CERT-UA alerta para malware que usa falsas páginas Cloudflare em sites legítimos
A CERT-UA, equipa nacional de resposta a emergências informáticas da Ucrânia, descobriu uma campanha de malware em larga escala atribuída ao cluster UAC-0277. Em setembro de 2026, os atacantes comprometeram mais de 100 sites legítimos, nos quais injetaram código JavaScript malicioso. Os visitantes de Windows que chegam através de motores de busca vêem uma falsa página de verificação Cloudflare que os instrui a copiar e executar comandos via Win+R, linha de comandos ou PowerShell — instalando o LUNEXSTEALER e uma extensão de browser disfarçada de editor do Office.
Pontos principais
- A CERT-UA identificou mais de 100 sites legítimos comprometidos em setembro de 2026.
- A campanha está atribuída ao cluster de hackers UAC-0277.
- A técnica ClickFix apresenta falsidades externas para induzir os utilizadores a correr comandos.
- Utilizadores de Windows vindos de motores de busca são os visados pela página falsa.
- A infeção instala o stealer LUNEXSTEALER e uma extensão maliciosa disfarçada de «Microsoft Office Word Editor».
- Os atacantes gerem a infraestrutura através das blockchains Polygon e Ethereum.
- Contactos para reporte: [email protected].
Porque é importante
A campanha explora mais de 100 sites legítimos e de confiança como vetores de infeção, alargando enormemente o universo potencial de vítimas. A técnica recorre a engenharia social — uma falsa página de CAPTCHA/Cloudflare que pede ao próprio utilizador para executar comandos — o que a torna eficaz mesmo contra utilizadores não técnicos. Uma infeção bem-sucedida instala software de roubo de credenciais e de acesso remoto, pondo em risco palavras-passe, histórico de navegação e o controlo total do dispositivo. Os atacantes usam infraestrutura baseada em blockchain (Polygon e Ethereum) para rodar rapidamente as suas configurações, dificultando a defesa e a desativação. A ameaça está ativa contra utilizadores de Windows que chegam a partir dos principais motores de busca, incluindo os de língua ucraniana (meta.ua, bigmir.net). A CERT-UA publicou orientações defensivas concretas (bloquear Win+R para utilizadores comuns, restringir instalações de MSI não assinados, listas de permissão de extensões) e um canal de contacto para reporte de incidentes.
O que aconteceu
A CERT-UA, que opera sob a Держспецзв'язку (Serviço Estatal de Comunicações Especiais e Proteção da Informação da Ucrânia), detetou uma nova campanha de distribuição de malware em larga escala. Em setembro de 2026, foram identificados mais de 100 recursos web comprometidos aos quais os atacantes adicionaram código JavaScript malicioso. A campanha está atribuída ao cluster de hackers UAC-0277.
Os atacantes recorrem à técnica ClickFix, instalando páginas de verificação de segurança em sites legítimos mas comprometidos. Os visitantes que chegam a partir de motores de busca (Google, DuckDuckGo, meta.ua, bigmir.net, entre outros) com Windows veem uma falsa página de verificação Cloudflare. Sob o pretexto de uma confirmação padrão «Não sou um robô», são instruídos a copiar e executar um comando através da combinação de teclas Win+R, da linha de comandos ou do PowerShell. Se o utilizador o fizer, é descarregado e instalado software malicioso no computador.
Para contornar as proteções do sistema, os atacantes disfarçam o vírus LUNEXSTEALER como ficheiros legítimos e exploram vulnerabilidades em drivers do Windows. Após a infeção, é instalada no browser da vítima uma extensão maliciosa disfarçada de «Microsoft Office Word Editor», que rouba credenciais de acesso, palavras-passe e histórico de navegação, e permite o controlo remoto do computador. A página falsa é mostrada ao mesmo visitante no máximo duas vezes por cada 12 horas.
Os atacantes utilizam as blockchains Polygon e Ethereum para gerir a sua infraestrutura de ataque, permitindo-lhes alterar parâmetros de forma instantânea e discreta, dificultando a desativação e a defesa. A CERT-UA sublinha que nenhuma verificação legítima (CAPTCHA, Cloudflare, etc.) exige alguma vez que se pressione Win+R, abrir a linha de comandos ou o PowerShell, ou colar e executar comandos, e aconselha os utilizadores a fecharem de imediato qualquer página que faça essas exigências. Proprietários de sites comprometidos e utilizadores que encontrem a ataque são convidados a contactar a CERT-UA em [email protected]. Administradores de sistema são aconselhados a bloquear a combinação Win+R para contas de utilizadores comuns, restringir a instalação de pacotes MSI não assinados sem direitos de administrador e usar listas de permissão de extensões de browser.
Contexto
A CERT-UA é a equipa nacional de resposta a emergências informáticas da Ucrânia, operando sob a Держспецзв'язку (Serviço Estatal de Comunicações Especiais e Proteção da Informação). A técnica «ClickFix» engana os utilizadores levando-os a executar eles próprios comandos maliciosos, imitando verificações de segurança legítimas, como CAPTCHAs ou verificações Cloudflare. CAPTCHAs legítimos e verificações Cloudflare nunca pedem aos utilizadores para pressionar Win+R, abrir a linha de comandos ou o PowerShell, nem para colar e executar comandos.