Свыше ста легитимных украинских сайтов превратили в распределители Lunex Stealer через ClickFix-схему. На взломанных страницах показывалась поддельная проверка Cloudflare. Вместо обычной CAPTCHA пользователей просили выполнить действия, после чего на компьютер загружалась вредоносная программа.
Атаку обнаружили специалисты CERT-UA в сентябре 2026 года. Встроенный в сайты скрипт получал инструкции через смарт-контракты в сетях Polygon и Ethereum. Это позволяло злоумышленникам менять адреса для загрузки вредоноса сразу для всей сети инфицированных ресурсов.
Ловушка срабатывала избирательно. Скрипт выбирал пользователей Windows, пришедших на сайт из поисковых систем, и ограничивал количество показов. После выполнения команды система загружала MSI-пакет с Lunex Stealer.
Исследователи выявили три способа установки. Первый запускал стилер напрямую. Второй отключал UAC, добавлял исключения в Microsoft Defender и использовал уязвимый драйвер AMD PDFWKRNL.sys для обхода защиты (CVE-2023-20598). Третий применял DLL side-loading.
Lunex Stealer извлекает сохранённые пароли, токены, системные сведения и данные криптовалютных кошельков. Вредонос запускает дополнительные EXE и MSI-файлы, PowerShell-скрипты и команды Windows.
Некоторые версии Lunex устанавливают в браузеры на основе Chromium расширение LunarAxe под видом «Microsoft Office Word Editor». Расширение перехватывает cookies, историю, логины и пароли, управляет вкладками, делает снимки страниц и изменяет настройки прокси. Дополнительный компонент NaiveMess позволяет читать и менять файлы, а также запускать программы.
CERT-UA присвоила кампании идентификатор UAC-0277, но не связала её с известной группировкой хакеров. Точное число инфицированных компьютеров неизвестно. Среди взломанных сайтов были интернет-магазины и простые портальные ресурсы.
Главный признак ClickFix остаётся неизменным. Легитимная CAPTCHA никогда не просит открывать Win+R, PowerShell или командную строку и вставлять туда команды. Подобные инструкции практически всегда указывают на попытку заражения.
