LunexStealer da falsi controlli Cloudflare su oltre 100 siti

Il CERT-UA, la squadra nazionale di risposta agli incidenti dell’Ucraina, ha descritto una campagna che ha trasformato oltre 100 siti web legittimi in trappole. Secondo l’avviso, ripreso da Security Affairs, a settembre 2026 il CERT-UA ha trovato su questi siti un JavaScript malevolo: chi li visitava vedeva una falsa verifica Cloudflare che, per confermare che fosse una persona, gli chiedeva di eseguire un comando (tecnica ClickFix). Il comando scaricava e installava un pacchetto MSI da cui partiva l’infostealer LunexStealer. La campagna ha l’identificativo UAC-0277; secondo Insicurezza Digitale il CERT-UA non la collega, per ora, a un gruppo noto.

La trappola: ClickFix con poco rumore

Secondo Insicurezza Digitale, la pagina chiede di premere Win+R e di incollare ed eseguire un comando PowerShell. Lo script iniettato ha tre modalità: spento, solo tracciamento dei visitatori, falsa verifica completa. Entrambe le fonti riportano che l’attacco colpisce solo utenti Windows che arrivano da un motore di ricerca, al massimo due volte in 12 ore per lo stesso visitatore: così la campagna sfugge più facilmente a chi analizza il traffico o scansiona i siti.

Comando e controllo su blockchain

Il dominio della pagina falsa e le impostazioni dello script sono salvati in uno smart contract su Polygon o Ethereum, che lo script interroga a ogni esecuzione. Gli attaccanti possono cambiare dominio o accendere e spegnere l’attacco senza toccare i siti compromessi, e un dato su una blockchain pubblica non si fa rimuovere con una segnalazione di abuso.

Tre varianti dell’installer

Il CERT-UA ha analizzato tre varianti del pacchetto MSI:

1. la prima installa direttamente lo stealer;
2. la seconda tenta di aggirare il Controllo dell’account utente (UAC), aggiunge esclusioni a Microsoft Defender e carica un driver AMD vulnerabile sfruttando CVE-2023-20598 (bring your own vulnerable driver, BYOVD), per accecare gli strumenti di sicurezza prima del payload;
3. la terza usa il DLL side-loading: un eseguibile legittimo carica una libreria malevola che decifra e avvia lo stealer.

Insicurezza Digitale aggiunge dettagli dell’analisi della società Ontinue: l’UAC viene aggirato con l’oggetto COM CMSTPLUA; il driver è PDFWKRNL.sys di AMD Radeon Software e serve ad azzerare i callback di sicurezza del kernel, così antivirus ed EDR restano attivi ma non vedono più nulla. Sempre secondo Ontinue, né HVCI né la Microsoft Vulnerable Driver Blocklist bloccano questa variante del driver, benché il suo hash sia nel progetto LOLDrivers da marzo 2026: è un’affermazione riportata da una sola fonte.

LunexStealer e i suoi componenti

Secondo il CERT-UA, LunexStealer può anche scaricare ed eseguire programmi, pacchetti MSI, script PowerShell e comandi. In base alla configurazione ricevuta può installare LUNARAXE, un’estensione del browser che si presenta come «Microsoft Office Word Editor»: ruba cookie, cronologia e credenziali inserite nei moduli web, e permette di controllare il browser da remoto (JavaScript nelle pagine, gestione e cattura delle schede, cambio del proxy). Con il componente PowerShell NAIVEMESS, registrato come native messaging host, l’estensione accede anche al file system.

Insicurezza Digitale, citando Ontinue, riporta inoltre che:

• LunexStealer è venduto come malware-as-a-service, con 28 pannelli di controllo in 13 paesi contro i 6 di giugno 2026;
• l’estensione viene iniettata modificando il file Secure Preferences del browser, fuori dallo store;
• la persistenza usa una chiave di registro Run e un’attività pianificata nascosta chiamata psychedelicloveUtils.

Tecniche MITRE ATT&CK

Secondo la nostra lettura: Drive-by Compromise (T1189), Malicious Copy and Paste (T1204.004), Dead Drop Resolver (T1102.001), Msiexec (T1218.007), Bypass User Account Control (T1548.002), Exploitation for Privilege Escalation (T1068), Impair Defenses (T1562.001), Hijack Execution Flow (T1574), Browser Extensions (T1176), Steal Web Session Cookie (T1539), Scheduled Task (T1053.005) e Registry Run Keys (T1547.001).

Impatto per le aziende europee e italiane

I siti colpiti sono ucraini, ma la catena funziona su qualsiasi postazione Windows e LunexStealer è rivenduto a più operatori. Il bersaglio sono sessioni e credenziali del browser, che aprono posta, servizi cloud e gestionali, e il BYOVD mostra che un antivirus attivo non garantisce visibilità. Per i soggetti NIS2 gestione delle vulnerabilità, igiene informatica e formazione rientrano tra le misure richieste; nella sanità il furto di sessioni verso portali con dati dei pazienti ha conseguenze delicate.

Cosa fare subito

1. Informa il personale, come consiglia il CERT-UA: una vera verifica non chiede mai di aprire Esegui, il Prompt dei comandi o PowerShell per incollare un comando. Se succede, si chiude la pagina, anche su un sito conosciuto.
2. Limita gli strumenti: il CERT-UA suggerisce di bloccare Win+R con i criteri di gruppo, limitare chi può installare pacchetti MSI e bloccare i driver vulnerabili noti.
3. Verifica i driver: controlla che PDFWKRNL.sys (CVE-2023-20598) sia bloccato nelle tue policy, senza contare solo sull’aggiornamento automatico della blocklist.
4. Cerca le tracce: attività pianificate anomale come psychedelicloveUtils, native messaging host non approvati, estensioni «Microsoft Office Word Editor» fuori dallo store, nuove esclusioni di Microsoft Defender, msiexec avviato subito dopo un comando dalla finestra Esegui.
5. Proteggi i tuoi siti: controlla l’integrità di plugin, temi e script di terze parti.
6. Se trovi una macchina colpita, isolala e considera compromesse sessioni e credenziali dei suoi browser.

Gli indicatori completi sono nell’avviso del CERT-UA.

Come aiuta ARXDOME

ARX Sentry raccoglie eventi e inventario di computer e server, con le famiglie esecuzioni sospette e persistenza e le tattiche MITRE ATT&CK nelle pagine del SOC. Con ARX Trace gli analisti avviano ricerche su più macchine, per esempio di attività pianificate sospette. ARX Shield mostra lo stato della protezione di ogni macchina e permette di isolarla dalla rete; ARX Horizon consente di interrogare le fonti di threat intelligence sugli indicatori di compromissione.

Ultimo aggiornamento: 9 ottobre 2026