Comprometieron más de 100 sitios web utilizando páginas falsas de verificación de Cloudflare para propagar LUNEXSTEALER, un malware de Windows diseñado para robar información y recibir comandos remotos. Los atacantes insertaron JavaScript malicioso en páginas legítimas, convirtiendo un control de seguridad familiar en el punto de inicio de la infección.

Comprometieron más de 100 sitios web y utilizaron páginas de verificación falsas de Cloudflare para propagar LUNEXSTEALER, un malware para Windows capaz de robar información y aceptar comandos remotos.

La campaña convirtió las visitas a sitios web legítimos en oportunidades para infectar los ordenadores de los visitantes. Los atacantes añadieron JavaScript malicioso a las páginas de los sitios web, convirtiendo un control de seguridad familiar en el punto de partida de la infección.

Ataques similares de verificación falsa de Cloudflare han utilizado este enfoque para persuadir a los visitantes de que ejecuten comandos en lugar de descargar un archivo adjunto obviamente sospechoso. Los investigadores de CERT-UA identificaron la actividad en septiembre de 2026 y la rastrearon como UAC-0277.

CERT-UA afirmó en un informe  publicado el 30 de septiembre, que sus analistas examinaron tres variantes de instaladores utilizados para distribuir el malware.

El malware puede recopilar contraseñas guardadas en el navegador, tokens de autenticación, datos de carteras de criptomonedas e información del sistema.

Sus funciones de ejecución remota extienden el riesgo más allá del robo de información, permitiendo a los atacantes descargar software adicional y emitir comandos. El aviso no establece cuántos visitantes fueron infectados.

Cmprometen más de 100 sitios web con verificaciones falsas de Cloudflare

La página falsa pedía a los visitantes que ejecutaran un comando para demostrar que eran humanos. Seguir esa instrucción descargaba e instalaba un paquete MSI de Windows desde un servidor remoto. Esta técnica, conocida como ClickFix, confía en que los usuarios realicen la acción peligrosa ellos mismos.

El script inyectado obtenía su modo de funcionamiento y el dominio de verificación de un contrato inteligente en la red Polygon o Ethereum. Esa configuración permitía a los atacantes cambiar el destino de la campaña de forma centralizada sin tener que volver a cada sitio web comprometido para editar su código.

Tres modos controlaban su comportamiento: inactivo, seguimiento pasivo de visitantes y visualización de verificación falsa. El seguimiento pasivo enviaba información sobre el sitio web comprometido y la página de referencia a la infraestructura del atacante, mientras que el modo activo presentaba el desafío engañoso.

El desafío aparecía solo para usuarios de Windows que llegaban a través de motores de búsqueda, incluidos Google y DuckDuckGo. Se mostraba no más de dos veces en un periodo de 12 horas, haciendo que la exposición fuera selectiva en lugar de mostrar el mismo aviso malicioso a cada visitante.

Un instalador desplegaba LUNEXSTEALER directamente. Otro utilizaba un cargador que intentaba saltarse el Control de Cuentas de Usuario de Windows, añadía exclusiones a Microsoft Defender y explotaba el CVE-2023-20598 en un controlador de AMD vulnerable para interferir con las herramientas de seguridad.

Esto refleja el abuso de controladores vulnerables de Windows visto en otros ataques, donde controladores legítimos pero defectuosos ayudan a socavar las defensas. Un tercer instalador utilizaba un ejecutable legítimo para cargar una biblioteca maliciosa, que descifraba y lanzaba el stealer.

Toma de control del navegador

Dependiendo de las instrucciones de su servidor de control, LUNEXSTEALER puede instalar LUNARAXE, una extensión maliciosa para navegadores Chromium.

La extensión se hace pasar por una herramienta de edición de documentos de oficina mientras recopila cookies, historial de navegación, marcadores y credenciales introducidas en formularios de sitios web.

Sus capacidades se asemejan a las puertas traseras de extensiones de navegador maliciosas que combinan la vigilancia con el control remoto. Los atacantes pueden manipular pestañas, capturar pantallas, cambiar la configuración del proxy y ejecutar JavaScript en páginas web, lo que les otorga visibilidad de la actividad de navegación y control sobre lo que ven las víctimas.

Un componente de PowerShell de apoyo, NAIVEMESS, conecta la extensión con el sistema de archivos de Windows. A través de él, los atacantes pueden explorar directorios, leer y escribir archivos, y ejecutarlos.

Otro componente de la extensión elimina las políticas de seguridad de los sitios web que restringen los scripts y las transferencias de datos. El malware se comunica con su servidor de control a través de HTTP, mientras que la extensión también admite conexiones WebSocket para la interacción remota.

Su componente de fondo del navegador se reanuda después de reiniciar el navegador, y el stealer puede crear una tarea programada para mantener el acceso en los sistemas infectados.

CERT-UA recalca que la verificación humana genuina nunca requiere abrir el cuadro de diálogo Ejecutar de Windows, un símbolo del sistema o PowerShell para pegar y ejecutar comandos. Si te encuentras con tales instrucciones, debes cerrar la página, incluso cuando el sitio web te resulte familiar.

Los administradores deben restringir el acceso de los usuarios ordinarios al cuadro de diálogo Ejecutar a través de políticas de grupo y limitar la instalación de MSI sin derechos de administrador.

CERT-UA también recomienda supervisar los lanzamientos de instaladores que contengan URLs, habilitar la lista de bloqueo de controladores vulnerables de Microsoft y permitir únicamente extensiones de navegador aprobadas.

Las páginas de verificación sospechosas de ser falsas deben ser reportadas a CERT-UA. Los propietarios o administradores de sitios web comprometidos pueden contactar al equipo para obtener asistencia práctica y orientación sobre cómo los atacantes ganaron acceso.