100+ Compromised Websites Use Fake Cloudflare Checks to Deliver LunexStealer
The Hacker News · 7 oct, 08:57
CERT-UA ha identificado más de 100 sitios web comprometidos inyectados con JavaScript malicioso que distribuye LunexStealer, un malware ladrón de información. Los atacantes, atribuidos al grupo UAC-0277, utilizan una página falsa de verificación Cloudflare que engaña a los usuarios para ejecutar comandos (técnica ClickFix), descargando e instalando paquetes MSI maliciosos que entregan el stealer junto con la extensión LUNARAXE para robo de credenciales y cookies del navegador.
La campaña detectada en septiembre de 2026 utiliza la técnica EtherHiding para recuperar configuraciones desde contratos inteligentes en las redes Polygon y Ethereum, activando tres modos operativos: inactivo, rastreo pasivo de visitantes, y distribución de la página falsa (limitada a usuarios de Windows desde búsquedas, máximo dos veces en 12 horas).
Se han descubierto tres variantes del paquete MSI: la primera instala directamente LunexStealer; la segunda elude UAC, configura exclusiones en Windows Defender, abusa del controlador vulnerable AMD "PDFWKRNL.sys" para cegar software de seguridad, y descarga el stealer remoto; la tercera lo ejecuta mediante DLL sideloading con el binario legítimo "FnHotkeyUtility.exe". LunexStealer instala además LUNARAXE (falsa extensión "Microsoft Office Word Editor") que captura cookies, historial y credenciales, y NAIVEMESS, un componente auxiliar que otorga acceso al sistema de archivos Windows mediante PowerShell para transferencia de archivos en Base64 y ejecución de comandos.
Puntos clave
- Más de 100 sitios web comprometidos distribuyen LunexStealer con página falsa de Cloudflare
- Tres variantes de MSI: directa, con bypass UAC y vulnerable driver AMD, DLL sideloading
- LUNARAXE captura credenciales, cookies e historial; NAIVEMESS accede al sistema de archivos
- Limita instalación de extensiones a whitelist, bloquea drivers vulnerables y ejecución de msiexec