LunexStealer prin verificări Cloudflare false pe 100+ site-uri

CERT-UA, echipa națională de răspuns la incidente a Ucrainei, a descris o campanie care a transformat peste 100 de site-uri web legitime în capcane. Potrivit avizului, preluat de Security Affairs, în septembrie 2026 CERT-UA a găsit pe aceste site-uri un JavaScript malițios: cine le vizita vedea o verificare Cloudflare falsă care, pentru a confirma că este o persoană, îi cerea să execute o comandă (tehnica ClickFix). Comanda descărca și instala un pachet MSI din care pornea infostealerul LunexStealer. Campania are identificatorul UAC-0277; potrivit Insicurezza Digitale, CERT-UA nu o leagă deocamdată de un grup cunoscut.

Capcana: ClickFix fără zgomot

Potrivit Insicurezza Digitale, pagina cere apăsarea Win+R și lipirea și executarea unei comenzi PowerShell. Scriptul injectat are trei moduri: oprit, doar urmărirea vizitatorilor și verificarea falsă completă. Ambele surse arată că atacul vizează doar utilizatorii Windows care vin de la un motor de căutare, de cel mult două ori în 12 ore pentru același vizitator: astfel campania scapă mai ușor celor care analizează traficul sau scanează site-urile.

Comandă și control pe blockchain

Domeniul paginii false și setările scriptului sunt salvate într-un smart contract pe Polygon sau Ethereum, pe care scriptul îl interoghează la fiecare execuție. Atacatorii pot schimba domeniul sau porni și opri atacul fără să modifice site-urile compromise, iar o informație de pe un blockchain public nu poate fi eliminată printr-o sesizare de abuz.

Trei variante ale instalatorului

CERT-UA a analizat trei variante ale pachetului MSI:

1. prima instalează direct stealerul;
2. a doua încearcă să ocolească Controlul contului de utilizator (UAC), adaugă excluderi în Microsoft Defender și încarcă un driver AMD vulnerabil exploatând CVE-2023-20598 (bring your own vulnerable driver, BYOVD), pentru a orbi instrumentele de securitate înainte de payload;
3. a treia folosește DLL side-loading: un executabil legitim încarcă o bibliotecă malițioasă care decriptează și lansează stealerul.

Insicurezza Digitale adaugă detalii din analiza companiei Ontinue: UAC este ocolit prin obiectul COM CMSTPLUA; driverul este PDFWKRNL.sys din AMD Radeon Software și servește la ștergerea callback-urilor de securitate ale kernelului, astfel încât antivirusul și EDR-ul rămân active, dar nu mai văd nimic. Tot potrivit Ontinue, nici HVCI, nici Microsoft Vulnerable Driver Blocklist nu blochează această variantă a driverului, deși hash-ul său este în proiectul LOLDrivers din martie 2026: afirmația provine dintr-o singură sursă.

LunexStealer și componentele sale

Potrivit CERT-UA, LunexStealer poate și să descarce și să ruleze programe, pachete MSI, scripturi PowerShell și comenzi. În funcție de configurația primită, poate instala LUNARAXE, o extensie de browser care apare ca „Microsoft Office Word Editor”: fură cookie-uri, istoricul și datele de autentificare introduse în formulare web și permite controlul de la distanță al browserului (JavaScript în pagini, gestionarea și capturarea filelor, schimbarea proxy-ului). Cu componenta PowerShell NAIVEMESS, înregistrată ca native messaging host, extensia are acces și la sistemul de fișiere.

Insicurezza Digitale, citând Ontinue, mai arată că:

• LunexStealer este vândut ca malware-as-a-service, cu 28 de panouri de control în 13 țări, față de 6 în iunie 2026;
• extensia este injectată prin modificarea fișierului Secure Preferences al browserului, în afara magazinului;
• persistența folosește o cheie de registru Run și o sarcină programată ascunsă numită psychedelicloveUtils.

Tehnici MITRE ATT&CK

În lectura noastră: Drive-by Compromise (T1189), Malicious Copy and Paste (T1204.004), Dead Drop Resolver (T1102.001), Msiexec (T1218.007), Bypass User Account Control (T1548.002), Exploitation for Privilege Escalation (T1068), Impair Defenses (T1562.001), Hijack Execution Flow (T1574), Browser Extensions (T1176), Steal Web Session Cookie (T1539), Scheduled Task (T1053.005) și Registry Run Keys (T1547.001).

Impactul pentru companiile europene și italiene

Site-urile afectate sunt ucrainene, dar lanțul funcționează pe orice stație Windows, iar LunexStealer este revândut mai multor operatori. Ținta sunt sesiunile și datele de autentificare din browser, care deschid e-mailul, serviciile cloud și aplicațiile de gestiune, iar BYOVD arată că un antivirus activ nu garantează vizibilitatea. Pentru entitățile NIS2, gestionarea vulnerabilităților, igiena cibernetică și instruirea personalului se numără printre măsurile cerute; în sănătate, furtul sesiunilor către portaluri cu date ale pacienților are consecințe delicate.

Ce să faci acum

1. Informează personalul, cum recomandă CERT-UA: o verificare reală nu cere niciodată deschiderea Run, Command Prompt sau PowerShell pentru a lipi o comandă. Dacă se întâmplă, închide pagina, chiar dacă site-ul este cunoscut.
2. Limitează instrumentele: CERT-UA sugerează blocarea Win+R prin politici de grup, limitarea celor care pot instala pachete MSI și blocarea driverelor vulnerabile cunoscute.
3. Verifică driverele: asigură-te că PDFWKRNL.sys (CVE-2023-20598) este blocat în politicile tale, fără să te bazezi doar pe actualizarea automată a listei de blocare.
4. Caută urme: sarcini programate neobișnuite precum psychedelicloveUtils, native messaging hosts neaprobate, extensii „Microsoft Office Word Editor” care nu provin din magazin, excluderi noi în Microsoft Defender, msiexec pornit imediat după o comandă din fereastra Run.
5. Protejează-ți site-urile: verifică integritatea pluginurilor, temelor și scripturilor terțe.
6. Dacă găsești un calculator afectat, izolează-l și consideră compromise sesiunile și datele de autentificare din browserele sale.

Indicatorii completi se află în avizul CERT-UA.

Cum ajută ARXDOME

ARX Sentry colectează evenimente și inventarul calculatoarelor și serverelor, cu familiile de execuții suspecte și persistență și tacticile MITRE ATT&CK în paginile SOC. Cu ARX Trace, analiștii lansează căutări pe mai multe mașini, de exemplu după sarcini programate suspecte. ARX Shield arată starea protecției fiecărei mașini și permite izolarea ei de rețea; ARX Horizon permite interogarea surselor de threat intelligence despre indicatorii de compromitere.

Ultima actualizare: 9 octombrie 2026