CERT-UA waarschuwt voor grootschalige malwarecampagne via besmette websites
De Oekraïense computerhulpdienst CERT-UA heeft een nieuwe grootschalige campagne ontdekt waarbij meer dan honderd legitieme websites in september 2026 zijn besmet met kwaadaardige JavaScript-code. Bezoekers die via zoekmachines op de besmette sites terechtkomen, krijgen een nagemaakte Cloudflare-verificatiepagina te zien die hen vraagt een opdracht via Win+R, de opdrachtprompt of PowerShell uit te voeren. Wie dat doet, krijgt de LUNEXSTEALER-stealer en een vermomde browserextensie binnen, waarmee aanvallers wachtwoorden, inloggegevens en de browserhistorie kunnen stelen en de computer op afstand kunnen overnemen.
Hoofdpunten
- CERT-UA, het nationale computerhulpdteam van Oekraïne, ontdekte een nieuwe grootschalige campagne voor de verspreiding van malware.
- In september 2026 werden meer dan 100 besmette webbronnen geregistreerd waaraan aanvallers kwaadaardige JavaScript-code hadden toegevoegd.
- De campagne is toegeschreven aan het hackerscluster UAC-0277.
- De aanvallers gebruiken de ClickFix-techniek en tonen een neppe Cloudflare-verificatiepagina met de tekst ‘I am not a robot’.
- De pagina verschijnt alleen bij Windows-gebruikers die via zoekmachines (Google, DuckDuckGo, meta.ua, bigmir.net) binnenkomen, en maximaal twee keer per twaalf uur.
- Na uitvoering van de opdracht worden de LUNEXSTEALER-stealer en een vermomde browserextensie genaamd ‘Microsoft Office Word Editor’ geïnstalleerd, die inloggegevens, wachtwoorden en browserhistorie steelt en externe controle mogelijk maakt.
- Aanvallers beheren hun infrastructuur via de blockchains van Polygon en Ethereum.
- CERT-UA adviseert systeembeheerders de Win+R-sneltoets voor gewone gebruikers te blokkeren, de installatie van ongetekende MSI-pakketten zonder beheerdersrechten te beperken en een whitelist voor browserextensies te gebruiken; incidenten kunnen worden gemeld via [email protected].
Waarom dit belangrijk is
De campagne maakt gebruik van meer dan honderd legitieme en vertrouwde websites als besmettingsvector, waardoor het potentiële slachtofferbestand sterk wordt vergroot. De aanval berust op social engineering: een nep-CAPTCHA- of Cloudflare-pagina die gebruikers vraagt zelf een systeemopdracht uit te voeren, waardoor ook niet-technische gebruikers in de val kunnen lopen. Een geslaagde besmetting levert aanvallers niet alleen wachtwoorden en browserhistorie op, maar ook volledige afstandsbediening van het apparaat. Doordat de infrastructuur via de Polygon- en Ethereum-blockchains wordt beheerd, kunnen de aanvallers hun instellingen razendsnel en heimelijk aanpassen, wat het moeilijk maakt de campagne uit de lucht te halen. De dreiging is actief gericht op Windows-gebruikers die via grote zoekmachines — inclusief Oekraïense portals als meta.ua en bigmir.net — op besmette sites terechtkomen. CERT-UA heeft concrete beveiligingsadviezen en een meldpunt gepubliceerd.
Wat er is gebeurd
CERT-UA, het Oekraïense nationale computerhulpdteam dat opereert onder de Держспецзв'язку (Staatsdienst voor Speciale Communicatie en Informatiebescherming), heeft een nieuwe grootschalige campagne voor de verspreiding van malware ontdekt. In september 2026 werden meer dan honderd webbronnen geïdentificeerd waaraan aanvallers kwaadaardige JavaScript-code hadden toegevoegd. De campagne is toegeschreven aan het hackerscluster UAC-0277. De aanvallers gebruiken de ClickFix-techniek: bezoekers die via zoekmachines op een besmette site terechtkomen, zien een neppe Cloudflare-verificatiepagina met een ‘I am not a robot’-melding. Onder dat voorwendsel worden zij gevraagd een opdracht te kopiëren en uit te voeren via de sneltoets Win+R, de opdrachtprompt of PowerShell. Doen zij dat, dan wordt automatisch kwaadaardige software gedownload en geïnstalleerd. De neppe verificatiepagina verschijnt alleen aan Windows-gebruikers die via zoekmachines als Google, DuckDuckGo, meta.ua of bigmir.net binnenkomen, en wordt maximaal twee keer per twaalf uur aan dezelfde bezoeker getoond. Om systeemverdedigingen te omzeilen vermommen de aanvallers hun LUNEXSTEALER-stealer als legitieme bestanden en misbruiken zij kwetsbaarheden in Windows-stuurprogramma's. Hun infrastructuur beheren zij via de blockchains van Polygon en Ethereum, zodat zij instellingen direct en heimelijk kunnen wijzigen. Na besmetting installeert het virus een kwaadaardige browserextensie vermomd als ‘Microsoft Office Word Editor’, die inloggegevens, wachtwoorden en browserhistorie steelt en aanvallers externe controle over de computer geeft. CERT-UA benadrukt dat geen enkele legitieme verificatie — geen CAPTCHA en geen Cloudflare-check — ooit vraagt om Win+R in te drukken, de opdrachtprompt of PowerShell te openen, of commando's te plakken en uit te voeren; een pagina die dat wel doet, moet onmiddellijk worden gesloten. Eigenaren van besmette sites en gebruikers die de aanval tegenkomen, kunnen contact opnemen met CERT-UA via [email protected].
Achtergrond
CERT-UA is het nationale computerhulpdteam van Oekraïne en opereert onder de Держспецзв'язку, de Staatsdienst voor Speciale Communicatie en Informatiebescherming. De ClickFix-techniek misleidt gebruikers door hen onder het mom van een legitieme beveiligingscontrole — een CAPTCHA- of Cloudflare-verificatie — zelf een kwaadaardige opdracht te laten uitvoeren. Legitieme CAPTCHAs en Cloudflare-controles vragen nooit om het indrukken van Win+R, het openen van de opdrachtprompt of PowerShell, of het plakken en uitvoeren van opdrachten.