h.ua

Publicerad

CERT-UA varnar för stor malwarekampanj via hackade sajter

Ukrainas CERT-UA varnar för en omfattande malwarekampanj som drivs av klustret UAC-0277. Över 100 legitima webbplatser har fått skadlig JavaScript-kod, och besökare som kommer från sökmotorer visas en falsk Cloudflare-sida som lurar dem att köra kommandon via Win+R, Kommandotolken eller PowerShell. Följden är installation av LUNEXSTEALER och ett webbläsartillägg som stjäl lösenord och möjliggör fjärrstyrning.

Huvudpunkter

  • CERT-UA identifierade i september 2026 över 100 komprometterade webbplatser med skadlig JavaScript-kod.
  • Kampanjen tillskrivs hackar­klustret UAC-0277.
  • Angripare använder ClickFix-tekniken med en falsk Cloudflare-sida för "I am not a robot".
  • Besökare ombeds kopiera och köra ett kommando via Win+R, Kommandotolken eller PowerShell.
  • Infektion installerar LUNEXSTEALER och ett tillägg kallat "Microsoft Office Word Editor" som stjäl lösenord och möjliggör fjärrstyrning.
  • Angreppet riktas mot Windowsanvändare som kommer från sökmotorer som Google, DuckDuckGo, meta.ua och bigmir.net.
  • CERT-UA uppmanar drabbade att kontakta [email protected].

Därför är det viktigt

Kampanjen använder över 100 välkända, legitima webbplatser som smittspridare, vilket kraftigt vidgar risken för att även otekniska användare drabbas. Den bygger på social ingenjörskonst – en falsk CAPTCHA- eller Cloudflare-sida – och lurar användaren att själv köra skadliga kommandon, vilket gör den svår att upptäcka. Vid lyckad infektion riskerar offret att lösenord, webbhistorik och full kontroll över enheten hamnar i angriparnas händer. Angriparna använder dessutom blockkedjenätverken Polygon och Ethereum för att snabbt kunna ändra sin infrastruktur, vilket försvårar bekämpning. CERT-UA har publicerat konkreta skyddsåtgärder och en kontaktväg för incidentrapportering.

Vad som hände

CERT-UA, Ukrainas nationella CERT-team under Держспецзв'язку (State Service of Special Communications and Information Protection), har upptäckt en ny storskalig kampanj för spridning av skadlig kod. Kampanjen tillskrivs klustret UAC-0277. Under september 2026 identifierades över 100 legitima webbplatser som hade försetts med skadlig JavaScript-kod.

Tekniken som används kallas ClickFix. När en Windowsanvändare kommer till en av de hackade sajterna från en sökmotor som Google, DuckDuckGo, meta.ua eller bigmir.net visas en falsk Cloudflare-sida för verifiering. Sidan påstår sig vara en vanlig "I am not a robot"-kontroll och uppmanar besökaren att kopiera och köra ett visst kommando – via kortkommandot Win+R, Kommandotolken eller PowerShell. Den falska sidan visas högst två gånger per tolv timmar för samma besökare.

Om kommandot körs laddas skadlig kod automatiskt ned och installeras på datorn. Angriparna använder LUNEXSTEALER, ett stöldverktyg som kamoufleras som legitima filer och utnyttjar sårbarheter i Windows-drivrutiner. Därefter installeras ett webbläsartillägg som kamoufleras som "Microsoft Office Word Editor". Tillägget stjäl inloggningsuppgifter, lösenord och webbhistorik och ger angriparna möjlighet att fjärrstyra datorn.

CERT-UA betonar att ingen legitim verifiering – vare sig CAPTCHA eller Cloudflare – någonsin ber användaren att trycka Win+R, öppna Kommandotolken eller PowerShell eller klistra in och köra kommandon. Sådana sidor bör omedelbart stängas. Drabbade sajtägare och användare uppmanas kontakta CERT-UA på [email protected]. Systemadministratörer rekommenderas blockera Win+R-dialogen för vanliga användarkonton, begränsa installation av osignerade MSI-paket och använda allowlists för webbläsartillägg.

Bakgrund

CERT-UA är Ukrainas nationella computer emergency response team och verkar under Держспецзв'язку, den statliga myndigheten för särskild kommunikation och informationsskydd. ClickFix-tekniken går ut på att lura användaren att själv köra skadliga kommandon genom att imitera legitima säkerhetskontroller som CAPTCHA eller Cloudflare-verifiering. Sådana legitima kontroller kräver aldrig att användaren trycker på Win+R, öppnar Kommandotolken eller PowerShell eller klistrar in och kör kommandon.