CERT-UA попередила про нову кібератакуХакери заразили понад 100 українських сайтів
CERT-UA виявила масштабну кампанію (UAC-0277) з розповсюдження шкідливого ПЗ через понад 100 зламаних українських сайтів у вересні 2026 року. Зловмисники використовують техніку ClickFix: на сайтах для користувачів Windows відображається підроблена перевірка «Я не робот», яка нав’язує виконання шкідливої команди для встановлення вірусу LUNEXSTEALER. Заражений вірус встановлює у браузері шахрайське розширення «Microsoft Office Word Editor», що краде логіни, паролі та історію, забезпечуючи віддалений доступ до комп’ютера. Фахівці застерігають: ніколи не виконуйте команди з підказками Win+R чи PowerShell під виглядом CAPTCHA, адміністраторам слід обмежувати права користувачів та блокувати вразливі драйвери.
Зловмисники змушують користувачів Windows виконувати шкідливі команди під виглядом перевірки "Я не робот"
Національна команда реагування на кіберінциденти, кібератаки, кіберзагрози CERT-UA, виявила нову масштабну кампанію з розповсюдження шкідливого програмного забезпечення. Зловмисники (ідентифікатор кластера UAC-0277) використовують техніку ClickFix, розміщуючи підроблені сторінки перевірки безпеки на легітимних, але скомпрометованих вебсайтах. Про це поінформувала пресслужба Держспецзв’язку у вівторок, 6 жовтня.
Лише у вересні фахівці зафіксували понад 100 зламаних вебресурсів, до яких зловмисники додали шкідливий JavaScript-код.
Як працює схема
Під час відвідування скомпрометованого сайту користувачеві демонструється підроблена сторінка перевірки Cloudflare.
Під приводом стандартного підтвердження "Я не робот" відвідувачу пропонують скопіювати та виконати певну команду. Якщо людина це робить, на її комп’ютер завантажується та встановлюється шкідливе програмне забезпечення.
Атака є цілеспрямованою: шкідлива сторінка відображається лише користувачам ОС Windows, які перейшли на сайт із пошукових систем (Google, DuckDuckGo, meta.ua, bigmir.net тощо), і показується не частіше ніж двічі на 12 годин.
Фахівці наголошують, що жодна легітимна перевірка (CAPTCHA, Cloudflare тощо) ніколи не вимагає натискати комбінацію клавіш Win+R, відкривати командний рядок чи PowerShell, або вставляти й виконувати будь-які команди. Якщо ви бачите таку вимогу, негайно закрийте сторінку, навіть якщо це відомий вам сайт.
Як хакери викрадають дані
Для керування інфраструктурою атаки хакери використовують технологію блокчейн (зокрема мережі Polygon та Ethereum), що дозволяє їм миттєво та непомітно змінювати свої налаштування. Щоб обійти захист системи, зловмисники маскують вірус LUNEXSTEALER під легітимні файли та експлуатують вразливості системних драйверів Windows.
Після зараження вірус непомітно встановлює у браузер жертви шкідливе розширення під виглядом Microsoft Office Word Editor. Цей інструмент повністю викрадає логіни, паролі та історію відвідувань, а також дає хакерам змогу віддалено керувати комп’ютером.
Рекомендації для захисту
Щоб убезпечити ІТ-інфраструктуру, системним адміністраторам рекомендується заборонити звичайним користувачам виклик вікна "Виконати" (Win+R) і обмежити встановлення будь-яких MSI-пакетів без прав адміністратора. Крім того, варто увімкнути блокування вразливих драйверів (Microsoft Vulnerable Driver Blocklist) та дозволити використання лише перевірених розширень для браузерів із "білого списку".
Нагадаємо, у Данії стався масштабний витік персональних даних: хакери отримали несанкціонований доступ до реєстру населення, де зберігається інформація приблизно про 8,8 мільйона людей.
Фішинг став головною кіберзагрозою для працівників у ЄС
Новини від Корреспондент.net в Telegram та WhatsApp. Підписуйтесь на наші канали https://t.me/korrespondentnet та WhatsApp