CERT-UA advierte de una campaña masiva de malware en más de 100 sitios legítimos
El equipo de respuesta a emergencias informáticas de Ucrania, CERT-UA, dependiente del Servicio Estatal de Comunicaciones Especiales (Derzhspetszvyazok), detectó una campaña de distribución de malware a gran escala atribuida al clúster UAC-0277. En septiembre de 2026 se identificaron más de 100 sitios web legítimos comprometidos con código JavaScript malicioso. Los atacantes utilizan la técnica ClickFix, mostrando a usuarios de Windows que llegan desde buscadores una falsa página de verificación de Cloudflare que les induce a copiar y ejecutar comandos en el sistema, lo que deriva en la instalación del ladrón de credenciales LUNEXSTEALER y de una extensión de navegador disfrazada de "Microsoft Office Word Editor".
Puntos clave
- CERT-UA, dependiente de Derzhspetszvyazok, descubrió la campaña y la atribuye al clúster UAC-0277.
- En septiembre de 2026 se detectaron más de 100 sitios web legítimos comprometidos con JavaScript malicioso.
- Se usa la técnica ClickFix: una falsa página de verificación de Cloudflare que pide ejecutar comandos vía Win+R, Símbolo del sistema o PowerShell.
- La página maliciosa se muestra solo a usuarios de Windows que llegan desde buscadores como Google, DuckDuckGo, meta.ua o bigmir.net, y como máximo dos veces cada 12 horas.
- Al ejecutar el comando se instala el ladrón LUNEXSTEALER, disfrazado de archivo legítimo y explotando vulnerabilidades de controladores de Windows.
- Tras la infección se instala una extensión de navegador que se hace pasar por "Microsoft Office Word Editor" y permite robar contraseñas, historiales de navegación y controlar el equipo a distancia.
- Los atacantes gestionan la infraestructura mediante las redes blockchain Polygon y Ethereum para modificar parámetros de forma rápida y ocultar su rastro.
- CERT-UA recomienda a administradores bloquear Win+R para cuentas normales, restringir la instalación de MSI sin firma y usar listas blancas de extensiones, y contactar a [email protected] en caso de infección o sitio comprometido.
Por qué importa
La campaña convierte más de un centenar de sitios legítimos en vectores de infección, ampliando enormemente el número potencial de víctimas y aprovechando la confianza del usuario en portales conocidos. El ataque se apoya en ingeniería social —una página que imita a Cloudflare pidiendo ejecutar comandos manualmente— y resulta eficaz incluso con usuarios sin conocimientos técnicos. Una infección exitosa compromete contraseñas, historiales de navegación y el control completo del dispositivo. Además, los atacantes rotan su infraestructura en las redes Polygon y Ethereum, lo que dificulta la respuesta de los defensores. CERT-UA ha publicado recomendaciones concretas de protección y un canal de contacto para incidentes.
Qué ha ocurrido
CERT-UA, el equipo nacional de respuesta a emergencias informáticas de Ucrania, dependiente del Servicio Estatal de Comunicaciones Especiales y Protección de la Información (Derzhspetszvyazok), identificó una nueva campaña a gran escala de distribución de malware que el equipo atribuye al clúster UAC-0277. Durante septiembre de 2026 se detectaron más de 100 recursos web legítimos en los que los atacantes inyectaron código JavaScript malicioso. El método empleado es la técnica ClickFix: cuando un usuario de Windows accede al sitio desde un buscador (Google, DuckDuckGo, meta.ua, bigmir.net, entre otros), se le muestra una página que imita la verificación de Cloudflare. Bajo el pretexto de un control habitual "No soy un robot", la página indica al usuario que copie y ejecute un comando, ya sea mediante la combinación Win+R, el Símbolo del sistema o PowerShell. La página se muestra como máximo dos veces cada 12 horas al mismo visitante. Si el usuario ejecuta el comando, se descarga e instala en su equipo software malicioso, en concreto el ladrón LUNEXSTEALER, disfrazado de archivo legítimo y que explota vulnerabilidades en controladores de Windows para eludir las defensas del sistema. Tras la infección se añade al navegador una extensión que se hace pasar por "Microsoft Office Word Editor", capaz de robar credenciales, contraseñas e historiales de navegación, y de dar a los atacantes control remoto del dispositivo. Para gestionar la infraestructura y ocultar su rastro, los operadores de la campaña recurren a las redes blockchain Polygon y Ethereum, lo que les permite modificar parámetros de forma casi instantánea. CERT-UA subraya que ninguna verificación legítima (CAPTCHA, Cloudflare u otras) pide pulsar Win+R, abrir la línea de comandos o PowerShell, ni pegar y ejecutar instrucciones, y aconseja cerrar de inmediato cualquier página que lo solicite. La agencia también recomienda a los administradores de sistemas bloquear el diálogo "Ejecutar" (Win+R) para cuentas de usuario estándar, restringir la instalación de paquetes MSI sin firma sin derechos de administrador y utilizar listas blancas de extensiones del navegador. Los propietarios de sitios comprometidos y los usuarios que detecten la página falsa pueden escribir a [email protected] para recibir instrucciones y asistencia.
Contexto
CERT-UA es el equipo nacional de respuesta a emergencias informáticas de Ucrania y opera bajo el Servicio Estatal de Comunicaciones Especiales y Protección de la Información (Derzhspetszvyazok). La técnica ClickFix engaña a los usuarios para que ejecuten ellos mismos comandos maliciosos imitando comprobaciones de seguridad legítimas, como CAPTCHA o verificaciones de Cloudflare. Ningún CAPTCHA ni verificación de Cloudflare legítimos solicita pulsar Win+R, abrir la línea de comandos o PowerShell, ni pegar y ejecutar instrucciones.