Ukrajinský tým pro reakci na počítačové incidenty CERT-UA odhalil více než 100 kompromitovaných webů, do kterých útočníci vložili škodlivý JavaScript šířící malware pro krádež informací LunexStealer, známý také jako Psychedelic Stealer. Aktivitu, kterou agentura zaznamenala v září 2026, připisuje skupině označované jako UAC-0277. CERT-UA nezveřejnil, kdo se stal obětí kampaně, ani zda byly v důsledku útoků úspěšně napadeny nějaké systémy.
Falešná kontrola „jste člověk?“
Návštěvníkům napadených webů se zobrazila podvržená ověřovací stránka Cloudflare. Pod záminkou potvrzení, že nejde o robota, je vyzvala ke spuštění příkazu. Ten stáhl ze vzdáleného serveru a nainstaloval škodlivý balíček MSI. Jde o techniku známou jako ClickFix. Útočníci navíc využívají techniku EtherHiding: doménu, ze které se falešná stránka načítá, i provozní režim skriptu získávají z chytrého kontraktu v síti Polygon nebo Ethereum.
Skript má tři režimy. V režimu 0 je neaktivní, v režimu 1 pasivně sleduje návštěvníky a sbírá údaje o webu a stránce, ze které přišli, a v režimu 2 zobrazuje falešné ověření. To se ukazuje jen uživatelům Windows, kteří přišli z výsledků vyhledávače, a nejvýše dvakrát za 12 hodin. Objevily se nejméně tři varianty balíčků MSI. První LunexStealer přímo instaluje. Druhá se pokusí obejít řízení uživatelských účtů (UAC), nastaví výjimky v Microsoft Defenderu, pomocí legitimního, ale zranitelného ovladače AMD „PDFWKRNL.sys“ vyřadí bezpečnostní software a teprve poté stáhne a spustí stealer. Třetí ho spouští technikou DLL sideloading, kdy legitimní program „FnHotkeyUtility.exe“ načte podvrženou knihovnu „spkvol.dll“, která stealer dešifruje a spustí.
Škodlivé rozšíření prohlížeče
LunexStealer instaluje také škodlivé rozšíření prohlížeče LUNARAXE, které se vydává za „Microsoft Office Word Editor“. Krade cookies, historii prohlížení a údaje zadané do webových formulářů. Útočníkovi navíc umožňuje prohlížeč vzdáleně ovládat a spouštět na stránkách libovolný JavaScript. Rozšíření se skládá z několika modulů. Jádro LUNARAXE.CORE komunikuje s řídicím serverem, vykonává příkazy, vynáší data z prohlížeče, spravuje karty a rozšíření, zobrazuje oznámení a falešné překryvné vrstvy. LUNARAXE.STEALER zachytává hesla zadaná do formulářů a LUNARAXE.STRIP odstraňuje z odpovědí HTTP hlavičky Content Security Policy, aby bylo možné spouštět libovolný kód.
Podle konfigurace z řídicího serveru se může nainstalovat i pomocná komponenta NAIVEMESS. Ta rozšíření zpřístupňuje souborový systém Windows přes hostitele Native Messaging založeného na PowerShellu, nemá vlastní komunikační kanál s řídicím serverem a příkazy dostává prostřednictvím rozšíření. Umí vypsat disky, procházet složky, číst, vytvářet, přepisovat i spouštět soubory. Soubory přenáší po částech kódovaných v Base64 a složky nebo skupiny souborů předem balí do archivu ZIP.
CERT-UA organizacím doporučuje zakázat běžným uživatelům dialog Spustit pomocí skupinových zásad, omezit instalaci balíčků MSI bez administrátorských práv, sledovat spouštění „msiexec.exe“, zapnout blokování zranitelných ovladačů podle seznamu Microsoftu a povolit instalaci jen schválených rozšíření prohlížeče. Microsoft navíc doporučuje zapnout pravidlo pro omezení prostoru útoku (ASR), které blokuje zneužívání zranitelných podepsaných ovladačů a brání aplikacím zapsat takový ovladač na disk.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
