CERT-UA warnt vor einer schädlichen Kampagne, die sich als Überprüfung des „Ich bin kein Roboter“-Tests ausgibt.
CERT-UA hat eine umfassende Verbreitung schädlicher Software festgestellt: Im September 2026 wurde mehr als 100 kompromittierte Websites mit einer gefälschten Cloudflare-„Ich bin kein Roboter“-Überprüfung entdeckt. Benutzern von Windows wird vorgeschlagen, den Befehl zu kopieren und auszuführen, woraufhin die Software LUNEXSTEALER heruntergeladen wird. Eine echte Überprüfung erfordert niemals die Eingabe von Win+R oder die Verwendung der Kommandozeile – solche Seiten sollten sofort geschlossen werden.
CERT-UA, das nationale Team zur Reaktion auf Cyberangriffe des Ministeriums für Kommunikation und Informatisierung, hat eine umfassende Verbreitung von schädlicher Software festgestellt. Im September des Jahres 2026 entdeckten Experten mehr als 100 kompromittierte Webseiten, auf die Kriminelle schädlichen JavaScript-Code installiert hatten.
Besucher solcher Ressourcen könnten eine gefälschte Cloudflare-Überprüfungsseite sehen, die wie eine normale Bestätigung aussieht, dass der Benutzer kein Bot ist. Danach wird dem Nutzer vorgeschlagen, einen bestimmten Befehl zu kopieren und auszuführen; wenn er zustimmt, wird eine schädliche Software auf den Computer heruntergeladen und installiert. Die Seite wird nicht allen angezeigt: Der Angriff zielt auf Windows-Nutzer ab, die auf die Webseite über Suchmaschinen wie Google, DuckDuckGo, meta.ua und bigmir.net gekommen sind, und erscheint nicht häufiger als zweimal innerhalb von 12 Stunden.
CERT-UA betont: Eine echte Überprüfung von CAPTCHA oder Cloudflare fordert niemals, die Tasten Win+R zu drücken, die Eingabeaufforderung oder PowerShell zu öffnen oder Befehle einzugeben und auszuführen. Wenn eine solche Anforderung gestellt wird, sollte die Seite sofort geschlossen werden, auch wenn die Website vertraut oder zuverlässig erscheint.
Für diese Kampagne wird das schädliche Programm LUNEXSTEALER verwendet, das als normale Dateien getarnt ist und Schwachstellen in den Windows-Systemtreibern ausnutzt. Nach der Infektion kann auf dem Computer eine schädliche Browsererweiterung namens "Microsoft Office Word Editor" unbemerkt erscheinen: Sie stiehlt Anmeldeinformationen, Passwörter und die Browserverlauf, und die Angreifer erhalten die Möglichkeit, den infizierten Computer aus der Ferne zu steuern. Um die Infrastruktur des Angriffs zu verwalten, werden die Blockchain-Netzwerke Polygon und Ethereum verwendet, die eine schnelle Änderung der Einstellungen ermöglichen.
CERT-UA rät Systemadministratoren, den Zugriff für normale Benutzer auf das Fenster „Ausführen“ über Win+R sowie die Installation von MSI-Paketen ohne Administratorrechte einzuschränken, die Microsoft Vulnerable Driver Blocklist anzuwenden und nur geprüfte Erweiterungen in Browsern zuzulassen.