CERT-UA varoittaa laajasta haittaohjelmakampanjasta – yli 100 verkkosivustoa käytetty hyväksi
Ukrainan CERT-UA on tunnistanut laajan haittaohjelmien levityskampanjan, joka on liitetty hakkeriklusteriin UAC-0277. Syyskuussa 2026 yli 100 laillista verkkosivustoa sai sivuilleen lisätyn haitallisen JavaScript-koodin. Käyttäjille näytetään väärennetty Cloudflare-vahvistussivu, joka huijaa heidät suorittamaan komennon itse Win+R-näppäinyhdistelmällä, komentorivillä tai PowerShellillä. Tämän seurauksena laitteelle asentuvat LUNEXSTEALER-tiedonvarastajan sekä selaimen haitallinen laajennus, jotka varastavat kirjautumistietoja ja mahdollistavat laitteen etähalinnan.
Pääkohdat
- CERT-UA havaitsi syyskuussa 2026 yli 100 sivustoa, joille oli lisätty haitallista JavaScript-koodia.
- Kampanja on yhdistetty hakkeriklusteriin UAC-0277.
- Hyökkäys käyttää ClickFix-tekniikkaa: väärennetty Cloudflare-vahvistussivu pyytää käyttäjää kopioimaan ja suorittamaan komennon Win+R:llä, komentorivillä tai PowerShellillä.
- Haittaohjelma naamioituu LUNEXSTEALER-tiedonvarastajaksi ja Microsoft Office Word Editor -selainlaajennukseksi.
- Tartunnan jälkeen hyökkääjät saavat haltuunsa kirjautumistiedot, salasanat, selaus historian sekä mahdollisuuden etähallita laitetta.
- Hyökkäys kohdistuu Windows-käyttäjiin, jotka tulevat sivulle hakukoneiden (Google, DuckDuckGo, meta.ua, bigmir.net) kautta.
- Hyökkääjät hallinnoivat infrastruktuuriaan Polygon- ja Ethereum-lohkoketjujen kautta nopeuttaakseen asetusten vaihtamista ja jälkien peittämistä.
Miksi tämä on tärkeää
Kampanjan erityisen vaaralliseksi tekee se, että se käyttää hyväkseen yli sataa luotettavaa ja laillista verkkosivustoa, mikä laajentaa mahdollisten uhrien joukkoa merkittävästi. Hyökkäys perustuu sosiaaliseen manipulointioon – väärennetyn CAPTCHA:n varjolla käyttäjä houkutellaan suorittamaan komento itse, mikä voi tehota myös ei-teknisiin käyttäjiin. Onnistuessaan tartunta varastaa kirjautumistiedot ja antaa hyökkääjälle täyden etähallinnan laitteeseen. Lisäksi hyökkääjien lohkoketjupohjainen infrastruktuuri (Polygon ja Ethereum) vaikeuttaa palvelinestä ja puolustautumista. Uhka kohdistuu parhaillaan Windows-käyttäjiin, jotka saapuvat sivustoille suurten hakukoneiden, myös ukrainalaisten meta.ua:n ja bigmir.netin, kautta. CERT-UA on julkaissut konkreettiset torjuntaohjeet sekä yhteydenottokanavan tapausten ilmoittamista varten.
Mitä tapahtui
Ukrainan kansallinen tietoturvaviranomainen CERT-UA (toimii Derzhspetszvyazok-viraston eli Valtion erityisviestintä- ja tietoturvapalvelun alaisuudessa) varoitti laajasta haittaohjelmakampanjasta, joka on yhdistetty hakkeriklusteriin UAC-0277. Syyskuun 2026 aikana tunnistettiin yli 100 laillista verkkosivustoa, joille hyökkääjät olivat lisänneet haitallista JavaScript-koodia.
Hyökkäys käyttää niin kutsuttua ClickFix-tekniikkaa. Kun Windows-käyttäjä saapuu sivulle hakukoneen (Google, DuckDuckGo, meta.ua, bigmir.net) kautta, hänelle näytetään väärennetty Cloudflare-vahvistussivu. Sivu pyytää käyttäjää kopioimaan ja suorittamaan komennon Win+R-näppäinyhdistelmällä, komentorivillä tai PowerShellillä – tavallisen "En ole robotti" -vahvistuksen verukkeella. Kehotus näytetään samalle kävijälle enintään kaksi kertaa 12 tunnissa.
Jos käyttäjä suorittaa komennon, laitteelle ladataan ja asennetaan LUNEXSTEALER-tiedonvarastaja sekä selaimen haitallinen laajennus, joka on naamioitu "Microsoft Office Word Editor" -nimiseksi. Laajennus varastaa kirjautumistiedot, salasanat ja selaus historian sekä antaa hyökkääjille mahdollisuuden etähallita laitetta. CERT-UA painottaa, että mikään laillinen CAPTCHA- tai Cloudflare-tarkistus ei koskaan vaadi tällaisia toimia, ja kehottaa sulkemaan välittömästi kaikki sivut, jotka niin tekevät.
Hyökkääjät hallinnoivat infrastruktuuriaan Polygon- ja Ethereum-lohkoketjujen kautta, mikä mahdollistaa asetusten nopean ja huomaamattoman vaihtamisen. Järjestelmänvalvojille suositellaan Win+R-valintaikkunan estämistä tavallisilta käyttäjiltä, allekirjoittamattomien MSI-pakettien asennuksen rajoittamista sekä selaimen laajennusten sallintalistojen käyttöönottoa. Tietoturvatapauksista sekä sivustojen vaarantumisesta voi ilmoittaa CERT-UA:lle osoitteeseen [email protected].
Tausta
CERT-UA on Ukrainan kansallinen tietoturvaviranomainen, joka toimii Valtion erityisviestintä- ja tietoturvapalvelun (Держспецзв'язку) alaisuudessa. ClickFix-tekniikka huijaa käyttäjän suorittamaan itse haitallisia komentoja matkimalla laillisia suojaustarkistuksia, kuten CAPTCHA:a tai Cloudflare-vahvistusta. Lailliset tarkistukset eivät koskaan pyydä käyttäjää painamaan Win+R:ää, avaamaan komentoriviä tai PowerShelliä taikka liittämään ja suorittamaan komentoja.