CERT-UA varuje pred rozsiahlou malvérovou kampanou: cez napadnuté legitímne weby šíria LUNEXSTEALER
Ukrajinská jednotka CERT-UA (pôsobiaca pri Štátnej službe špeciálnej komunikácie a ochrany informácií Держспецзв'язку) zaznamenala rozsiahlu malvérovú kampaň pripísanú skupine UAC-0277. Útočníci v septembri 2026 infikovali viac ako 100 legitímnych webových stránok škodlivým JavaScriptom a pomocou techniky ClickFix zobrazujú návštevníkom z Windowsu prichádzajúcim z vyhľadávačov falošnú overovaciu stránku Cloudflare, ktorá ich navádza na spustenie príkazu cez Win+R, príkazový riadok alebo PowerShell. Následne sa inštaluje škodlivé rozšírenie prehliadača a útočníci získavajú prístup k heslám, heslám a vzdialenej kontrole zariadenia.
Hlavné body
- V septembri 2026 zaznamenala CERT-UA viac ako 100 napadnutých legitímnych webov so škodlivým JavaScriptom.
- Kampaň je pripísaná hackerskej skupine identifikovanej ako UAC-0277.
- Používa sa technika ClickFix – falošná overovacia stránka Cloudflare s textom „I'm not a robot“.
- Falošná stránka sa zobrazuje len používateľom Windowsu, ktorí na web prichádzajú z vyhľadávačov (Google, DuckDuckGo, meta.ua, bigmir.net a pod.).
- Obeti sa pod zámienkou overenia odporučí skopírovať a spustiť príkaz cez Win+R, príkazový riadok alebo PowerShell.
- Po spustení príkazu sa nainštaluje škodlivý softvér LUNEXSTEALER a rozšírenie prehliadača maskované ako „Microsoft Office Word Editor“, ktoré kradne prihlasovacie údaje, heslá a umožňuje vzdialenú kontrolu zariadenia.
- CERT-UA odporúča okamžite zatvoriť každú stránku vyžadujúcu takéto kroky a incidenty hlásiť na [email protected].
Prečo je to dôležité
Kampaň využíva viac ako 100 dôveryhodných legitímnych webov ako vstupné brány, čím výrazne rozširuje okruh potenciálnych obetí. Útok sa spolieha na sociálne inžinierstvo – falošnú CAPTCHA/Cloudflare stránku, ktorá používateľa sama navádza, aby si spustil škodlivý príkaz – vďaka čomu je účinný aj u bežných, netechnických používateľov. Po úspešnej infekcii sa do počítača nainštaluje softvér na krádež hesiel a vzdialený prístup, čím sú ohrozené prihlasovacie údaje, história prehliadania aj celé zariadenie. Útočníci navyše na správu infraštruktúry využívajú blockchainové siete Polygon a Ethereum, čo im umožňuje rýchlo meniť nastavenia a sťažuje odstraňovanie ich infraštruktúry. Hrozba je aktuálne aktívna voči používateľom Windowsu, ktorí prichádzajú z veľkých vyhľadávačov vrátane ukrajinských (meta.ua, bigmir.net). CERT-UA zároveň zverejnila konkrétne obranné odporúčania pre správcov systémov a kontaktný kanál na hlásenie incidentov.
Čo sa stalo
Ukrajinská jednotka CERT-UA, ktorá pôsobí pri Štátnej službe špeciálnej komunikácie a ochrany informácií (Держспецзв'язку), identifikovala rozsiahlu kampaň na šírenie malvéru pripisovanú hackerskej skupine UAC-0277. V septembri 2026 odborníci zaznamenali viac ako 100 legitímnych webových stránok, na ktoré útočníci pridali škodlivý JavaScript kód.
Pri návšteve takejto stránky sa používateľom Windowsu, ktorí na ňu prichádzajú z vyhľadávačov ako Google, DuckDuckGo, meta.ua či bigmir.net, zobrazí falošná overovacia stránka napodobňujúca Cloudflare a výzvu „I'm not a robot“. Tá ich vyzve, aby skopírovali a spustili určitý príkaz – cez klávesovú skratku Win+R, príkazový riadok alebo PowerShell. Falošná stránka sa zobrazí najviac dvakrát za 12 hodín tomu istému návštevníkovi.
Ak používateľ príkaz vykoná, na jeho zariadenie sa automaticky stiahne a nainštaluje malvér. Na správu infraštruktúry využívajú útočníci blockchainové siete Polygon a Ethereum, čo im umožňuje rýchlo a nenápadne meniť nastavenia. Ako hlavný nástroj na obchádzanie ochrany systému slúži LUNEXSTEALER maskovaný ako legitímny súbor a využívajúci zraniteľnosti ovládačov Windowsu.
Po infekcii sa do prehliadača obete potichu nainštaluje škodlivé rozšírenie vydávajúce sa za „Microsoft Office Word Editor“. Toto rozšírenie umožňuje útočníkom kradnúť prihlasovacie údaje, heslá a historiu prehliadania a zároveň získať vzdialenú kontrolu nad počítačom.
CERT-UA zdôrazňuje, že žiadna legitímna captcha ani overenie cez Cloudflare nikdy nevyžadujú stlačenie Win+R, otvorenie príkazového riadka alebo PowerShellu, ani vkladanie a spúšťanie akýchkoľvek príkazov. Používateľom odporúča okamžite zatvoriť akúkoľvek stránku, ktorá takéto kroky žiada. Vlastníkom napadnutých stránok a používateľom, ktorí sa s útokom stretli, CERT-UA odporúča obrátiť sa na adresu [email protected]. Správcom systémov odporúča zablokovať dialóg Win+R pre bežné používateľské účty, obmedziť inštaláciu nepodpísaných MSI balíkov bez administrátorských práv a používať povolené zoznamy rozšírení prehliadača.
Súvislosti
CERT-UA je ukrajinská národná jednotka pre reakciu na počítačové núdzové situácie, ktorá pôsobí v rámci Štátnej služby špeciálnej komunikácie a ochrany informácií (Держспецзв'язку). Technika „ClickFix“ oklame používateľov tým, že napodobňuje legitímne bezpečnostné overenia, ako sú captchy alebo overenia cez Cloudflare, a navádza ich, aby sami spustili škodlivé príkazy. Legitímne captchy ani overenia cez Cloudflare nikdy nevyžadujú stlačenie Win+R, otvorenie príkazového riadka alebo PowerShellu, ani vloženie a spustenie akýchkoľvek príkazov.