smí běžet a jak pozná změnu.
Co zkontrolovat jako první
Začněte seznamem povolených vzdálených přístupů. U každého evidujte:
- název programu a provozovatele služby,
- odpovědnou osobu ve firmě,
- dodavatele, který jej používá,
- zařízení, na kterých smí běžet,
- účty a způsob vícefaktorového ověření,
- datum a důvod instalace.
Pak tento seznam porovnejte s reálně instalovanými službami a procesy. Pokud firma schválila jeden konkrétní MeshAgent, paralelní Atera, ScreenConnect nebo Splashtop potřebují doloženého vlastníka a účel. MeshAgent sám o sobě ransomware není; varováním je jeho neznámý původ, přejmenování nebo nasazení mimo schválený rozsah.
Monitoring by měl upozornit alespoň na:
- instalaci nové aplikace nebo systémové služby pro vzdálenou správu;
- vypnutí ochrany Microsoft Defenderu nebo vytvoření nové výjimky;
- neplánované použití
ntdsutila práci sNTDS.dit; - PsExec spuštěný proti většímu počtu stanic či serverů;
- spuštění Rclone nebo s5cmd a neobvyklý odchozí přenos dat.
Nespoléhejte jen na názvy souborů. Sledujte vznik nové služby, vydavatele a podpis programu, účet použitý při instalaci, cílová zařízení a síťové chování. Co má takový dohled v malé firmě pokrýt, rozebírá článek Monitoring IT: co hlídat v malé firmě.
Když najdete neschválený RMM nástroj
Nejprve si poznamenejte zařízení, název služby, cestu k programu, čas instalace, běžící procesy, připojené adresy a účet, pod kterým služba běží. Teprve potom rozhodujte o izolaci nebo odinstalování. Vypnutí jediného agenta neřeší ukradené přihlašovací údaje ani další přístup, který si útočník mohl vytvořit.
Microsoft doporučuje změnit hesla účtů použitých k instalaci neschváleného RMM nástroje. Pokud byl agent instalován pod systémovým účtem, může být podle Microsoftu namístě další šetření. Současně doporučuje vícefaktorové ověření pro schválené systémy vzdálené správy, ochranu bezpečnostních nastavení před neoprávněnou změnou a omezení pohybu mezi zařízeními podle principu nejmenších oprávnění. (Microsoft Threat Intelligence, 24. 9. 2026)
Prověřte také administrátorské účty. Kdo může spravovat stanice, servery, Active Directory a zálohy, má být dohledatelné a pravidelně kontrolované. Praktický postup nabízí audit přístupových práv ve firmě.
Co tento případ neprokazuje
Zveřejněný rozbor nepotvrzuje způsob prvotního vstupu Storm-2570 do sítě. Nelze z něj proto dovozovat, že za každý popsaný průnik mohl phishing, neopravená zranitelnost nebo odcizené heslo.
Stejně tak neplatí, že výskyt MeshAgentu, Atery nebo ScreenConnectu automaticky znamená útok. Rozhodující je, zda nástroj odpovídá firemnímu seznamu, má známého vlastníka a byl nasazen schváleným způsobem.
Hlavní poučení není hledat jednu značku ransomwaru. Je potřeba zachytit odchylku: nový vzdálený přístup, neobvyklou práci s Active Directory, oslabení ochrany, hromadný pohyb mezi počítači nebo odchozí přenos dat. Právě tyto změny mohou být viditelné dříve než zašifrované soubory a žádost o výkupné.