Una campaña ClickFix compromete más de 100 sitios en Ucrania para distribuir Lunex Stealer

CERT-UA descubrió en septiembre una campaña que había comprometido más de 100 sitios web legítimos para infectar a usuarios ucranianos con Lunex Stealer. Entre las páginas afectadas había una tienda online y un sitio de dibujos para colorear.

Los visitantes veían una falsa página de verificación de Cloudflare que les pedía copiar y ejecutar un comando en PowerShell para demostrar que eran humanos. En realidad, las instrucciones descargaban e instalaban el malware, capaz de robar contraseñas, tokens de autenticación y datos de monederos de criptomonedas, además de permitir el acceso remoto a los equipos.

En algunos casos, Lunex instalaba LunarAxe, una extensión maliciosa para navegadores basados en Chromium que se hacía pasar por “Microsoft Office Word Editor”. La extensión podía sustraer cookies, historial de navegación y credenciales, así como manipular pestañas, ejecutar JavaScript, realizar capturas de pantalla y modificar la configuración del proxy.

Combinada con el componente NaiveMess, LunarAxe también permitía acceder al sistema de archivos, explorar directorios, leer y sobrescribir archivos y ejecutar programas. CERT-UA no ha identificado a las víctimas ni ha indicado cuántos equipos fueron infectados.

El organismo no ha atribuido la operación a un grupo conocido y sigue la actividad bajo el identificador UAC-0277. La empresa suiza Ontinue había documentado a principios de septiembre actividad similar contra usuarios de habla ucraniana y describió Lunex como una plataforma de malware como servicio utilizada por varios operadores independientes.

Según Ontinue, Lunex está desarrollado por un equipo o desarrollador rusohablante y apunta a siete navegadores basados en Chromium. Sus investigadores localizaron 28 paneles de operadores alojados en 13 países y señalaron que el acceso a los archivos podía persistir incluso después de eliminar el ejecutable principal del malware.

Fuente: The Record.