Фахівці CERT-UA виявили масштабну хакерську операцію: зламані сайти показують відвідувачам фальшиву перевірку «Я не робот», яка по суті обманом спонукає людину самостійно інсталювати шкідливу програму. За даними звіту, у вересні 2026 року дослідники нарахували понад 100 скомпрометованих ресурсів, а всю активність звели під ідентифікатор UAC-0277.

Механіка атаки

Злочинці вставляють у легітимні сайти шкідливий JavaScript-код, який працює не для всіх підряд. Фейкову перевірку у стилі Cloudflare побачать тільки ті користувачі Windows, які прийшли на сайт з результатів пошуку. Серед джерел переходу, що запускають пастку, у звіті згадуються Google, DuckDuckGo, meta.ua та bigmir.net.

Далі в гру вступає класична соціальна інженерія під назвою ClickFix. Відвідувачу пропонують «підтвердити, що він не робот», однак замість простого кліка по галочці його просять виконати певну команду. У результаті людина власноруч запускає msiexec із адресою, яку контролюють зловмисники, і шкідливий код потрапляє на пристрій. Оскільки всю дію виконує сам користувач, антивірусному захисту просто немає що блокувати.

Яке шкідливе ПЗ встановлюється

Фінальна мета атаки — розгортання трьох компонентів одразу.

  • LUNEXSTEALER — інструмент для крадіжки даних із можливостями віддаленого доступу.
  • LUNARAXE — зловмисне розширення для браузера, яке маскується під «Microsoft Office Word Editor»: воно викрадає куки, історію переглядів і дані форм, видаляє заголовки CSP та надає атакувальникам дистанційний контроль над браузером.
  • NAIVEMESS — нативний хост для обміну повідомленнями з браузером (com.lunex.explorer), який відкриває доступ до файлової системи.

Командні сервери зловмисників працюють через протоколи HTTP та WebSocket, причому частина з них прив'язана напряму до IP-адрес. Це означає, що блокування на рівні DNS не допоможе — їх потрібно закривати на міжмережевому екрані.

Три способи заразити систему через MSI

CERT-UA описує три окремі сценарії заволодіння системою.

  1. Безпосередня установка LUNEXSTEALER.
  2. Завантажувач, що обходить контроль облікових записів (UAC), створює винятки для Microsoft Defender і застосовує вразливий драйвер AMD PDFWKRNL.sys (CVE-2023-20598) за технікою BYOVD.
  3. Підміна бібліотеки через DLL side-loading: легітимний файл FnHotkeyUtility.exe завантажує шкідливу бібліотеку spkvol.dll.

Блокчейн замість фіксованих адрес

Окрема особливість кампанії — адреса фейкової сторінки та режим роботи скрипта зберігаються у смарт-контракті мережі Polygon або Ethereum. Режим може набувати трьох значень: 0 означає неактивний стан, 1 — пасивне стеження, а 2 — активний показ ClickFix. Така конструкція дозволяє атакувальникам централізовано змінювати домени без потреби повертатися на вже зламані сайти, тож нові домени продовжать з'являтися. Дослідники радять для виявлення кампанії шукати шлях /tds/tds.php.

Рекомендації CERT-UA

  • Вимкнути комбінацію Win+R для звичайних користувачів через групову політику — це заблокує типовий вектор ClickFix.
  • Обмежити встановлення MSI-файлів без прав адміністратора та стежити за запуском msiexec.exe з URL-адресою в аргументах — так можна виявити завантаження шкідливих інсталяторів.
  • Увімкнути Microsoft Vulnerable Driver Blocklist, щоб перекрити BYOVD-атаки.
  • Дозволити встановлення лише перевірених розширень браузера, аби зупинити поширення LUNARAXE.

Для звичайних користувачів порада лаконічна: жодна справжня перевірка на людяність ніколи не вимагає копіювати, вставляти чи запускати команди. Якщо сторінка наполягає на цьому — її слід негайно закрити.

Контекст

Техніка ClickFix уже фігурувала у весняно-літніх звітах CERT-UA, пов'язаних з атаками інших угруповань, зокрема на зламаних сайтах із фейковою CAPTCHA. Нинішня кампанія UAC-0277 відрізняється від попередніх своїм масштабом — понад 100 уражених сайтів — і застосуванням блокчейну для керування доменами.

Джерело: Highload.tech