CERT-UA предупреждает об опасной кампании под видом проверки «Я не робот»
CERT-UA зафиксировала масштабное распространение вредоносного ПО: в сентябре 2026 года было обнаружено более 100 скомпрометированных сайтов с поддельной проверкой Cloudflare "Я не робот". Пользователям Windows предлагается скопировать и выполнить команду, после чего загружается программа LUNEXSTEALER. Настоящая проверка никогда не требует Win+R или командной строки – такую страницу следует немедленно закрыть.
CERT-UA, национальная команда реагирования на киберугрозы Министерства связи и спецсвязи, зафиксировала массовое распространение вредоносного программного обеспечения. В сентябре 2026 года специалисты обнаружили более 100 скомпрометированных веб-сайтов, на которые злоумышленники добавили вредоносный JavaScript-код.
Посетителям таких ресурсов может показываться поддельная страница проверки Cloudflare, которая выглядит как обычное подтверждение того, что пользователь не является ботом. Затем пользователю предлагают скопировать и выполнить определенную команду; если он соглашается, на компьютер загружается и устанавливается вредоносная программа. Страница показывается не всем: атака направлена на пользователей Windows, которые попали на сайт через поисковые системы, такие как Google, DuckDuckGo, meta.ua и bigmir.net, и появляется не чаще двух раз за 12 часов.
CERT-UA подчеркивает: настоящая проверка CAPTCHA или Cloudflare никогда не требует нажимать Win+R, открывать командную строку или PowerShell, или вводить и запускать команды. Если такая просьба поступила, страницу необходимо немедленно закрыть, даже если сайт кажется знакомым или надежным.
Для этой кампании используется вредоносная программа LUNEXSTEALER, которая маскируется под обычные файлы и использует уязвимости системных драйверов Windows. После заражения на компьютере может незаметно появиться вредоносное расширение для браузера под названием «Microsoft Office Word Editor»: оно крадет логины, пароли и историю посещений, а злоумышленники получают возможность удаленно управлять зараженным компьютером. Для управления инфраструктурой атаки используются блокчейн-сети Polygon и Ethereum, что позволяет быстро изменять их настройки.
Системным администраторам CERT-UA рекомендуется ограничить доступ обычных пользователей к функции "Выполнить" через Win+R и установке MSI-пакетов без прав администратора, использовать Microsoft Vulnerable Driver Blocklist и разрешать в браузерах только проверенные расширения.