CERT-UA hoiatab ulatusliku küberrünnaku eest: üle 100 veebisaidi ohustatud
Ukraina CERT-UA teatas ulatuslikust pahavara levitamise kampaaniast, mille on omistanud rühmitusele UAC-0277. Septembris 2026 ohustati üle 100 seaduslikku veebilehte, kus kuvatakse külastajatele võltsitud Cloudflare'i "ma ei ole robot" kontrolli, et meelitada Windowsi kasutajaid kopeerima ja käivitama kahjulikke käske. Käsu täitmisel laaditakse seadmesse LUNEXSTEALER-nimeline info varastaja ja peidetud brauserilaiend.
Põhipunktid
- CERT-UA avastas septembris 2026 üle 100 ohustatud veebilehte, millele oli lisatud kahjulik JavaScripti kood.
- Rünnak toimub ClickFix-tehnikaga: ohustatud lehtedel kuvatakse võltsitud Cloudflare'i kontrolli.
- Võltslehed kuvatakse ainult Windowsi kasutajatele, kes tulevad otsingumootoritest (Google, DuckDuckGo, meta.ua, bigmir.net).
- Kasutajat palutakse kopeerida ja käivitada käsk Win+R, käsurea või PowerShelli kaudu, mille tulemusena laaditakse pahavara.
- Nakatumise järel paigaldatakse brauserisse "Microsoft Office Word Editor" nimeline varastav laiend.
- Rünnakute taristu haldamiseks kasutavad ründajad Polygonit ja Ethereumi plokiahelaid.
- CERT-UA soovitab blokeerida Win+R tavakasutajatel, piirata allkirjastamata MSI-pakettide paigaldust ja kasutada brauserilaiendite lubatud nimekirja.
Miks see on oluline
Kampaania on ohtlik, sammas kasutab rohkem kui 100 seaduslikku ja usaldusväärset veebilehte nakkuse levikuks, laiendades märkimisväärselt ohvrite ringi. Tehnika toetub sotsiaalsele manipuleerimisele - võltsitud CAPTCHA või Cloudflare'i leht sunnib kasutajat ise käske käivitama - mistõttu see on tõhus ka mittetehniliste kasutajate vastu. Eduka nakatumise korral paigaldatakse paroolide ja sirvimisajaloo varastamiseks ning seadme täielikuks kaugjuhtimiseks mõeldud pahavara. Ründajad kasutavad plokiahelapõhist taristut (Polygon ja Ethereum), et oma seadistusi kiiresti ja märkamatult vahetada, mis raskendab kaitset ja taristu mahavõtmist. Praegune oht on aktiivne Windowsi kasutajate vastu, kes tulevad suurematest otsingumootoritest, sealhulgas Ukraina-keelsetest (meta.ua, bigmir.net). CERT-UA on avaldanud konkreetse kaitsesoovituse ja kontaktkanali intsidentidest teatamiseks.
Mis juhtus
Ukraina riiklik küberintsidentide lahendamise meeskond CERT-UA, mis tegutseb Riikliku Erikommunikatsiooni ja Infokaitse Teenistuse (Держспецзв'язку) all, teatas uuest ulatuslikust pahavara levitamise kampaaniast, mille on omistanud rühmitusele UAC-0277. Septembris 2026 tuvastati üle 100 ohustatud veebiressurssi, millele ründajad olid lisanud kahjuliku JavaScripti koodi. Ründajad kasutavad ClickFix-tehnikat, paigutades seaduslikele, kuid ohustatud veebilehtedele võltsitud turvakontrolli leheküljed.
Kui külastaja - ainult Windowsi operatsioonisüsteemiga kasutaja, kes on tulnud otsingumootoritest nagu Google, DuckDuckGo, meta.ua või bigmir.net - satub ohustatud lehele, kuvatakse talle võltsitud Cloudflare'i kontrollileht. Standardse "ma ei ole robot" kontrolli ettekujustamisel palutakse tal kopeerida ja käivitada kindel süsteemikäsk, kasutades Win+R klahvikombinatsiooni, käsurida või PowerShelli. Kui kasutaja käsu täidab, laaditakse tema seadmesse automaatselt pahavara.
Nakkuse järel paigaldatakse LUNEXSTEALER-nimeline info varastamise tööriist, mis on maskeeritud legitiimsete failide alla ja kasutab ära Windowsi süsteemidraiverite haavatavusi. Lisaks paigaldatakse brauserisse vaikselt kahjulik laiend nime all "Microsoft Office Word Editor", mis varastab sisselogimisandmeid, paroole ja sirvimisajalugu ning võimaldab ründajatel ohvri seadet kaugjuhtida. Ründajad haldavad oma taristut Polygonit ja Ethereumi plokiahelaid kasutades, muutes seadistusi kiiresti ja märkamatult.
CERT-UA rõhutab, et ükski seaduslik kontroll ei nõua kunagi Win+R vajutamist, käsurea või PowerShelli avamist ega tundmatute käskude kopeerimist ja käivitamist. Kasutajatel soovitatakse sellised lehed kohe sulgeda. Süsteemiadministraatoritele soovitatakse blokeerida Win+R tavakasutajate kontodel, piirata allkirjastamata MSI-pakettide paigaldust ilma admini õigusteta ja kasutada brauserilaiendite lubatud nimekirja. Ohustatud lehtede omanikel ja kasutajatel palutakse pöörduda CERT-UA poole aadressil [email protected].
Taust
CERT-UA on Ukraina riiklik küberintsidentide lahendamise meeskond, mis tegutseb Riikliku Erikommunikatsiooni ja Infokaitse Teenistuse (Держспецзв'язку) all. ClickFix-tehnika on sotsiaalse manipuleerimise meetod, mis meelitab kasutajaid ise kahjulikke käske käivitama, jäljendades seaduslikke turvakontrolle nagu CAPTCHA või Cloudflare. Seaduslikud CAPTCHA-d ja Cloudflare'i kontrollid ei nõua kunagi kasutajalt Win+R vajutamist, käsurea ega PowerShelli avamist ega tundmatute käskude kleepimist ja käivitamist.