CERT-UA varuje před rozsáhlou kampaní šíření malwaru přes kompromitované weby
Ukrajinský tým pro reakci na počítačové hrozby CERT-UA, který působí v rámci Státní služby pro speciální komunikace a ochranu informací (Держспецзв'язок), varoval před rozsáhlou kampaní šíření škodlivého softwaru. Útočníci ze skupiny označované jako UAC-0277 v září 2026 kompromitovali více než 100 legitimních webů, na které vložili škodlivý JavaScript. Návštěvníkům operačního systému Windows, kteří přicházejí z vyhledávačů, se zobrazuje falešná stránka s ověřením Cloudflare, jež je pod záminkou kontroly „Nejsem robot“ vyzývá ke spuštění příkazu přes Win+R, příkazový řádek nebo PowerShell.
Hlavní body
- V září 2026 CERT-UA zaznamenala více než 100 kompromitovaných webů se škodlivým JavaScriptem.
- Kampaň je připisována hackerskému clusteru UAC-0277.
- Útočníci pomocí techniky ClickFix zobrazují falešnou stránku s ověřením Cloudflare.
- Falešná stránka se ukazuje jen uživatelům Windows, kteří přicházejí z vyhledávačů (Google, DuckDuckGo, meta.ua, bigmir.net aj.), a to nejvýše dvakrát za 12 hodin.
- Po spuštění příkazu se nainstaluje malware LUNEXSTEALER a škodlivé rozšíření prohlížeče maskované jako „Microsoft Office Word Editor“, které krade přihlašovací údaje, hesla a historii prohlížení a umožňuje vzdálenou kontrolu počítače.
- Infrastruktura útoku je řízena přes blockchainové sítě Polygon a Ethereum.
- CERT-UA doporučuje blokovat Win+R pro běžné účty, omezit instalaci nepodepsaných MSI balíčků a používat seznamy povolených rozšíření prohlížeče; hlášení přijímá na [email protected].
Proč je to důležité
Kampaň mění více než 100 důvěryhodných legitimních webů na infekční vektory, čímž dramaticky rozšiřuje okruh potenciálních obětí – i méně technicky zdatných uživatelů, kteří narazí na známou stránku přes běžný vyhledávač. Úspěšná infekce ohrožuje hesla, historii prohlížení i úplnou kontrolu nad zařízením a využívá infrastrukturu postavenou na blockchainech Polygon a Ethereum, která útočníkům umožňuje rychle měnit nastavení a ztěžuje odhalení i odstranění.
Co se stalo
CERT-UA odhalila rozsáhlou kampaň šíření malwaru, kterou vede hackerský cluster UAC-0277. V září 2026 bylo identifikováno více než 100 legitimních webů, na něž útočníci přidali škodlivý JavaScript. Návštěvníkům na Windowsu, kteří na tyto stránky přicházejí z vyhledávačů jako Google, DuckDuckGo, meta.ua nebo bigmir.net, se zobrazuje falešná stránka s ověřením Cloudflare. Pod záminkou kontroly „Nejsem robot“ jsou vyzváni, aby zkopírovali a spustili příkaz přes klávesovou zkratku Win+R, přes příkazový řádek nebo PowerShell. Po spuštění příkazu se do počítače stáhne škodlivý software – konkrétně stealer LUNEXSTEALER maskovaný jako legitimní soubory, zneužívající zranitelnosti ovladačů Windows – a současně se v prohlížeči tiše nainstaluje rozšíření vydávající se za „Microsoft Office Word Editor“. Toto rozšíření umožňuje útočníkům krást přihlašovací údaje, hesla a historii prohlížení a vzdáleně ovládat napadený počítač. CERT-UA zdůrazňuje, že žádné legitimní ověření (CAPTCHA ani Cloudflare) nikdy nevyžaduje stisknutí Win+R, otevření příkazového řádku nebo PowerShellu ani vkládání a spouštění příkazů. Správcům systémů doporučuje blokovat dialog Win+R pro běžné účty, omezit instalaci nepodepsaných MSI balíčků bez administrátorských práv a používat seznamy povolených rozšíření prohlížeče. Komromitované weby i případy setkání s falešným ověřením lze hlásit na [email protected].
Souvislosti
CERT-UA je ukrajinský národní tým pro reakci na počítačové hrozby, působící v rámci Státní služby pro speciální komunikace a ochranu informací (Держспецзв'язок). Technika „ClickFix“ manipuluje uživatele, aby si sami spustili škodlivý příkaz tím, že napodobuje legitimní bezpečnostní kontroly, jako jsou CAPTCHA nebo ověření Cloudflare. Žádná legitimní kontrola tohoto typu přitom nikdy nevyžaduje stisknutí Win+R, otevření příkazového řádku či PowerShellu ani vkládání a spouštění příkazů.