CERT-UA: ponad 100 przejętych stron pokazuje fałszywą weryfikację Cloudflare

CERT-UA wykrył ponad 100 przejętych stron internetowych, do których wstrzyknięto złośliwy JavaScript rozsyłający program LunexStealer, znany też jako Psychedelic Stealer. Kampanię zaobserwowano we wrześniu 2026 roku i przypisano grupie UAC-0277. Odwiedzający widzieli fałszywą stronę weryfikacji Cloudflare, która pod pretekstem sprawdzenia, czy są ludźmi, kazała im wykonać polecenie. Polecenie pobierało z zdalnego serwera i instalowało pakiet MSI (technika ClickFix). Adres strony z fałszywą weryfikacją i tryb działania skryptu odczytywano z inteligentnego kontraktu w sieci Polygon lub Ethereum (technika EtherHiding).

Kogo dotyczy

Fałszywa weryfikacja pojawiała się tylko użytkownikom Windows, którzy weszli na stronę z wyników wyszukiwarki, i nie częściej niż dwa razy na 12 godzin. LunexStealer instaluje rozszerzenie przeglądarki LUNARAXE, które podszywa się pod „Microsoft Office Word Editor” i kradnie ciasteczka, historię przeglądania oraz dane wpisywane w formularze. CERT-UA nie podał, kim były ofiary ani czy ataki się powiodły.