CERT-UA avverte: campagna malware colpisce oltre 100 siti legittimi tramite falsi controlli Cloudflare
CERT-UA, la squadra nazionale ucraina di risposta alle emergenze informatiche, ha scoperto una campagna su larga scala attribuita al cluster UAC-0277. Gli aggressori hanno inserito codice JavaScript dannoso in più di 100 siti web legittimi e usano la tecnica ClickFix, mostrando ai visitatori Windows provenienti dai motori di ricerca una finta verifica Cloudflare "Non sono un robot" che induce a eseguire comandi malevoli tramite Win+R, Prompt dei comandi o PowerShell. L'infezione installa il malware LUNEXSTEALER e un'estensione del browser che ruba credenziali e consente il controllo remoto del dispositivo.
Punti chiave
- CERT-UA ha individuato oltre 100 siti web legittimi compromessi con codice JavaScript dannoso nel settembre 2026
- La campagna è attribuita al cluster hacker UAC-0277
- La tecnica ClickFix mostra una finta pagina di verifica Cloudflare ai soli utenti Windows provenienti da motori di ricerca
- Alle vittime si chiede di copiare ed eseguire un comando tramite Win+R, Prompt dei comandi o PowerShell
- L'infezione installa il ladro di credenziali LUNEXSTEALER e un'estensione del browser mascherata da "Microsoft Office Word Editor"
- Gli aggressori gestiscono l'infrastruttura tramite le blockchain Polygon ed Ethereum
- CERT-UA raccomanda ai sysadmin di bloccare Win+R per gli utenti normali e di segnalare i siti compromessi a [email protected]
Perché è importante
Sfruttando più di 100 siti legittimi come vettori di infezione, la campagna amplia enormemente la platea delle potenziali vittime, anche tra utenti non tecnici. L'inganno si basa sulla social engineering — una finta verifica CAPTCHA o Cloudflare che induce l'utente a eseguire autonomamente i comandi — aggirando molte difese tradizionali. Un'infezione riuscita espone password, cronologia di navigazione e controllo remoto del dispositivo, mentre l'uso delle blockchain Polygon ed Ethereum per gestire l'infrastruttura consente agli aggressori di ruotare rapidamente le proprie impostazioni, rendendo più difficili le attività di contrasto.
Che cosa è successo
CERT-UA, la squadra nazionale ucraina di risposta alle emergenze informatiche che opera sotto la Держспецзв'язку (Servizio statale delle comunicazioni speciali e della protezione delle informazioni), ha annunciato la campagna il 6 ottobre 2026. Nel settembre 2026 i suoi specialisti hanno individuato oltre 100 risorse web legittime in cui era stato inserito codice JavaScript dannoso. La campagna, attribuita al cluster UAC-0277, impiega la tecnica ClickFix: ai visitatori Windows che arrivano al sito da motori di ricerca come Google, DuckDuckGo, meta.ua o bigmir.net viene mostrata una finta pagina di verifica Cloudflare con la dicitura "Non sono un robot", che chiede di copiare ed eseguire un comando tramite Win+R, Prompt dei comandi o PowerShell. La pagina fasulla viene mostrata al massimo due volte ogni 12 ore per lo stesso visitatore. Se il comando viene eseguito, sul dispositivo viene scaricato automaticamente il malware LUNEXSTEALER, nascosto come file legittimo e veicolato sfruttando vulnerabilità nei driver di sistema Windows. L'infezione installa inoltre un'estensione del browser mascherata da "Microsoft Office Word Editor", che sottrae credenziali, password, cronologia di navigazione e consente il controllo remoto del computer. Gli aggressori gestiscono la propria infrastruttura attraverso le blockchain Polygon ed Ethereum, per modificare rapidamente le impostazioni e nascondere le proprie tracce.
Contesto
CERT-UA è la squadra nazionale ucraina di risposta alle emergenze informatiche, che opera sotto la Держспецзв'язку (Servizio statale delle comunicazioni speciali e della protezione delle informazioni). La tecnica ClickFix induce le vittime a eseguire autonomamente comandi malevoli, imitanto controlli di sicurezza legittimi come CAPTCHA o verifiche Cloudflare. Nessuna verifica legittima di questo tipo chiede mai all'utente di premere Win+R, aprire il Prompt dei comandi o PowerShell, né di incollare ed eseguire istruzioni.