Національна команда реагування на кіберінциденти CERT-UA виявила нову масштабну кібератаку з поширення вірусного програмного забезпечення.
CERT-UA попереджає про кібератаку через 100 зламаних сайтів
Як повідомили в команді реагування на кіберінциденти CERT-UA, зловмисники з угруповання UAC-0277 використовують техніку ClickFix, розміщуючи підроблені вікна перевірки безпеки на легітимних, але зламаних вебресурсах.
Лише протягом вересня 2026 року фахівці виявили понад 100 скомпрометованих сайтів, куди хакери впровадили шкідливий JavaScript-код.
Під час переходу на зламаний сайт користувачеві показують підроблену сторінку перевірки Cloudflare. Під виглядом звичного підтвердження Я не робот відвідувача спонукають скопіювати та виконати в системі спеціальну команду.
Якщо людина погоджується, на її пристрій автоматично завантажується та встановлюється вірус.
Атака є ретельно спланованою: шкідливий вміст відображається лише користувачам операційної системи Windows, які потрапили на сайт через пошуковики (Google, DuckDuckGo, meta.ua, bigmir.net тощо), і з’являється не частіше ніж двічі на 12 годин.
У CERT-UA наголошують, що жоден офіційний сервіс перевірки не вимагає від користувачів подібних дій.
— Жодна легітимна перевірка (CAPTCHA, Cloudflare тощо) ніколи не вимагає натискати комбінацію клавіш Win+R, відкривати командний рядок чи PowerShell, або вставляти й виконувати будь-які команди. Якщо ви бачите таку вимогу, негайно закрийте сторінку, навіть якщо це відомий вам сайт, — застерігають фахівці CERT-UA.
Для управління інфраструктурою атаки хакери застосовують технологію блокчейн (мережі Polygon та Ethereum), що дозволяє їм непомітно змінювати налаштування.
Зловмисники маскують вірус LUNEXSTEALER під безпечні системні файли та використовують вразливості системних драйверів Windows.
Після проникнення в систему вірус таємно встановлює у браузер шкідливе розширення під виглядом Microsoft Office Word Editor. Це дозволяє хакерам:
- повністю викрадати логіни, паролі та історію переглядів;
- отримувати віддалений доступ до управління комп’ютером.
Системним адміністраторам рекомендують обмежити звичайним користувачам доступ до вікна Виконати (Win+R) та заборонити інсталяцію MSI-пакетів без прав адміністратора.
Також варто активувати блокування вразливих драйверів (Microsoft Vulnerable Driver Blocklist) і дозволити використання розширень для браузерів виключно з “білого списку”.
Як зазначили в компанії, у разі виявлення підозрілої сторінки або якщо ви є власником зламаного ресурсу, негайно повідомте CERT-UA за адресою: [email protected] для отримання інструкцій з очищення сайту.
