CERT-UA ostrzega przed szkodliwą kampanią pod pozorem weryfikacji „Nie jestem robotem”
CERT-UA zaobserwowała masowe rozprzestrzenianie się szkodliwego oprogramowania: w wrześniu 2026 roku wykryto ponad 100 zharmonizowanych stron internetowych z fałszywą weryfikacją Cloudflare „Jestem robotem”. Użytkownikom Windows proponuje się skopiowanie i uruchomienie polecenia, po czym pobierana jest aplikacja LUNEXSTEALER. Prawdziwa weryfikacja nigdy nie wymaga Win+R lub wiersza poleceń – taką stronę należy natychmiast zamknąć.
CERT-UA, krajowa grupa reagowania na incydenty cybernetyczne Ministerstwa Komunikacji i Bezpieczeństwa, wykryła rozległe rozpowszechnianie złośliwego oprogramowania. W wrześniu 2026 roku eksperci odkryli ponad 100 zhakowanych stron internetowych, na które przestępcy dodali złośliwy kod JavaScript.
Osoby odwiedzające takie strony mogą natrafić na fałszywą stronę weryfikacji Cloudflare, która wygląda jak normalne potwierdzenie, że użytkownik nie jest botem. Następnie użytkownikowi proponuje się skopiowanie i wykonanie określonego polecenia; jeśli się zgodzi, na komputer zostaje pobrana i zainstalowana złośliwa program. Strona nie jest wyświetlana wszystkim: atak jest skierowany na użytkowników Windows, którzy wpadli na stronę z wyszukiwarek, w tym Google, DuckDuckGo, meta.ua i bigmir.net, i pojawia się nie częściej niż dwa razy w ciągu 12 godzin.
CERT-UA podkreśla: prawdziwa weryfikacja CAPTCHA lub Cloudflare nigdy nie wymaga naciskania klawiszy Win+R, otwierania wiersza poleceń lub PowerShell, ani wpisywania i uruchamiania poleceń. W przypadku takiej prośby, stronę należy natychmiast zamknąć, nawet jeśli strona wydaje się znajoma lub wiarygodna.
W ramach tej kampanii wykorzystywane jest złośliwe oprogramowanie LUNEXSTEALER, które jest maskowane jako zwykłe pliki i wykorzystuje luki w systemowych sterownikach Windows. Po zainfekowaniu, na komputerze może niepozornie pojawić się złośliwe rozszerzenie przeglądarki o nazwie „Microsoft Office Word Editor”, które kradnie loginy, hasła i historię przeglądania, a przestępcy zyskują możliwość zdalnego kontrolowania zainfekowanego komputera. W celu zarządzania infrastrukturą ataku wykorzystywane są sieci blockchain Polygon i Ethereum, co umożliwia szybkie zmiany w jej ustawieniach.
CERT-UA zaleca administratorom systemowym, aby ograniczyć dostęp zwykłych użytkowników do opcji „Wykonaj” (Win+R) oraz instalacji pakietów MSI bez uprawnień administratora, stosować listę blokowanych podatnych sterowników Microsoft oraz zezwalać w przeglądarkach tylko na sprawdzone rozszerzenia.