CERT-UA alerta para campanha de malware em mais de 100 sites comprometidos

Por que importa

A campanha transforma sites legítimos e confiáveis em vetores de infecção, ampliando drasticamente o público potencial de vítimas. O ataque depende de engenharia social — uma falsa checagem de segurança convence o próprio usuário a executar comandos maliciosos —, sendo eficaz mesmo contra pessoas com pouca experiência técnica. Uma vez instalado, o malware rouba logins, senhas e histórico de navegação, e ainda permite o controle remoto do dispositivo. O uso de infraestrutura baseada em blockchain (Polygon e Ethereum) permite aos atacantes alterar rapidamente suas configurações, dificultando ações de defesa e remoção.

O que aconteceu

Em setembro de 2026, a CERT-UA, órgão que opera sob a Serviço Estatal de Comunicações Especiais e Proteção da Informação da Ucrânia (Держспецзв'язку), identificou uma campanha em larga escala de distribuição de malware atribuída ao cluster de hackers UAC-0277. Mais de 100 sites legítimos foram comprometidos com código JavaScript malicioso, que exibe uma página falsa de verificação do Cloudflare somente para usuários do sistema operacional Windows que chegam a partir de mecanismos de busca como Google, DuckDuckGo, meta.ua e bigmir.net. A página é exibida no máximo duas vezes a cada 12 horas para o mesmo visitante.

Sob o pretexto de uma checagem padrão do tipo "Eu não sou um robô", o usuário é induzido a copiar e executar um comando por meio da combinação de teclas Win+R, do Prompt de Comando ou do PowerShell. Caso execute o comando, softwares maliciosos são baixados e instalados automaticamente. Para burlar as defesas do sistema, os atacantes disfarçam o vírus LUNEXSTEALER como arquivos legítimos e exploram vulnerabilidades em drivers do Windows.

Após a infecção, é instalado silenciosamente no navegador da vítima uma extensão maliciosa que se passa pelo complemento "Microsoft Office Word Editor". Essa extensão rouba logins, senhas e histórico de navegação, além de conceder aos atacantes controle remoto sobre o computador. A infraestrutura do ataque é gerenciada por meio das redes blockchain Polygon e Ethereum, o que dificulta a identificação e o bloqueio dos atacantes.

A CERT-UA destaca que nenhuma verificação legítima — seja CAPTCHA, Cloudflare ou similar — solicita ao usuário pressionar Win+R, abrir o Prompt de Comando ou o PowerShell, nem colar e executar qualquer tipo de comando. Usuários que encontrarem páginas desse tipo devem fechá-las imediatamente. Proprietários de sites comprometidos e pessoas afetadas devem entrar em contato pelo e-mail [email protected] para receber orientações e auxílio na limpeza do código malicioso. Administradores de sistema são orientados a bloquear o atalho Win+R para contas comuns, restringir a instalação de pacotes MSI não assinados sem direitos administrativos e adotar listas de permissão para extensões de navegador.

Contexto

A CERT-UA é a equipe nacional de resposta a emergências de informática da Ucrânia, operando sob a Serviço Estatal de Comunicações Especiais e Proteção da Informação (Держспецзв'язку). A técnica conhecida como ClickFix induz o próprio usuário a executar comandos maliciosos, imitando verificações legítimas de segurança, como CAPTCHAs ou checagens do Cloudflare. Essas verificações legítimas, vale reforçar, nunca pedem que o usuário pressione Win+R, abra o Prompt de Comando ou o PowerShell, nem cole e execute comandos.