Ukrainas kiberdrošības iestāde brīdina par plašu kiberuzbrukumu vilni
Ukrainas CERT-UA brīdina par plašu ļaunprātīgas programmatūras izplatīšanas kampaņu, ko piedēvē hakeru grupējumam UAC-0277. Septembrī 2026. gadā tika kompromitēti vairāk nekā 100 leģitīmu vietņu, uz kurām tika pievienots ļaunprātīgs JavaScript kods. Uzbrucēji izmanto ClickFix tehniku — viltus Cloudflare verifikācijas lapu, kas liek Windows lietotājiem pašiem izpildīt komandu, tādējādi instalējot LUNEXSTEALER zagļprogrammatūru un ļaunprātīgu pārlūka paplašinājumu.
Galvenais
- CERT-UA, kas darbojas Valsts speciālo sakaru un informācijas aizsardzības dienesta (Держспецзв'язку) pakļautībā, atklāja jaunu plaša mēroga ļaunprātīgas programmatūras izplatīšanas kampaņu.
- Septembrī 2026. gadā fiksēti vairāk nekā 100 kompromitētu tīmekļa resursu, kuriem uzbrucēji pievienoja ļaunprātīgu JavaScript kodu.
- Kampaņa piedēvēta grupējumam UAC-0277.
- Uzbrucēji izmanto ClickFix tehniku, izvietojot viltus Cloudflare pārbaudes logus uz leģitīmiem, bet kompromitētiem mājaslapām.
- Viltus lapa parādās tikai Windows lietotājiem, kas ierodas vietnē no meklētājprogrammām (Google, DuckDuckGo, meta.ua, bigmir.net u.c.), ne biežāk kā divas reizes 12 stundu laikā.
- Ja lietotājs izpilda komandu, tiek lejupielādēta LUNEXSTEALER zagļprogrammatūra un pārlūkā slepeni instalēts ļaunprātīgs paplašinājums ar nosaukumu «Microsoft Office Word Editor», kas zog paroles un ļauj attālināti vadīt datoru.
- CERT-EA uzsver, ka neviena likumīga pārbaude (CAPTCHA, Cloudflare u.c.) nekad neprasa nospiest Win+R, atvērt komandrindu vai PowerShell vai ielīmēt un izpildīt komandas; par incidentiem jāziņo uz [email protected].
Kāpēc tas ir svarīgi
Kampaņa kā inficēšanas kanālus izmanto vairāk nekā 100 uzticamas, leģitīmas vietnes, kas būtiski paplašina iespējamo upuru loku. Uzbrukums balstās uz sociālo inženieriju — viltus CAPTCHA vai Cloudflare lapa liek pašam lietotājam izpildīt komandu, padarot to efektīvu pat pret nietotājiem bez tehniskām zināšanām. Veiksmīgas inficēšanas gadījumā upura paroles, pārlūkošanas vēsture un pilna ierīces kontrole nonāk uzbrucēju rokās. Uzbrucēji izmanto uz blokķēdi balstītu infrastruktūru (Polygon un Ethereum tīklus), lai ātri rotētu iestatījumus un apgrūtinātu aizsardzību. Draudi pašlaik ir vērsti pret Windows lietotājiem, kas ierodas vietnēs no lielākajām meklētājprogrammām, tostarp ukraiņu valodā (meta.ua, bigmir.net). CERT-UA ir publicējusi konkrētus aizsardzības ieteikumus sistēmu administratoriem (bloķēt Win+R parastajiem lietotājiem, ierobežot neparakstītu MSI pakotņu instalēšanu, izmantot pārlūka paplašinājumu atļaušanas sarakstus) un incidentu ziņošanas kanālu.
Kas notika
Ukrainas valsts datorapdraudējumu reaģēšanas vienība CERT-UA, kas darbojas Valsts speciālo sakaru un informācijas aizsardzības dienesta (Держспецзв'язку) pakļautībā, atklāja plaša mēroga ļaunprātīgas programmatūras izplatīšanas kampaņu, ko tā piedēvē hakeru grupējumam UAC-0277. Septembrī 2026. gadā tika identificēti vairāk nekā 100 kompromitētu tīmekļa resursu, kuriem uzbrucēji bija pievienojuši ļaunprātīgu JavaScript kodu. Uzbrucēji izmanto ClickFix tehniku: leģitīmā, bet kompromitētā vietnē tiek parādīta viltus Cloudflare verifikācijas lapa ar standarta «Es neesmu robots» uzvedni, kas liek apmeklētājam nokopēt un izpildīt komandu, izmantojot Win+R saīsni, komandrindu vai PowerShell. Ja komanda tiek izpildīta, ierīcē tiek automātiski lejupielādēta LUNEXSTEALER zagļprogrammatūra, kas maskēta kā leģitīmi faili un izmanto Windows sistēmas draiveru ievainojamības, kā arī slepeni tiek instalēts ļaunprātīgs pārlūka paplašinājums ar nosaukumu «Microsoft Office Word Editor». Šis paplašinājums zog pieteikumvārdus, paroles, pārlūkošanas vēsturi un ļauj uzbrucējiem attālināti vadīt upura ierīci. Viltus lapa tiek rādīta tikai Windows lietotājiem, kas ierodas vietnē no meklētājprogrammām (Google, DuckDuckGo, meta.ua, bigmir.net u.c.), un ne biežāk kā divas reizes 12 stundu laikā vienam apmeklētājam. CERT-UA uzsver, ka neviena likumīga pārbaude (CAPTCHA, Cloudflare u.c.) nekad neprasa nospiest Win+R, atvērt komandrindu vai PowerShell, vai ielīmēt un izpildīt komandas; šādas lapas ir nekavējoties jāaizver. Kompromitētu vietņu īpašnieki un lietotāji, kas saskārušies ar uzbrukumu, aicināti sazināties ar CERT-UA pa e-pastu [email protected].
Konteksts
CERT-UA ir Ukrainas valsts datorapdraudējumu reaģēšanas vienība, kas darbojas Valsts speciālo sakaru un informācijas aizsardzības dienesta (Держспецзв'язку) pakļautībā. ClickFix tehnika mānā lietotājus, liekot viņiem pašiem izpildīt ļaunprātīgas komandas, atdarinot leģitīmas drošības pārbaudes, piemēram, CAPTCHA vai Cloudflare verifikācijas. Likumīgas CAPTCHA un Cloudflare pārbaudes nekad neprasa nospiest Win+R, atvērt komandrindu vai PowerShell, vai ielīmēt un izpildīt komandas.