CERT-UA: 100'den fazla meşru web sitesi ClickFix ile enfekte edildi
Ukrayna'nın CERT-UA ekibi, Eylül 2026'da 100'den fazla meşru web sitesinin ClickFix yöntemiyle ele geçirildiğini ve siber saldırganların UAC-0277 kümesi adına, arama motorlarından gelen Windows kullanıcılarına sahte Cloudflare doğrulama sayfaları gösterdiğini duyurdu. Kullanıcıların Win+R, Komut İstemi veya PowerShell üzerinden zararlı komutları çalıştırmaları isteniyor; komutu çalıştıranların bilgisayarına LUNEXSTEALER ve "Microsoft Office Word Editor" görünümlü kötü amaçlı bir tarayıcı eklentisi yükleniyor.
Öne çıkanlar
- Eylül 2026'da 100'den fazla meşru web sitesine saldırganlar tarafından zararlı JavaScript kodu eklendiği tespit edildi.
- Saldırı, CERT-UA tarafından UAC-0277 kümesine atfediliyor.
- Zararlı sayfa yalnızca Google, DuckDuckGo, meta.ua ve bigmir.net gibi arama motorlarından gelen Windows kullanıcılarına gösteriliyor.
- ClickFix tekniğinde sahte Cloudflare "Ben robot değilim" sayfası, kullanıcıdan Win+R, Komut İstemi veya PowerShell üzerinden komut kopyalayıp çalıştırmasını istiyor.
- Komut çalıştırıldığında LUNEXSTEALER yardımcı programı ve "Microsoft Office Word Editor" görünümlü bir tarayıcı eklentisi sessizce yükleniyor.
- Eklenti oturum açma bilgilerini, parolaları ve gezinti geçmişini çalıyor; saldırganlara uzaktan erişim ve tam cihaz kontrolü sağlıyor.
- Saldırganlar altyapılarını Polygon ve Ethereum blokzincir ağları üzerinden yönetiyor; CERT-UA, sahte doğrulama sayfasıyla karşılaşanların veya siteleri ele geçirilmiş site sahiplerinin [email protected] adresine başvurmasını istiyor.
Neden önemli
Tehdit, günlük olarak ziyaret edilen güvenilir sitelerin enfekte olması nedeniyle kurban havuzunu genişletiyor. Sosyal mühendislik temelli saldırı teknik bilgisi düşük kullanıcıları bile tuzağa düşürebiliyor. Başarılı bir enfeksiyon, parolaların, gezinti geçmişinin çalınması ve bilgisayarın uzaktan ele geçirilmesi anlamına geliyor. Saldırganların Polygon ve Ethereum blokzincirlerini kullanarak ayarları hızla değiştirmesi, savunma ve engelleme çalışmalarını zorlaştırıyor. CERT-UA, sistem yöneticilerine Win+R tuş kombinasyonunun engellenmesi, imzasız MSI paketlerinin kısıtlanması ve tarayıcı eklentileri için izin listelerinin kullanılması gibi somut savunma adımları öneriyor.
Ne oldu
Ukrayna'nın ulusal siber olaylara müdahale ekibi CERT-UA, Eylül 2026'da 100'den fazla meşru web sitesinin saldırganlar tarafından ele geçirildiğini ve bu sitelere zararlı JavaScript kodu eklendiğini açıkladı. Saldırı, ClickFix adı verilen ve CERT-UA tarafından UAC-0277 kümesine atfedilen bir yöntemle yürütülüyor. Arama motorlarından bu sitelere ulaşan Windows kullanıcılarına sahte bir Cloudflare doğrulama sayfası gösteriliyor; kullanıcıdan standart "Ben robot değilim" kontrolünün parçası olduğu iddiasıyla Win+R kısayolu, Komut İstemi veya PowerShell üzerinden belirli bir komutu kopyalayıp çalıştırması isteniyor. Komutu çalıştıran kullanıcının bilgisayarına LUNEXSTEALER adlı bir hırsız yazılımı ve "Microsoft Office Word Editor" görünümünde bir kötü amaçlı tarayıcı eklentisi sessizce yükleniyor; bu eklenti parolaları, oturum açma bilgilerini ve gezinti geçmişini çalarken saldırganlara uzaktan tam cihaz kontrolü sağlıyor. Saldırganlar altyapılarını Polygon ve Ethereum blokzincir ağları üzerinden yönetiyor, ayarları hızla değiştirerek izlerini gizleyebiliyor. CERT-UA, meşru CAPTCHA veya Cloudflare kontrollerinin Win+R, Komut İstemi veya PowerShell açılmasını ya da komut yapıştırılıp çalıştırılmasını asla istemediğini vurguluyor; böyle bir sayfayla karşılaşanların sayfayı kapatması, site sahiplerinin ise [email protected] üzerinden ekibe bildirimde bulunması isteniyor.
Arka plan
CERT-UA, Ukrayna'nın ulusal siber olaylara müdahale ekibi olup Ukrayna Özel Haberleşme ve Bilgi Koruma Devlet Servisi (Держспецзв'язку) bünyesinde faaliyet gösteriyor. ClickFix olarak bilinen teknik, kullanıcıları CAPTCHA veya Cloudflare gibi meşru güvenlik kontrollerini taklit eden sahte sayfalarla kandırarak kendi bilgisayarlarında zararlı komutlar çalıştırmaya ikna etmeye dayanıyor. Meşru CAPTCHA ve Cloudflare kontrolleri, kullanıcılardan Win+R tuş kombinasyonuna basmalarını, Komut İstemi veya PowerShell açmalarını ya da herhangi bir komutu yapıştırıp çalıştırmalarını asla istemiyor.