CERT-UA: εκστρατεία κακόβουλου λογισμικού μέσω πάνω από 100 παραβιασμένων ιστοτόπων
Η CERT-UA προειδοποιεί για μια μεγάλης κλίμακας εκστρατεία διανομής κακόβουλου λογισμικού που αποδίδεται στην ομάδα UAC-0277. Τον Σεπτέμβριο του 2026 εντοπίστηκαν περισσότεροι από 100 παραβιασμένοι νόμιμοι ιστότοποι με κακόβουλο κώδικα JavaScript. Οι επιτιθέμενοι χρησιμοποιούν την τεχνική ClickFix, εμφανίζοντας ψεύτικες σελίδες επαλήθευσης Cloudflare σε χρήστες Windows που φτάνουν από μηχανές αναζήτησης, και τους ξεγελούν ώστε να εκτελέσουν οι ίδιοι εντολές μέσω Win+R, γραμμής εντολών ή PowerShell.
Βασικά σημεία
- Η CERT-UA (υπό τη Держспецзв'язку) εντόπισε εκστρατεία κακόβουλου λογισμικού μεγάλης κλίμακας
- Τον Σεπτέμβριο 2026 καταγράφηκαν πάνω από 100 παραβιασμένοι ιστότοποι με κακόβουλο JavaScript
- Η εκστρατεία αποδίδεται στην ομάδα UAC-0277
- Οι επιτιθέμενοι χρησιμοποιούν την τεχνική ClickFix με ψεύτικες σελίδες «I am not a robot»
- Μετά τη μόλυνση εγκαθίσταται ο LUNEXSTEALER και επέκταση browser που μοιάζει με «Microsoft Office Word Editor»
- Οι χάκερ διαχειρίζονται την υποδομή τους μέσω των δικτύων blockchain Polygon και Ethereum
Γιατί έχει σημασία
Η εκστρατεία εκμεταλλεύεται περισσότερους από 100 νόμιμους και αξιόπιστους ιστοτόπους ως μέσα μόλυνσης, διευρύνοντας δραματικά το δυνητικό θύμα. Η τεχνική βασίζεται στην κοινωνική μηχανική — μια ψεύτικη σελίδα CAPTCHA/Cloudflare που ζητά από τους χρήστες να εκτελέσουν μόνοι τους εντολές — καθιστώντας την αποτελεσματική ακόμα και για μη τεχνικούς χρήστες. Η επιτυχής μόλυνση εγκαθιστά λογισμικό κλοπής διαπιστευτηρίων και απομακρυσμένης πρόσβασης, θέτοντας σε κίνδυνο κωδικούς πρόσβασης, ιστορικό περιήγησης και πλήρη έλεγχο της συσκευής. Οι επιτιθέμενοι χρησιμοποιούν υποδομή βασισμένη σε blockchain (Polygon και Ethereum) για γρήγορη εναλλαγή ρυθμίσεων, δυσχεραίνοντας την άμυνα. Η απειλή είναι ενεργή κατά χρηστών Windows που φτάνουν από μεγάλες μηχανές αναζήτησης, συμπεριλαμβανομένων ουκρανικών (meta.ua, bigmir.net).
Τι συνέβη
Η CERT-UA, η εθνική ομάδα αντιμετώπισης έκτακτων περιστατικών πληροφορικής της Ουκρανίας που λειτουργεί υπό τη Держспецзв'язку (Κρατική Υπηρεσία Ειδικών Επικοινωνιών και Προστασίας Πληροφοριών), ανακοίνωσε τον εντοπισμό μιας εκστρατείας κακόβουλου λογισμικού μεγάλης κλίμακας που αποδίδεται στην ομάδα UAC-0277. Κατά τη διάρκεια του Σεπτεμβρίου 2026, οι ειδικοί εντόπισαν περισσότερους από 100 παραβιασμένους νόμιμους ιστοτόπους στους οποίους είχε προστεθεί κακόβουλος κώδικας JavaScript. Η επίθεση χρησιμοποιεί την τεχνική ClickFix: στους επισκέπτες των Windows που φτάνουν από μηχανές αναζήτησης (Google, DuckDuckGo, meta.ua, bigmir.net κ.ά.) εμφανίζεται μια ψεύτικη σελίδα επαλήθευσης Cloudflare «I am not a robot», η οποία τους ζητά να αντιγράψουν και να εκτελέσουν μια εντολή μέσω του συνδυασμού Win+R, της γραμμής εντολών ή του PowerShell. Εάν ο χρήστης εκτελέσει την εντολή, το κακόβουλο λογισμικό λαμβάνεται και εγκαθίσταται αυτόματα. Η ψεύτικη σελίδα εμφανίζεται το πολύ δύο φορές ανά 12 ώρες στον ίδιο επισκέπτη. Μετά τη μόλυνση εγκαθίστανται ο LUNEXSTEALER και μια κακόβουλη επέκταση browser μεταμφιεσμένη ως «Microsoft Office Word Editor», που κλέβει κωδικούς, ιστορικό περιήγησης και επιτρέπει τον απομακρυσμένο έλεγχο του υπολογιστή. Για τη διαχείριση της υποδομής τους και την απόκρυψη ιχνών, οι επιτιθέμενοι χρησιμοποιούν τα δίκτυα blockchain Polygon και Ethereum. Η CERT-UA υπενθυμίζει ότι κανένας νόμιμος έλεγχος CAPTCHA ή Cloudflare δεν ζητά ποτέ από τους χρήστες να πατήσουν Win+R, να ανοίξουν γραμμή εντολών ή PowerShell ή να επικολλήσουν και να εκτελέσουν εντολές, και συνιστά το άμεσο κλείσιμο οποιασδήποτε σελίδας κάνει τέτοιες απαιτήσεις. Στους διαχειριστές συστημάτων προτείνεται ο αποκλεισμός του Win+R για απλούς λογαριασμούς χρηστών, ο περιορισμός εγκατάστασης μη υπογεγραμμένων πακέτων MSI χωρίς δικαιώματα διαχειριστή και η χρήση λιστών επιτρεπόμενων επεκτάσεων browser. Για αναφορές παραβιασμένων ιστοτόπων ή ψεύτικων σελίδων επαλήθευσης, η CERT-UA παρέχει τη διεύθυνση [email protected].
Ιστορικό
Η CERT-UA είναι η εθνική ομάδα αντιμετώπισης έκτακτων περιστατικών πληροφορικής της Ουκρανίας, που λειτουργεί υπό την Держспецзв'язку (Κρατική Υπηρεσία Ειδικών Επικοινωνιών και Προστασίας Πληροφοριών). Η τεχνική «ClickFix» ξεγελά τους χρήστες ώστε να εκτελέσουν οι ίδιοι κακόβουλες εντολές, μιμούμενη νόμιμους ελέγχους ασφαλείας όπως CAPTCHA ή επαληθεύσεις Cloudflare. Οι νόμιμοι έλεγχοι CAPTCHA και Cloudflare δεν ζητούν ποτέ από τους χρήστες να πατήσουν Win+R, να ανοίξουν γραμμή εντολών ή PowerShell, ούτε να επικολλήσουν και να εκτελέσουν εντολές.