CERT-UA: ჰაკერებმა ClickFix-ის ტექნიკით 100-ზე მეტი საიტი გამოიყენეს მავნე პროგრამის გასავრცელებლად
უკრაინის CERT-UA-მ გამოაცხადა მავნე პროგრამის ფართომასშტაბიანი გავრცელების კამპანიის შესახებ, რომელიც UAC-0277 კლასტერს მიეკუთვნება. 2026 წლის სექტემბერში 100-ზე მეტ ლეგიტიმურ ვებ-რესურსს დაემატა მავნე JavaScript-კოდი. ვიზიტორებს, რომლებიც საძიებო სისტემებიდან Windows-ით შემოდიან, ყალბი Cloudflare-ის „მე რობოტი არ ვარ“ გვერდი ეჩვენებათ, რაც ბრძანების გაშვებას სთხოვს. შედეგად LUNEXSTEALER სტილერი და ყალბი „Microsoft Office Word Editor“-ის სახელით ბრაუზერის გაფართოება ყენდება.
მთავარი მომენტები
- CERT-UA-მ 2026 წლის სექტემბერში 100-ზე მეტ საიტზე მავნე JavaScript-კოდის დამატება დააფიქსირა.
- კამპანია UAC-0277 კლასტერს მიეკუთვნება.
- გამოიყენება ClickFix-ის ტექნიკა — ყალბი Cloudflare-ის „მე რობოტი არ ვარ“ გვერდი.
- მომხმარებელს Win+R, Command Prompt-ის ან PowerShell-ის მეშვეობით ბრძანების კოპირება და გაშვება ევალება.
- ინფიცირებისას ყენდება LUNEXSTEALER სტილერი და ყალბი „Microsoft Office Word Editor“-ის ბრაუზერის გაფართოება.
- მავნე გვერდი მხოლოდ Windows-ის მომხმარებლებს ეჩვენებათ, რომლებიც Google, DuckDuckGo, meta.ua ან bigmir.net-იდან მოდიან.
- ადმინისტრატორებს ურჩევენ ჩვეულებრივი მომხმარებლებისთვის Win+R-ის დაბლოკვას, unsigned MSI-პაკეტების შეზღუდვას და ბრაუზერის გაფართოებების allowlist-ის გამოყენებას.
რატომ არის მნიშვნელოვანი
კამპანია განსაკუთრებით საშიშია, რადგან ინფიცირების ვექტორად 100-ზე მეტი ლეგიტიმური, სანდო საიტი გამოიყენება — მსხვერპლთა წრე მკვეთრად ფართოვდება. სოციალური ინჟინერიის ხრიკი (ყალბი CAPTCHA, რომელიც ბრძანების თვითგაშვებას სთხოვს) ტექნიკურად ცოდნის მქონე მომხმარებლებსაც კი ატყუებს. წარმატებული ინფიცირებისას კი მოპარული პაროლები, დათვალიერების ისტორია და მოწყობილობის სრული კონტროლი ხდება საფრთხის ქვეშ. ინფრასტრუქტურის მართვისთვის Polygon-ისა და Ethereum-ის ქსელების გამოყენება დამცველებს ართულებს — პარამეტრების სწრაფი შეცვლა ბლოკირებას ეფექტურს ხდის. ამ ეტაპზე საფრთხე რეალურად აქტიურია Windows-ის მომხმარებლების მიმართ, მათ შორის უკრაინულენოვანი საძიებო სისტემებიდან (meta.ua, bigmir.net) შემოსულებისას.
რა მოხდა
უკრაინის კომპიუტერული საგანგებო რეაგირების ჯგუფმა CERT-UA-მ (რომელიც დერჟსპეცზვ'იაზკის დაქვემდებარებაში მოქმედებს) ახალი მავნე პროგრამის ფართომასშტაბიანი გავრცელების კამპანია გამოავლინა. 2026 წლის სექტემბერში დაფიქსირდა 100-ზე მეტი კომპრომეტირებული ვებ-რესურსი, რომლებშიც თავდამსხმელებმა მავნე JavaScript-კოდი ჩა�ამატეს.
თავდასხმის სქემა ClickFix-ის ტექნიკას იყენებს. Windows-ის მომხმარებელს, რომელიც საძიებო სისტემიდან (Google, DuckDuckGo, meta.ua, bigmir.net და სხვ.) შემოდის, ლეგიტიმური საიტის ნაცვლად ყალბი Cloudflare-ის „მე რობოტი არ ვარ“ გვერდი ეჩვენება. გვერდი მომხმარებელს ბრძანების კოპირებას და Win+R-ის, Command Prompt-ის ან PowerShell-ის მეშვეობით მის გაშვებას სთხოვს. თითოეულ ვიზიტორს ეს ყალბი ფანჯარა 12 საათში მაქსიმუმ ორჯერ ეჩვენება.
ბრძანების გაშვებისას მოწყობილობაზე ავტომატურად იტვირთება და ყენდება LUNEXSTEALER სტილერი, რომელიც ლეგიტიმური ფაილების სახით არის შენიღმული და Windows-ის სისტემური დრაივერების მოწყვლადობებს იყენებს. პარალელურად ბრაუზერში ჩუმად ყენდება მავნე გაფართოება „Microsoft Office Word Editor“-ის სახელით, რომელიც ათავსებს ლოგინებს, პაროლებს, დათვალიერების ისტორიას და თავდამტეს მოწყობილობის დისტანციურ კონტროლს აძლევს. ინფრასტრუქტურის მართვისთვის თავდამსხმელები Polygon-ისა და Ethereum-ის ბლოკჩეინ ქსელებს იყენებენ, რაც მათ პარამეტრების სწრაფ და შეუმჩნეველ შეცვლას აძლევს.
კამპანია UAC-0277 კლასტერს მიეკუთვნება. CERT-UA ხაზს უსვამს, რომ არცერთი ლეგიტიმური CAPTCHA ან Cloudflare-შემოწმება არასოდეს მოითხოვს Win+R-ის დაჭერას, Command Prompt-ის ან PowerShell-ის გახსნას ან ბრძანებების ჩასმა-გაშვებას — ასეთი მოთხოვნის მქონე გვერდი დაუყოვნებლივ უნდა დაიხუროს. კომპრომეტირებული საიტის მფლობელებს და ასეთ გვერდთან შეჯახებულ მომხმარებლებს ურჩევენ დაუკავშირდნენ CERT-UA-ს მისამართზე [email protected]. სისტემურ ადმინისტრატორებს კი რეკომენდებული აქვთ: Win+R „Run“ დიალოგის დაბლოკვა ჩვეულებრივი მომხმარებლებისთვის, ადმინისტრატორის უფლებების გარეშე unsigned MSI-პაკეტების დაყენების შეზღუდვა და ბრაუზერის გაფართოებების allowlist-ების გამოყენება.
კონტექსტი
CERT-UA უკრაინის ეროვნული კომპიუტერული საგანგებო რეაგირების ჯგუფია, რომელიც სპეციალური კავშირგაბმულობისა და ინფორმაციული დაცვის სახელმწიფო სამსახურის (Держспецзв'язку / Derzhspetszvyazok) დაქვემდებარებაში მოქმედებს.
ClickFix-ის ტექნიკა სოციალური ინჟინერიის მეთოდია, რომელიც მომხმარებელს ატყუებს და მავნე ბრძანების თვითგაშვებას აიძულებს — CAPTCHA-ს ან Cloudflare-ის შემოწმების იმიტაციით. ლეგიტიმური CAPTCHA-ები და Cloudflare-ის შემოწმებები არასოდეს მოითხოვს Win+R-ის დაჭერას, Command Prompt-ის ან PowerShell-ის გახსნას, ან ბრძანებების ჩასმა-გაშვებას.