CERT-UA מזהירה ממתקפת סייבר נרחבת שמשתמשת באתרים לגיטימיים להפצת נוזקה
צוות CERT-UA של אוקראינה, הפועל תחת השירות הממלכתי לתקשורת מיוחדת והגנת מידע, חשף מתקפת סייבר נרחבת שמיוחסת לקבוצת ההאקרים UAC-0277. במהלך ספטמבר 2026 הודבקו יותר מ-100 אתרים לגיטימיים שבהם הושתל קוד JavaScript זדוני. התוקפים מציגים למבקרים מ-Windows שהגיעו ממנועי חיפוש דף אימותן Cloudflare מזויף ומנסים לשכנע אותם להעתיק ולהפעיל פקודה דרך Win+R, שורת פקודה או PowerShell, מה שמוביל להתקנת גנב הסיסמאות LUNEXSTEALER והרחבת דפדפן זדונית המתחזה ל-"Microsoft Office Word Editor".
עיקרי הדברים
- בספטמבר 2026 זיהתה CERT-UA למעלה מ-100 אתרים לגיטימיים שאליהם הוזרק קוד JavaScript זדוני
- המתקפה מיוחסת לקבוצת ההאקרים UAC-0277
- ההודעה המזויפת של "אני לא רובוט" מוצגת רק למשתמשי Windows שהגיעו ממנועי חיפוש כמו Google, DuckDuckGo, meta.ua או bigmir.net
- התוקפים משתמשים ברשתות הבלוקצ'יין Polygon ו-Ethereum כדי לנהל את תשתית המתקפה ולהסתיר את עקבותיהם
- לאחר ההדבקה מותקן גנב המידע LUNEXSTEALER והרחבת דפדפן שמתחזה ל-"Microsoft Office Word Editor", המאפשרת גניבת סיסמאות, היסטוריית גלישה ושליטה מרחוק במחשב
- CERT-UA מדגישה שאף בדיקת CAPTCHA או Cloudflare לגיטימית אינה דורשת ללחוץ Win+R, לפתוח שורת פקודה או PowerShell, או להדביק ולהפעיל פקודות
- בעלי אתרים שנפגעו ומשתמשים שנתקלו בדף המתחזה מתבקשים לפנות ל-CERT-UA בכתובת [email protected]
למה זה חשוב
מתקפה זו מסוכנת במיוחד משום שהיא מנצלת אתרים לגיטימיים ומוכרים כערוצי הדבקה, ובכך מרחיבה דרמטית את מאגר הקורבנות הפוטנציאליים. ההסתמכות על הנדסה חברתית – דף CAPTCHA מזויף שמבקש מהמשתמש להפעיל פקודות בעצמו – הופכת את המתקפה ליעילה גם מול משתמשים שאינם טכניים. במידה וההדבקה מצליחה, נשקפת סכנה לגניבת סיסמאות, חשבונות, היסטוריית גלישה ואף שליטה מרחוק מלאה במכשיר. שימוש התוקפים בתשתית מבוססת בלוקצ'יין (Polygon ו-Ethereum) מאפשר להם להחליף הגדרות במהירות ובחשאיות, מה שמקשה על חסימת התקיפות. האיום פעיל כעת כנגד משתמשי Windows שמגיעים ממנועי חיפוש מרכזיים, כולל מנועים דוברי אוקראינית, ולכן CERT-UA פרסמה הנחיות מגנה ספציפיות וערוץ לדיווח על אירועים.
מה קרה
צוות CERT-UA, הפועל תחת השירות הממלכתי לתקשורת מיוחדת והגנת מידע של אוקראינה (Держспецзв'язку), חשף מתקפת סייבר נרחבת המיוחסת לקבוצת ההאקרים UAC-0277. במהלך ספטמבר 2026 זיהו המומחים יותר מ-100 אתרים לגיטימיים שאליהם הוזרק קוד JavaScript זדוני. התוקפים משתמשים בטכניקת ClickFix: כאשר משתמש Windows מגיע לאחד האתרים הנגועים דרך מנוע חיפוש, מוצג לו דף אימות Cloudflare מזויף שמבקש ממנו, תחת הצדקת "אני לא רובוט", להעתיק פקודה ולהפעיל אותה באמצעות צירוף המקשים Win+R, שורת הפקודה או PowerShell. אם המשתמש אכן מפעיל את הפקודה, מורד ומותקן על מחשבו גנב המידע LUNEXSTEALER, שמתחזה לקבצים לגיטימיים ומנצל חולשות בדרייברים של מערכת ההפעלה Windows. בנוסף מותקנת בדפדפן הרחבה זדונית המתחזה ל-"Microsoft Office Word Editor", המאפשרת גניבת שמות משתמש, סיסמאות והיסטוריית גלישה, ומעניקה לתוקפים שליטה מרחוק במחשב הקורבן. כדי לנהל את תשתית המתקפה ולהחליף הגדרות במהירות מבלי להותיר עקבות, משתמשים התוקפים ברשתות הבלוקצ'יין Polygon ו-Ethereum. CERT-UA מדגישה כי אף בדיקת CAPTCHA או Cloudflare לגיטימית אינה דורשת מהמשתמש ללחוץ על Win+R, לפתוח שורת פקודה או PowerShell, או להדביק ולהפעיל פקודות, וקוראת לסגור מיידית כל דף שמציג דרישה כזו. לבעלי אתרים שנפגעו ולמשתמשים שנתקלו בדף המתחזה מומלץ לפנות לכתובת [email protected]. למנהלי מערכות מומלץ לחסום את שילוב המקשים Win+R עבור חשבונות משתמשים רגילים, להגביל התקנת חבילות MSI לא חתומות ללא הרשאות מנהל, ולהשתמש ברשימות היתרים להרחבות דפדפן.
רקע
CERT-UA הוא הצוות הלאומי של אוקראינה לתגובה למצבי חירום במחשבים, הפועל תחת השירות הממלכתי לתקשורת מיוחדת והגנת מידע (Держспецзв'язку). טכניקת ClickFix מתמקדת בהטעיית משתמשים להפעיל בעצמם פקודות זדוניות על ידי חיקוי בדיקות אבטחה לגיטימיות כגון CAPTCHA או אימותי Cloudflare. בדיקות CAPTCHA ו-Cloudflare לגיטימיות אינן דורשות מהמשתמש ללחוץ על Win+R, לפתוח שורת פקודה או PowerShell, או להדביק ולהפעיל פקודות כלשהן.