CERT-UA、100以上の正規サイトを悪用した大規模マルウェア配布キャンペーンを警告
ウクライナの国家サイバーセキュリティ対応チーム CERT-UA は、2026年9月に100以上の正規ウェブサイトが改ざんされ、Windowsユーザーが検索エンジンから訪れた際に偽のCloudflare「私はロボットではありません」ページを表示し、Win+Rやコマンドプロンプト、PowerShellで悪意のあるコマンドを実行させる大規模なマルウェア配布キャンペーン（攻撃者クラスタ UAC-0277）を検知した。実行すると LUNEXSTEALER と「Microsoft Office Word Editor」を装った拡張機能がインストールされ、パスワードなどの窃取や端末のリモート操作が可能になる。
要点
- 2026年9月に CERT-UA が確認した改ざんされた正規 Web サイトは100件以上
- 攻撃は ClickFix 手法で、偽の Cloudflare 「私はロボットではありません」ページを用いて Windows ユーザーにコマンドのコピペ実行を促す
- 実行されると LUNEXSTEALER および「Microsoft Office Word Editor」を装った不正なブラウザ拡張機能がインストールされ、パスワード・閲覧履歴の窃取、端末の遠隔操作を可能にする
- 攻撃インフラの管理には Polygon と Ethereum のブロックチェーンネットワークが悪用されている
- キャンペーンは攻撃クラスタ UAC-0277 に帰属すると報じられている
- CERT-UA は正規の CAPTCHA や Cloudflare チェックが Win+R や PowerShell の操作を要求することはないと強調し、そのようなページは直ちに閉じるよう呼びかけている
- 報告・対応依頼先: [email protected]
- 管理者向け推奨: 一般ユーザーアカウントで Win+R を無効化、未署名の MSI パッケージのインストール制限、ブラウザ拡張機能の許可リスト運用
なぜ重要か
信頼されている正規の Web サイトを感染の踏み台にしている点が厄介で、標的になるのは技術的な知識が浅いユーザーも含めて急速に広がる。感染するとパスワードや閲覧履歴が盗まれ、パソコンを遠隔操作されるおそれがある。さらに、攻撃インフラが Polygon や Ethereum といったブロックチェーンネットワーク上に置かれており、設定を短時間で切り替えられるため、検知・遮断が難しい。CERT-UA は一般ユーザー向けの注意事項に加え、システム管理者向けの具体的な対策（Win+R の無効化、未署名 MSI のインストール制限、拡張機能の許可リスト化）を示しており、攻撃が進行中のいま、個人・組織の両方がすぐに対策を取る必要がある。
何が起きたか
ウクライナの国家コンピューター緊急対応チーム CERT-UA（国家特殊通信・情報保護庁 Держспецзв'язку 所管）は、2026年9月に検知された大規模なマルウェア配布キャンペーンについて警告を発出した。攻撃者は100を超える正規の Web サイトに対し、悪意のある JavaScript コードを注入した。標的は Windows ユーザーで、Google・DuckDuckGo・meta.ua・bigmir.net などの検索エンジンから該当サイトを訪れた場合に、偽の Cloudflare 検証ページが表示される仕組みになっている。
ページは「私はロボットではありません」の確認に見せかけ、Win+R、コマンドプロンプト、PowerShell などを使って特定のコマンドをコピー＆ペーストして実行するようユーザーに求める。ユーザーが指示通りに実行すると、マルウェアが自動的にダウンロード・インストールされる。最終的にインストールされるのは LUNEXSTEALER および「Microsoft Office Word Editor」を偽装したブラウザ拡張機能で、これらはログイン情報・パスワード・閲覧履歴を窃取し、攻撃者による端末のリモート操作を許してしまう。
CERT-UA はこのキャンペーンを UAC-0277 と呼ばれるハッカークラスタによるものと報じている。攻撃インフラは Polygon と Ethereum のブロックチェーンネットワーク上で管理され、設定を素早く秘匿裡に変更できるとされる。同じユーザーへの偽ページ表示は12時間に2回までに制限されている。
CERT-UA はユーザーに対し、正規の CAPTCHA や Cloudflare 検証が Win+R や PowerShell の操作を要求することは決してないと強調し、そのような要求を行うページは直ちに閉じるよう呼びかけている。改ざんされたサイトの運営者や攻撃を目撃したユーザーは [email protected] への報告を求められている。
背景
CERT-UA はウクライナの国家コンピューター緊急対応チームで、国家特殊通信・情報保護庁（Держспецзв'язку）の下で活動している。「ClickFix」と呼ばれる手法は、CAPTCHA や Cloudflare 検証といった正規のセキュリティチェックを装い、ユーザーに自分でマルウェアと思わないコマンドを実行させる社会工学の手口である。なお、正規の CAPTCHA や Cloudflare の検証が Win+R の押下やコマンドライン・PowerShell の起動、コマンドの貼り付けと実行を求めることは決してない。