Hơn 100 website bị chèn mã độc để phát tán LunexStealer
"CERT-UA reported that more than 100 compromised websites were injected with malicious JavaScript to display fake Cloudflare verification pages and trick Windows users into running commands that download MSI packages delivering LunexStealer. The campaign, attributed to UAC-0277, uses ClickFix and EtherHiding techniques, and some MSI variants attempt UAC bypass, Defender exclusion changes, vulnerable driver abuse, and DLL sideloading; no CVE numbers were cited."
Rủi ro chiếm đoạt thông tin đăng nhập, đánh cắp cookie/lịch sử duyệt web và có thể thực thi mã từ xa thông qua tiện ích trình duyệt độc hại.
Có thể gây rò rỉ tài khoản doanh nghiệp, gián đoạn người dùng cuối và tăng chi phí xử lý sự cố, đặc biệt nếu trình duyệt là kênh làm việc chính.
CERT-UA cho biết hơn 100 website bị xâm nhập đã bị chèn JavaScript độc hại để hiển thị trang xác minh giả mạo Cloudflare và lừa người dùng Windows chạy lệnh tải về MSI package chứa LunexStealer (còn gọi là Psychedelic Stealer).
Chiến dịch này được gán cho nhóm UAC-0277 và được ghi nhận trong tháng 9/2026. Theo mô tả, kẻ tấn công dùng kỹ thuật ClickFix để khiến nạn nhân tự thực thi lệnh, đồng thời dùng EtherHiding để lấy tên miền và chế độ hoạt động từ smart contract trên Polygon hoặc Ethereum. Ở chế độ hiển thị, trang giả chỉ nhắm tới người dùng Windows truy cập từ kết quả tìm kiếm và không quá 2 lần trong 12 giờ.
CERT-UA cũng ghi nhận 3 biến thể MSI: một biến thể cài trực tiếp stealer; một biến thể cố gắng bypass UAC, thêm ngoại lệ cho Microsoft Defender, lạm dụng driver dễ tổn thương PDFWKRNL.sys; và một biến thể dùng DLL sideloading qua FnHotkeyUtility.exe và spkvol.dll.
Khuyến nghị: hạn chế chạy lệnh từ hộp thoại Run, chặn cài MSI với tài khoản không có quyền quản trị, theo dõi msiexec.exe, bật vulnerable driver blocklist, và chỉ cho phép cài browser extensions đã được phê duyệt.