CERT-UA: более 100 взломанных сайтов раздают LunexStealer через поддельную проверку Cloudflare

Команда реагирования на компьютерные инциденты Украины (CERT-UA) сообщила о более чем сотне взломанных сайтов, в которые внедрён вредоносный JavaScript, распространяющий инфостилер LunexStealer (он же Psychedelic Stealer). Активность наблюдалась в сентябре 2026 года и приписана кластеру угроз под обозначением UAC-0277. Кто стал жертвой кампании и удалось ли злоумышленникам скомпрометировать какие-либо системы, агентство не раскрыло.

Фальшивая капча вместо робота

Посетителю заражённого сайта показывали поддельную страницу проверки Cloudflare. Под предлогом подтверждения, что он человек, его просили выполнить некую команду — классический приём ClickFix. Результатом становилась загрузка и установка вредоносного MSI-пакета с удалённого сервера.

Адрес ресурса, с которого подгружается фальшивая страница, и режим работы скрипта атакующие прячут в смарт-контракте в сетях Polygon или Ethereum — техника EtherHiding. Предусмотрено три режима: отключён, пассивная слежка за посетителями и, собственно, показ поддельной проверки. В последнем режиме страница демонстрируется только пользователям Windows, пришедшим из поисковой выдачи, и не чаще двух раз за 12 часов.

Три варианта установщика

CERT-UA выявила как минимум три разновидности MSI-пакетов. Первая просто ставит LunexStealer. Вторая пытается обойти контроль учётных записей, прописывает исключения в Microsoft Defender и использует легитимный, но уязвимый драйвер AMD (PDFWKRNL.sys), чтобы ослепить защитное ПО. Третья запускает стилер через подмену DLL: легитимный исполняемый файл FnHotkeyUtility.exe подгружает поддельную библиотеку spkvol.dll.

Браузерное расширение-паразит

LunexStealer устанавливает вредоносное расширение LUNARAXE, маскирующееся под «Microsoft Office Word Editor». Оно крадёт cookie, историю и введённые в формы учётные данные, а также позволяет оператору удалённо управлять браузером и выполнять произвольный JavaScript. Модуль LUNARAXE.STRIP вырезает заголовки Content Security Policy, снимая защиту страниц.

В пару к расширению разворачивается компонент NAIVEMESS — PowerShell-хост Native Messaging, дающий доступ к файловой системе: чтение, создание, перезапись и запуск файлов, передаваемых порциями в Base64 и упакованных в ZIP.

Что рекомендует CERT-UA

Организациям советуют запретить рядовым пользователям вызывать диалог «Выполнить», ограничить установку MSI без прав администратора, отслеживать запуск msiexec.exe, включить блокировку уязвимых драйверов через соответствующий список Microsoft и разрешать установку только одобренных расширений. Microsoft также рекомендует активировать правило ASR, блокирующее злоупотребление уязвимыми подписанными драйверами.

Источник: The Hacker News