‼️Понад 100 скомпрометованих сайтів використали для поширення LUNEXSTEALER через підроблену CAPTCHA

У вересні 2026 року CERT-UA виявила понад 100 скомпрометованих вебсайтів зі шкідливим JavaScript-кодом. Користувачам Windows, які потрапляли на сайти з пошукових систем, могли показувати підроблену сторінку перевірки Cloudflare. Цю активність CERT-UA відстежує як кластер кіберзагроз UAC-0277.

Як працювала атака?

Під приводом перевірки «Я не робот» користувачам пропонували натиснути Win+R і виконати команду, скопійовану зі сторінки. Це техніка ClickFix: людину спонукають самостійно запустити команду, що завантажує та встановлює MSI-пакет. Через нього на комп’ютер потрапляє LUNEXSTEALER.

❗️Чим небезпечний LUNEXSTEALER?

Шкідлива програма викрадає збережені в браузерах паролі й токени, збирає відомості про систему та може виконувати команди зловмисників. В одному з досліджених варіантів атаки завантажувач додавав винятки до Microsoft Defender і використовував вразливий драйвер AMD, щоб протидіяти засобам захисту.

❗️Як захиститися?

🔹 Не запускайте команди, які вебсайт пропонує під приводом проходження CAPTCHA.

🔹 Обмежте встановлення MSI-пакетів користувачами без прав адміністратора та відстежуйте запуск msiexec.exe з URL-адресою.

🔹 Дозволяйте лише схвалені браузерні розширення та перевірте, чи ввімкнено блокування вразливих драйверів Microsoft.

Важливо: справжня CAPTCHA не вимагає відкривати Win+R, CMD чи PowerShell. Якщо бачите таку інструкцію — закрийте сторінку та повідомте CERT-UA через форму на сайті.

🔗 Джерело: CERT-UA