LunexStealer colpisce 100+ siti: la falsa verifica Cloudflare ClickFix svuota credenziali Windows

Oltre 100 siti web compromessi sono stati usati per distribuire LunexStealer, un malware di tipo infostealer che punta a rubare dati e credenziali. La campagna è stata individuata a settembre 2026 e si basa su una tecnica di social engineering particolarmente insidiosa per gli utenti Windows.

Il meccanismo di infezione parte da pagine legittime violate, nelle quali gli aggressori hanno iniettato JavaScript malevolo. Quando la vittima visita il sito, viene mostrata una falsa pagina di verifica Cloudflare che simula un controllo anti-bot e chiede di eseguire un comando sul computer per dimostrare di essere umani.

Tecnica ClickFix e condizioni di visualizzazione selettiva

Questa esca è riconducibile al metodo ClickFix, che induce l’utente a lanciare manualmente un comando capace di scaricare e installare un pacchetto MSI dannoso da un server remoto.

Un dettaglio rilevante è che la pagina fraudolenta viene mostrata solo in condizioni specifiche, per ridurre la probabilità di essere scoperta. In particolare, il contenuto appare a utenti Windows che arrivano dai risultati dei motori di ricerca e non più di due volte ogni 12 ore, rendendo la distribuzione più selettiva e difficile da analizzare.

Uso di EtherHiding tramite smart contract

La catena di distribuzione utilizza anche EtherHiding, una tecnica che sfrutta smart contract su reti blockchain come Polygon o Ethereum per recuperare informazioni operative, tra cui il dominio da cui caricare la pagina di verifica e la modalità di funzionamento dello script.

Le modalità includono inattiva, tracciamento passivo dei visitatori con raccolta di dati sul sito e sulla pagina di provenienza, e attivazione della falsa verifica.

Varianti dei pacchetti MSI osservate

• Installazione diretta: una variante installa direttamente LunexStealer.
• Bypass e difese disattivate: un’altra tenta di aggirare il Controllo Account Utente, imposta esclusioni in Microsoft Defender e sfrutta un driver AMD legittimo ma vulnerabile per ostacolare i software di sicurezza, quindi scarica ed esegue lo stealer.
• DLL sideloading: una terza variante usa DLL sideloading tramite un eseguibile legittimo che carica una DLL malevola, la quale decritta ed esegue il payload.

Funzionalità di LunexStealer ed estensione browser

LunexStealer può anche installare un’estensione browser malevola mascherata da componente di produttività, in grado di rubare cookie, cronologia e credenziali inserite nei moduli web, oltre a permettere controllo remoto del browser ed esecuzione di JavaScript arbitrario.

Un componente aggiuntivo consente accesso al file system Windows tramite PowerShell e trasferimento di file in blocchi Base64, con archiviazione preventiva in ZIP.