CERT-UA: több mint 100 legális weboldalt fertőztek meg egy nagyszabású kibertámadásban
Az ukrán CERT-UA figyelmeztetést adott ki egy nagyméretű, UAC-0277 nevű hackercsoportnak tulajdonított kártékony szoftver terjesztési kampányról. A támadók 2026 szeptemberében több mint 100 legitim weboldalt fertőztek meg, amelyeken hamis Cloudflare-ellenőrző oldalakat jelenítenek meg a keresőkből érkező Windows-felhasználóknak, és ráveszik őket egy parancs futtatására. A sikeres fertőzés a LUNEXSTEALER kártevőt és egy „Microsoft Office Word Editor” nevű álcázott böngészőbővítményt telepít.
Legfontosabb tudnivalók
- A CERT-UA 2026 szeptemberében több mint 100 kompromittált weboldalt azonosított, amelyekhez a támadók rosszindulatú JavaScript-kódot adtak hozzá.
- A kampány a ClickFix technikát használja: hamis Cloudflare „I am not a robot” ellenőrző oldal jelenik meg a Windows-felhasználóknak, akik keresőkből (Google, DuckDuckGo, meta.ua, bigmir.net) érkeznek.
- Az oldal arra kéri a látogatót, hogy a Win+R billentyűkombináció, a parancssor vagy a PowerShell segítségével másoljon és futtasson egy parancsot, amely kártevőt tölt le.
- A fertőzés a LUNEXSTEALER stealert és egy „Microsoft Office Word Editor” néven álcázott kártékony böngészőbővítményt telepít, amely jelszavakat, bejelentkezési adatokat és böngészési előzményeket lop, valamint távoli hozzáférést biztosít a támadóknak.
- A támadók a Polygon és Ethereum blokklánc-hálózatokat használják infrastruktúrájuk kezelésére és a nyomok elrejtésére.
- A CERT-UA hangsúlyozza: egyetlen legitim CAPTCHA vagy Cloudflare-ellenőrzés sem kéri a Win+R megnyomását, a parancssor vagy a PowerShell megnyitását, illetve parancsok beillesztését és futtatását.
Miért fontos
A kampány azért különösen veszélyes, mert több mint 100 megbízható, legitim weboldalt használ fertőzési vektorként, így a gyanútlan feljesztoterika is áldozattá válhat. A ClickFix technika társadalmi manipulációra épít: egy ismert CAPTCHA- vagy Cloudflare-ellenőrzés látszatát keltve maguk a felhasználók futtatják le a kártékony parancsot, ami a nem műszaki felhasználók ellen is hatékony. A sikeres fertőzés jelszólopást, böngészési előzmények ellopását és a teljes eszköz feletti távoli irányítást eredményezhet, és a blokklánc-alapú infrastruktúra miatt a támadók beállításait gyorsan, nyomtalanul tudják váltogatni, megnehezítve a védekezést.
Háttér
A CERT-UA Ukrajna nemzeti számítógépes vészhelyzeti csapata, amely az Állami Különleges Hírközlési és Információvédelmi Szolgálat (Держспецзв'язку) alatt működik. A ClickFix technika lényege, hogy legitim biztonsági ellenőrzéseknek – például CAPTCHA-nak vagy Cloudflare-ellenőrzésnek – álcázza magát, és a felhasználót saját maga veszi rá egy kártékony parancs futtatására. A valódi CAPTCHA- és Cloudflare-ellenőrzések soha nem kérik a Win+R billentyűkombináció megnyomását, a parancssor vagy a PowerShell megnyitását, illetve parancsok beillesztését és futtatását.