CERT-UA įspėja dėl plataus masto kibernetinės atakos: per rugsėjį užkrėsta daugiau nei 100 svetainių
Ukrainos kompiuterinių incidentų reagavimo centras CERT-UA pranešė apie didelio masto kenkėjiškų programų platinimo kampaniją, kurią vykdo programišių grupuotė UAC-0277. Per 2026-ųjų rugsėjį buvo užkrėsta daugiau nei 100 teisėtų svetainių, o lankytojams rodomas netikras „Cloudflare“ patikros langas, verčiantis per „Win+R“, komandinę eilutę ar „PowerShell“ paleisti kenkėjišką komandą.
Pagrindiniai faktai
- CERT-UA rugsėjo mėnesį užfiksavo daugiau nei 100 užkrėstų svetainių, į kurias buvo įterptas kenkėjiškas „JavaScript“ kodas.
- Kampanija priskiriama programišių grupuotei UAC-0277.
- Naudojama „ClickFix“ technika: lankytojams rodomas netikras „Cloudflare“ patikros puslapis, kuriame prašoma paleisti komandą per „Win+R“, komandinę eilutę ar „PowerShell“.
- Netikras patikros puslapis rodomas tik „Windows“ naudotojams, atėjusiems iš paieškos sistemų („Google“, „DuckDuckGo“, meta.ua, bigmir.net ir pan.), ne dažniau kaip du kartus per 12 valandų.
- Įvykdžius komandą, įdiegiama kenkėjiška programa LUNEXSTEALER bei naršyklės plėtinys, apsimetantis „Microsoft Office Word Editor“, leidžiantis vogti prisijungimo duomenis ir perimti kompiuterio valdymą.
- Užpuolės infrastruktūrai valdyti naudoja „Polygon“ ir „Ethereum“ blokų grandines, kad greitai keistų parametrus ir slėptų pėdsakus.
- CERT-UA kontaktinis el. paštas pranešimams: [email protected].
Kodėl tai svarbu
Kampanija pasitelkia daugiau nei 100 teisėtų, pasitikinčių svetainių kaip infekcijos tausmenką, todėl potencialių aukų ratas labai išplėstas. Technika remiasi socialine inžinerija – netikru „CAPTCHA“ / „Cloudflare“ puslapyje pražant patiems naudotojams paleisti komandas – ir veikia net prieš netechninius vartotojus. Sėkmingas užkrėtimas įdiegia duomenų vagystės bei nuotų valdymo kenkėją, todėl kyla pavojus slaptažodžiams, naršymo istorijai ir visam įrenginiui. Užpuolės blokų grandine paremtą infrastruktūrą („Polygon“, „Ethereum“) naudoja sparčiai parametrų kaitai, todėl gynyba ir infrastruktūros blokavimas tampa sudėtingesni. Šiuo metu grėsmė aktyvi prieš „Windows“ naudotojus, atvykstančius iš didžiųjų paieškos sistemų, įskaitant ukrainietiškas (meta.ua, bigmir.net). CERT-UA paskelbė konkrečias gynybos rekomendacijas sistemų administratoriams (blokuoti „Win+R“ paprastiems naudotojams, riboti nepasirašytų MSI diegimą, taikyti naršyklės plėtinių leidžiamųjų sąrašus) bei incidentų pranešimo kanalą.
Kas nutiko
Ukrainos nacionalinis kompiuterinių incidentų reagavimo centras CERT-UA, veikiantis prie Valstybės specialiųjų ryšių ir informacijos apsaugos tarnybos (Держспецзв'язку), aptiko didelio masto kenkėjiškų programų platinimo kampaniją, kurią vykdo programišių grupuotė UAC-0277. Per 2026-ųjų rugsėjį buvo užkrėsta daugiau nei 100 teisėtų svetainių – į jas įterptas kenkėjiškas „JavaScript“ kodas. Užkrėstuose puslapiuose naudojama „ClickFix“ technika: „Windows“ naudotojams, atvykusiems iš paieškos sistemų (Google, DuckDuckGo, meta.ua, bigmir.net ir pan.), rodomas netikras „Cloudflare“ patikros puslapis. Puslapis rodomas ne dažniau kaip du kartus per 12 valandų. Puslapis, apsimetęs įprastu „Aš nesu robotas“ patikrinimu, prašo nukopijuoti ir per „Win+R“ kombinaciją, komandinę eilutę ar „PowerShell“ paleisti komandą. Jei naudotojas komandą įvykdo, į jo kompiuterį atsisiunčiama ir įdiegiama kenkėjiška programa. CERT-UA pabrėžia, kad joks teisėtas patikrinimas (CAPTCHA, „Cloudflare“ ir pan.) niekada nereikalauja spausti „Win+R“, atidaryti komandinę eilutę ar „PowerShell“ ar įklijuoti ir vykdyti komandų – tokius reikalavimus pateikiantį puslapį reikalaujama nedelsdami uždaryti. Užpuolės infrastruktūrai valdyti naudoja „Polygon“ ir „Ethereum“ blokų grandines, kad greitai keistų parametrus ir slėptų pėdsakus. Norėdami apginti sistemas, užpuolės maskuoja virusą LUNEXSTEALER kaip teisėtus failus ir išnaudoja „Windows“ tvarkūrų spragas. Užkrėtus kompiuterį, tyliai įdiegiamas naršyklės plėtinys, apsimetantis „Microsoft Office Word Editor“, leidžiantis vogti prisijungimo duomenis, slaptažodžius, naršymo istoriją ir nuotodžiai valdyti aukos kompiuterį. CERT-UA kviečia svetainių savininkus ir su ataka susidūrusius naudotojus kreiptis adresu [email protected]. Sistemos administratoriams rekomenduojama blokuoti „Win+R“ dialogą paprastiems naudotojams, riboti nepasirašytų MSI paketų diegimą be administratoriaus teisių ir naudoti naršyklės plėtinių leidžiamųjų sąrašus.
Kontekstas
CERT-UA yra Ukrainos nacionalinis kompiuterinių incidentų reagavimo centras, veikiantis prie Valstybės specialiųjų ryšių ir informacijos apsaugos tarnybos (Держспецзв'язку). „ClickFix“ technika apgaudinėja naudotojus, priverčiant juos pačelkiui vykdyti kenkėjiškas komandas, imituojant teisėtas saugumo patikras, pavyzdžiui, CAPTCHA ar „Cloudflare“. Teisėti CAPTCHA ir „Cloudflare“ patikrinimai niekada neprašo naudotojų spausti „Win+R“, atidaryti komandinę eilutę ar „PowerShell“ ar įklijuoti ir vykdami komandų.