LunexStealer: falsas verificaciones Cloudflare en 100+ sitios

El CERT-UA, el equipo nacional de respuesta a incidentes de Ucrania, ha descrito una campaña que convirtió más de 100 sitios web legítimos en trampas. Según el aviso, recogido por Security Affairs, en septiembre de 2026 el CERT-UA encontró en estos sitios un JavaScript malicioso: quien los visitaba veía una falsa verificación de Cloudflare que, para confirmar que era una persona, le pedía ejecutar un comando (técnica ClickFix). El comando descargaba e instalaba un paquete MSI del que arrancaba el infostealer LunexStealer. La campaña tiene el identificador UAC-0277; según Insicurezza Digitale, el CERT-UA no la vincula, por ahora, a ningún grupo conocido.

La trampa: ClickFix con poco ruido

Según Insicurezza Digitale, la página pide pulsar Win+R y pegar y ejecutar un comando de PowerShell. El script inyectado tiene tres modos: apagado, solo seguimiento de visitantes y falsa verificación completa. Ambas fuentes indican que el ataque solo afecta a usuarios de Windows que llegan desde un buscador, como máximo dos veces en 12 horas para el mismo visitante: así la campaña pasa más desapercibida para quien analiza el tráfico o escanea los sitios.

Mando y control en blockchain

El dominio de la página falsa y la configuración del script se guardan en un smart contract en Polygon o Ethereum, que el script consulta en cada ejecución. Los atacantes pueden cambiar de dominio o activar y desactivar el ataque sin tocar los sitios comprometidos, y un dato en una blockchain pública no se puede retirar con una denuncia de abuso.

Tres variantes del instalador

El CERT-UA analizó tres variantes del paquete MSI:

1. la primera instala directamente el stealer;
2. la segunda intenta eludir el Control de cuentas de usuario (UAC), añade exclusiones a Microsoft Defender y carga un driver de AMD vulnerable aprovechando CVE-2023-20598 (bring your own vulnerable driver, BYOVD), para cegar las herramientas de seguridad antes del payload;
3. la tercera usa DLL side-loading: un ejecutable legítimo carga una biblioteca maliciosa que descifra y lanza el stealer.

Insicurezza Digitale añade detalles del análisis de la empresa Ontinue: el UAC se elude con el objeto COM CMSTPLUA; el driver es PDFWKRNL.sys de AMD Radeon Software y sirve para anular los callbacks de seguridad del kernel, de modo que el antivirus y el EDR siguen activos pero ya no ven nada. También según Ontinue, ni HVCI ni la Microsoft Vulnerable Driver Blocklist bloquean esta variante del driver, aunque su hash está en el proyecto LOLDrivers desde marzo de 2026: es una afirmación recogida por una sola fuente.

LunexStealer y sus componentes

Según el CERT-UA, LunexStealer también puede descargar y ejecutar programas, paquetes MSI, scripts de PowerShell y comandos. Según la configuración recibida, puede instalar LUNARAXE, una extensión del navegador que aparece como «Microsoft Office Word Editor»: roba cookies, historial y credenciales introducidas en formularios web, y permite controlar el navegador a distancia (JavaScript en las páginas, gestión y captura de pestañas, cambio del proxy). Con el componente de PowerShell NAIVEMESS, registrado como native messaging host, la extensión accede también al sistema de archivos.

Insicurezza Digitale, citando a Ontinue, indica además que:

• LunexStealer se vende como malware-as-a-service, con 28 paneles de control en 13 países frente a los 6 de junio de 2026;
• la extensión se inyecta modificando el archivo Secure Preferences del navegador, fuera de la tienda;
• la persistencia usa una clave de registro Run y una tarea programada oculta llamada psychedelicloveUtils.

Técnicas MITRE ATT&CK

Según nuestra lectura: Drive-by Compromise (T1189), Malicious Copy and Paste (T1204.004), Dead Drop Resolver (T1102.001), Msiexec (T1218.007), Bypass User Account Control (T1548.002), Exploitation for Privilege Escalation (T1068), Impair Defenses (T1562.001), Hijack Execution Flow (T1574), Browser Extensions (T1176), Steal Web Session Cookie (T1539), Scheduled Task (T1053.005) y Registry Run Keys (T1547.001).

Impacto para las empresas europeas e italianas

Los sitios afectados son ucranianos, pero la cadena funciona en cualquier equipo Windows y LunexStealer se revende a varios operadores. El objetivo son las sesiones y credenciales del navegador, que dan acceso al correo, a los servicios en la nube y a las aplicaciones de gestión, y el BYOVD demuestra que un antivirus activo no garantiza visibilidad. Para las entidades NIS2, la gestión de vulnerabilidades, la higiene informática y la formación están entre las medidas exigidas; en la sanidad, el robo de sesiones hacia portales con datos de pacientes tiene consecuencias delicadas.

Qué hacer ya

1. Informa al personal, como aconseja el CERT-UA: una verificación real nunca pide abrir Ejecutar, el Símbolo del sistema o PowerShell para pegar un comando. Si ocurre, cierra la página, aunque sea un sitio conocido.
2. Limita las herramientas: el CERT-UA sugiere bloquear Win+R con directivas de grupo, limitar quién puede instalar paquetes MSI y bloquear los drivers vulnerables conocidos.
3. Revisa los drivers: comprueba que PDFWKRNL.sys (CVE-2023-20598) esté bloqueado en tus políticas, sin depender solo de la actualización automática de la blocklist.
4. Busca rastros: tareas programadas anómalas como psychedelicloveUtils, native messaging hosts no aprobados, extensiones «Microsoft Office Word Editor» que no vienen de la tienda, nuevas exclusiones de Microsoft Defender, msiexec iniciado justo después de un comando desde la ventana Ejecutar.
5. Protege tus propios sitios: comprueba la integridad de plugins, temas y scripts de terceros.
6. Si encuentras un equipo afectado, aíslalo y considera comprometidas las sesiones y credenciales de sus navegadores.

Los indicadores completos están en el aviso del CERT-UA.

Cómo ayuda ARXDOME

ARX Sentry recoge eventos e inventario de ordenadores y servidores, con las familias de ejecuciones sospechosas y persistencia y las tácticas MITRE ATT&CK en las páginas del SOC. Con ARX Trace, los analistas lanzan búsquedas en varias máquinas, por ejemplo de tareas programadas sospechosas. ARX Shield muestra el estado de la protección de cada máquina y permite aislarla de la red; ARX Horizon permite consultar las fuentes de threat intelligence sobre indicadores de compromiso.

Última actualización: 9 de octubre de 2026