CERT-UA varar við stórfelldri spilliforritaherferð – yfir 100 vefssíðum komið fyrir gildru
Úkraínska netöryggisstofnunin CERT-UA hefur varað við umfangsmikilli dreifingu spilliforrits sem rekja má til hópsins UAC-0277. Á síðasta mánuði bættu árásaraðilar skaðlegum JavaScript-kóða við yfir 100 lögmætar vefssíður og nota svo svokallaða ClickFix-aðferð til að blekkja Windows-notendur frá leitarvélum til að keyra skipanir sem setja upp LUNEXSTEALER-stælingartól og skaðlegt vafraviðbót.
Helstu atriði
- CERT-UA, netöryggisstofnun Úkraínu undir Держспецзв'язку, greindi stórfellda dreifingu spilliforrits í september 2026.
- Yfir 100 lögmætum vefssíðum var bætt við skaðlegum JavaScript-kóða sem sýnir falsa Cloudflare-athuganir.
- Árásaraðilar tengdir hópnum UAC-0277 nota ClickFix-tækni og beina fyrst til Windows-notenda sem koma frá leitarvélum (Google, DuckDuckGo, meta.ua, bigmir.net).
- Notendur eru beðnir um að afrita og keyra skipun í gegnum Win+R, skipanaglugga eða PowerShell – ef hún er keyrð sett LUNEXSTEALER-stælar upp á tölvunni.
- Eftir smit sett upp vafraviðbót sem lýsir sér sem „Microsoft Office Word Editor“ og stelur innskráningum, lykilorðum og vafurferli.
- Árásarmenn nota Polygon- og Ethereum-blokkakeðjur til að stýra innviðum sínum og dylja rekjur.
- CERT-UA ráðleggur kerfisstjórum að loka á Win+R fyrir almenna notendur, takmarka uppsetningu óundirritaðra MSI-pakka og nota leyfislista fyrir vafraviðbætur.
Hvers vegna þetta skiptir máli
Herferðin nýtir yfir 100 traustar vefssíður sem smitrás, sem þýðir að áhættan nær til mun stærra hóps notenda en ef eingöngu væri um grunsamlegar síður að ræða. Árásaraðilar treysta á félagslega verkfræði – falsa CAPTCHA- eða Cloudflare-athugun sem biður notandann sjálfan um að keyra skipun – sem gerir þá jafnvel hættulega þeim sem ekki eru tæknivæddir. Ef smit tekst nær LUNEXSTEALER og vafraviðbótin róttafestu og getur stolið lykilorðum, vafurferli og gefið árásaraðilum fulla fjartengda stjórn á tölvunni. Notkun á Polygon- og Ethereum-blokkakeðjum gerir innviðum árásaraðilanna kleift að snúast hratt og torveldar símtök og varnir.
Hvað gerðist
CERT-UA greindi nýja stórfellda dreifingu spilliforrits sem rekja má til hópsins UAC-0277. Árásaraðilar brutust inn á yfir 100 lögmætar vefssíður í september 2026 og bættu við þær skaðlegum JavaScript-kóða sem beinir Windows-notendum frá leitarvélum (Google, DuckDuckGo, meta.ua, bigmir.net) á falsa Cloudflare-athugunarsíðu. Undir því yfirskini að um staðlaða „Ég er ekki vélmenni“-staðfestingu sé að ræða er notandanum sagt að afrita og keyra skipun í gegnum Win+R, skipanaglugga eða PowerShell. Ef skipunin er keyrð sækir LUNEXSTEALER-stælingartölvan sjálfkrafa upp á tölvuna, notar leyndar sínar eigin skrár og nýtir veikleika í Windows-kerfisrekli til að komast framhjá vörnum. Að auki setur það upp vafraviðbót sem lýsir sér sem „Microsoft Office Word Editor“ en stelur innskráningum, lykilorðum og vafurferli og veitir árásaraðilum fjartengda stjórn á tölvunni. CERT-UA ítrekar að engin lögmæt staðfesting – hvorki CAPTCHA né Cloudflare – biðji notendur um að ýta á Win+R, opna skipanaglugga eða PowerShell eða líma inn og keyra skipanir, og ráðleggur að loka tafarlaust öllum síðum sem gera slíkar kröfur. Stofnunin varar kerfisstjóra við að loka á Win+R fyrir almenna notendur, takmarka uppsetningu óundirritaðra MSI-pakka án stjórnandaréttinda og nota leyfislista fyrir vafraviðbætur. eigendur vefssíðna og notendur sem rekast á falsa athugunarsíðu eru beðnir að hafa samband við CERT-UA á [email protected].
Baksvið
CERT-UA er þjóðarlegt neyðarsvarsteymi Úkraínu í netöryggismálum og starfar undir Держспецзв'язку (State Service of Special Communications and Information Protection). ClickFix-tækninin blekkir notendur til að keyra skaðlegar skipanir sjálfir með því að herma eftir lögmætum öryggisathugunum eins og CAPTCHA eða Cloudflare. Lögmætar CAPTCHA- og Cloudflare-athuganir biðja aldrei notendur um að ýta á Win+R, opna skipanaglugga eða PowerShell, eða líma inn og keyra skipanir.