Ukrainsk cybersikkerhedsmyndighed advarer om storstilet malware-kampagne via kompromitterede hjemmesider
Ukraines CERT-UA har opdaget en omfattende kampagne, hvor hackere har inficeret mere end 100 legitime hjemmesider med ondsindet JavaScript-kode. Angrebet, der tilskrives hackergruppen UAC-0277, bruger falske Cloudflare-verifikationssider til at narre Windows-brugere til selv at udføre skadelige kommandoer. Kampagnen er rettet mod brugere, der kommer fra søgemaskiner som Google, DuckDuckGo, meta.ua og bigmir.net.
Hovedpunkter
- CERT-UA registrerede i september 2026 mere end 100 kompromitterede webressourcer med indsat ondsindet JavaScript-kode.
- Kampagnen tilskrives hackergruppen UAC-0277 og bruger ClickFix-teknikken med falske Cloudflare- og CAPTCHA-sider.
- Brugere, der ankommer fra søgemaskiner (Google, DuckDuckGo, meta.ua, bigmir.net) via Windows, præsenteres for en falsk 'Jeg er ikke en robot'-kontrol, der beder dem kopiere og afvikle en kommando via Win+R, Kommandoprompt eller PowerShell.
- Ved udførelse installeres LUNEXSTEALER samt et ondsindet browserudvidelse forklædt som 'Microsoft Office Word Editor', der stjæler logins, adgangskoder og browserhistorik og giver fjernadgang til computeren.
- Hackere bruger Polygon- og Ethereum-blockchain-netværk til at administrere infrastrukturen og hurtigt ændre opsætningen.
- CERT-UA understreger, at ingen legitim CAPTCHA- eller Cloudflare-kontrol nogensinde kræver Win+R, kommandolinje eller PowerShell.
- Administratorer anbefales at blokere Win+R for almindelige brugere, begrænse usignerede MSI-installationer og bruge allowlister for browserudvidelser; berørte kan kontakte [email protected].
Hvorfor det er vigtigt
Kampagnen udnytter mere end 100 legitime og tillidsværdige hjemmesider som smittevektor og øger dermed potentielt antallet af ofre markant. Teknikken bygger på social engineering, hvor brugeren narres til selv at udføre skadelige kommandoer, hvilket gør den effektiv selv over for ikketekniske brugere. Et vellykket angreb fører til installation af malware, der kan stjæle adgangskoder, browserdata og give fjernadgang til enheden. Brugen af blockchain-baseret infrastruktur (Polygon og Ethereum) gør det desuden sværere at spore og lukke angrebsinfrastrukturen.
Hvad der skete
Ukraines nationale computerberedskab CERT-UA, der opererer under Den Statslige Tjeneste for Særlig Kommunikation og Informationsbeskyttelse (Держспецзв'язку), har identificeret en storstilet kampagne med distribution af malware. I løbet af september 2026 opdagede CERT-UA mere end 100 kompromitterede webressourcer, hvori angribere havde indsat ondsindet JavaScript-kode. Kampagnen tilskrives hackergruppen UAC-0277. Angrebet retter sig mod Windows-brugere, der ankommer til de kompromitterede sider fra søgemaskiner som Google, DuckDuckGo, meta.ua og bigmir.net, og de vises en falsk Cloudflare-side med en 'Jeg er ikke en robot'-kontrol. Brugeren bedes kopiere en kommando og afvikle den via Win+R-genvejen, Kommandoprompt eller PowerShell. Den falske side vises højst to gange per 12. time for samme besøgende. Hvis kommandoen udføres, downloades og installeres LUNEXSTEALER på computeren, og der installeres desuden et ondsindet browserudvidelse forklædt som 'Microsoft Office Word Editor'. Udvidelsen stjæler logins, adgangskoder og browserhistorik og giver angriberne fjernadgang til enheden. Angriberne bruger Polygon- og Ethereum-blockchain-netværk til at administrere deres infrastruktur og hurtigt ændre indstillinger. CERT-UA understreger, at ingen legitim CAPTCHA- eller Cloudflare-verifikation nogensinde kræver, at brugeren trykker Win+R, åbner kommandolinjen eller PowerShell eller indsætter og kører kommandoer. Brugere rådes til straks at lukke en sådan side, og systemadministratorer anbefales at blokere Win+R for almindelige brugere, begrænse installationen af usignerede MSI-pakker og bruge allowlister for browserudvidelser. Både ejere af kompromitterede sider og brugere, der møder angrebet, opfordres til at kontakte CERT-UA på [email protected].
Baggrund
CERT-UA er Ukraines nationale computerberedskab og opererer under Den Statslige Tjeneste for Særlig Kommunikation og Informationsbeskyttelse (Держспецзв'язку). ClickFix-teknikken narrer brugere til selv at udføre ondsindede kommandoer ved at efterligne legitime sikkerhedstjek som CAPTCHA eller Cloudflare-verifikation. Legitime CAPTCHA- og Cloudflare-tjek kræver aldrig, at brugeren trykker Win+R, åbner kommandolinjen eller PowerShell eller indsætter og afvikler kommandoer.