CERT-UA avertizează asupra unei campanii de malware care a compromis peste 100 de site-uri legitime
Echipa națională de reacție la incidente cibernetice a Ucrainei, CERT-UA, a anunțat descoperirea unei campanii de amploare de distribuire de malware, atribuită clusterului UAC-0277. În septembrie 2026 au fost identificate peste 100 de site-uri legitime cărora le-a fost injectat cod JavaScript malițios. Vizitatorii Windows care ajung pe aceste site-uri din motoare de căutare sunt direcționați către o pagină falsă de verificare Cloudflare, prin tehnica ClickFix, și sunt păcăliți să execute comenzi care instalează un program de tip stealer și o extensie de browser rău intenționată.
Puncte-cheie
- CERT-UA (sub Держспецзв'язку) a anunțat campania pe 6 octombrie 2026; gruparea este identificată drept UAC-0277.
- În septembrie 2026 au fost compromise peste 100 de resurse web legitime, cu cod JavaScript malițios adăugat.
- Atacatorii folosesc tehnica ClickFix: pagini false de verificare Cloudflare cu mesajul „Nu sunt robot” pe site-uri legitime, dar compromise.
- Pagina falsă este afișată doar utilizatorilor Windows care vin din motoare de căutare (Google, DuckDuckGo, meta.ua, bigmir.net).
- Victima este păcălită să copieze și să execute o comandă prin Win+R, Command Prompt sau PowerShell, ceea ce descarcă și instalează malware-ul.
- Sunt instalate utilitarul LUNEXSTEALER și o extensie de browser deghizată în „Microsoft Office Word Editor”, care fură date de autentificare, parole, istoricul de navigare și permite controlul de la distanță al calculatorului.
- CERT-UA recomandă raportarea incidentelor la [email protected] și blocarea combinației Win+R pentru utilizatorii obișnuiți, restricționarea instalării pachetelor MSI nesemnate și folosirea listelor de extensii permise în browser.
De ce contează
Campania se sprijină pe peste 100 de site-uri legitime și de încredere ca vectori de infectare, ceea ce lărgește considerabil baza potențialelor victime. Mecanismul se bazează pe inginerie socială — o pagină falsă de tip CAPTCHA/Cloudflare care îi cere utilizatorului să execute el însuși comenzi — ceea ce o face eficientă chiar și în cazul utilizatorilor fără pregătire tehnică. Odată infectat, calculatorul este expus la furt de date de autentificare, parole, istoric de navigare și la control de la distanță. Infrastructura bazată pe blockchain (Polygon și Ethereum) le permite atacatorilor să modifice rapid setările, ceea ce complică măsurile de blocare. Amenințarea vizează în prezent utilizatorii de Windows care ajung pe site-uri compromise din motoare de căutare, inclusiv din cele ucrainene (meta.ua, bigmir.net). CERT-UA a publicat deja îndrumări defensive concrete și un canal de contact pentru raportarea incidentelor.
Ce s-a întâmplat
CERT-UA a anunțat pe 6 octombrie 2026 detectarea unei campanii de distribuire de malware pe scară largă, atribuită grupării UAC-0277. În septembrie 2026, specialiștii au identificat peste 100 de site-uri legitime cărora le fusese adăugat cod JavaScript malițios. Vizitatorii de Windows care ajung pe aceste site-uri din motoare de căutare văd o pagină falsă de verificare Cloudflare cu mesajul „Nu sunt robot” (tehnica ClickFix). Sub pretextul acestei verificări, utilizatorului i se cere să copieze și să execute o comandă folosind combinația Win+R, Command Prompt sau PowerShell. Dacă o face, pe calculator se descarcă și se instalează automat programe malware — utilitarul LUNEXSTEALER și o extensie de browser deghizată în „Microsoft Office Word Editor”. Extensia fură date de autentificare, parole, istoricul de navigare și oferă atacatorilor control de la distanță asupra dispozitivului. Pentru a gestiona infrastructura și a-și ascunde urmele, atacatorii folosesc rețelele blockchain Polygon și Ethereum. CERT-UA reamintește că nicio verificare legitimă (CAPTCHA, Cloudflare etc.) nu cere vreodată utilizatorului să apese Win+R, să deschidă linia de comandă sau PowerShell ori să lipească și să execute comenzi, și recomandă închiderea imediată a oricărei pagini care face astfel de cereri.
Context
CERT-UA este echipa națională de reacție la incidente cibernetice a Ucrainei, care funcționează în cadrul Serviciului de Stat pentru Comunicații Speciale și Protecția Informației (Держспецзв'язку). Tehnica „ClickFix” păcălește utilizatorii să execute ei înșiși comenzi rău intenționate, imitând verificări de securitate legitime, cum ar fi CAPTCHA sau verificările Cloudflare. Nicio verificare legitimă de tip CAPTCHA sau Cloudflare nu cere vreodată utilizatorului să apese Win+R, să deschidă linia de comandă sau PowerShell sau să lipească și să ruleze comenzi.