Cyberaanvallen worden steeds slimmer in het verbergen van hun bedoelingen. In september 2026 signaleerde CERT-UA een campagne waarbij meer dan 100 gecompromitteerde websites bezoekers lokken met fake Cloudflare checks. Het doel: het installeren van informatie-stealer LunexStealer (ook bekend als Psychedelic Stealer).
Wat dit extra lastig maakt, is dat de misleiding niet draait om een “typische” phishingpagina, maar om een nepverificatie die gebruikers aanzet tot het uitvoeren van een commando. Daarna volgen downloads en installaties die zijn ingericht om gegevens uit browsers én bestanden te verzamelen.
Hoe fake Cloudflare checks bezoekers naar malware leiden
Volgens CERT-UA krijgen bezoekers bij het openen van een geïnjecteerde website een vervalste verificatiepagina te zien. De pagina doet alsof Cloudflare controleert of de bezoeker een mens is. In plaats van alleen een controle te tonen, stuurt de pagina bezoekers echter naar een actie: het uitvoeren van een opdracht.
Wanneer die opdracht wordt uitgevoerd, wordt een schadelijk MSI-pakket gedownload en geïnstalleerd vanaf een externe server. CERT-UA koppelt dit aan de ClickFix-techniek: een route waarbij een “fix” of verificatiestap wordt gebruikt als trigger voor de daadwerkelijke malware-installatie.
De campagne gebruikt daarnaast EtherHiding om de herkomst van de geladen resources te achterhalen. Ook wordt er informatie over de werkmodus opgehaald via een smart contract op het Polygon- of Ethereum-netwerk. Daarmee kunnen aanvallers gedrag afstemmen op omstandigheden.
Drie werkmodi in de campagne
CERT-UA beschrijft drie modi voor de geïnjecteerde component:
- Modus 0: inactief.
- Modus 1: passieve tracking, inclusief het verzamelen van gegevens over de website en de pagina waar de bezoeker vandaan komt.
- Modus 2: het tonen van de nepverificatiepagina.
In modus 2 verschijnt de valse verificatiepagina alleen onder specifieke voorwaarden: het is gericht op Windows-gebruikers die vanaf zoekresultaten op de site terechtkomen, en zelfs dan slechts beperkt in frequentie (niet vaker dan twee keer binnen 12 uur).
Varianten van LunexStealer: van UAC-bypass tot DLL sideloading
Onderzoekers hebben ten minste drie varianten van de MSI-installers gevonden. Die varianten verschillen in aanpak en doelen, maar leiden uiteindelijk naar installatie en uitvoering van LunexStealer.
Variant 1: rechtstreekse installatie
Variant 1 installeert LunexStealer op het systeem. Dit is de meest directe route: de aanval zet in op het snel verkrijgen van de stealer op de endpoint.
Variant 2: omzeilen van beveiligingen
Variant 2 richt zich op het omzeilen van Windows beveiligingsmechanismen. CERT-UA meldt dat deze variant:
- pogingen doet om UAC (User Account Control) te omzeilen,
- instellingen aanpast voor Microsoft Defender door uitsluitingen te configureren,
- een legitieme maar kwetsbare driver inzet (PDFWKRNL.sys) om beveiligingssoftware “blind” te maken,
- daarna LunexStealer ophaalt en uitvoert vanaf een remote server.
Variant 3: DLL sideloading met een legitiem binair bestand
Variant 3 gebruikt DLL sideloading. Daarbij wordt een legitiem bestand ingezet als “trigger” voor het laden van een kwaadaardige DLL. In de beschrijving van CERT-UA gaat het om het gebruik van FnHotkeyUtility.exe om een rogue DLL (spkvol.dll) te laden. Die DLL decrypt en executeert vervolgens de stealer.
LunexStealer zet een browserextensie in: LUNARAXE
Naast het installeren van LunexStealer meldt CERT-UA, in lijn met documentatie van Arctic Wolf Labs en Ontinue, dat de aanvallers ook een kwaadaardige browserextensie plaatsen: LUNARAXE. Die extension wordt vermomd als een productnaam die lijkt op “Microsoft Office Word Editor”.
De extensie is bedoeld om gegevens uit de browser te verzamelen, waaronder:
- cookies,
- browsegeschiedenis,
- inlog- en credential-invoer in webformulieren.
Bovendien kan de aanvaller de browser op afstand beheren. De extensie kan ook willekeurige JavaScript uitvoeren op webpagina’s en aanvullende overlays tonen om gebruikers te sturen.
NAIVEMESS: bestands- en native messaging toegang
Om verder te gaan dan alleen browsergegevens, wordt ook een extra component ingericht: NAIVEMESS. Dit onderdeel wordt geïnstalleerd op basis van een configuratie afkomstig van het command-and-control (C2)-kanaal.
De kernrol is het geven van LUNARAXE toegang tot het Windows-bestandssysteem via een PowerShell-gebaseerde Native Messaging Host. Daarmee kan het systeem onder andere:
- de lijst van drives ophalen,
- mappen en directory’s doorzoeken,
- bestanden lezen, maken en overschrijven,
- bestanden uitvoeren.
Bestanden worden daarbij in chunks overgedragen, waarbij de inhoud wordt encoded in Base64. Map- en bestandsstructuren kunnen vooraf worden samengepakt in ZIP om het verkeer te organiseren.
Belangrijk detail: NAIVEMESS heeft wel degelijk een eigen communicatiekanaal met de C2. Tegelijkertijd worden commando’s in de praktijk geleverd via de extensie, die vervolgens opdrachten afleidt en verspreidt naar de juiste module.
Modules binnen LUNARAXE
CERT-UA benoemt drie modules die samen de functionaliteit bepalen:
- LUNARAXE.CORE: verzorgt C2-communicatie, voert commando’s uit, exfiltreert browserdata (zoals cookies, geschiedenis, bookmarks, extensie-informatie en gestolen credentials), kan tabs beheren, extensions aan/uit zetten, notificaties verwerken, JavaScript uitvoeren en nep-overlays tonen. Ook kan het bestanden kopiëren en wegschrijven en die uitvoeren als NAIVEMESS actief is.
- LUNARAXE.STEALER: verzamelt credentials die in webformulieren worden ingevoerd en stuurt die door, samen met de betreffende pagina-URL.
- LUNARAXE.STRIP: verlaagt browserbescherming door Content Security Policy (CSP) te omzeilen. Dat doet de module door CSP-headers uit HTTP-antwoorden te verwijderen, met als doel het uitvoeren van willekeurige JavaScript-code mogelijk te maken.
Verdedigingsstappen voor organisaties
CERT-UA adviseert organisaties om niet alleen malwaredetectie in te zetten, maar ook de aanvalsketen te doorbreken op meerdere punten. Hieronder staan de belangrijkste aanbevelingen.
Beperk gebruikersacties die het installatiepad mogelijk maken
- Gebruik group policies om te verhinderen dat standaardgebruikers het Windows “Run”-dialoogvenster gebruiken.
- Beperk installatie van MSI-pakketten tot gebruikers met administratorrechten.
- Monitor of msiexec.exe wordt uitgevoerd op systemen, omdat dat vaak samenhangt met installatie van gedownloade MSI’s.
Blokkeer misbruik van kwetsbare signed drivers
- Gebruik Microsofts vulnerable driver blocklist om het benutten van kwetsbare drivers te beperken.
- Zet de ASR-regel aan: “Block abuse of exploited vulnerable signed drivers”. Daarmee voorkomt u dat een toepassing een kwetsbare signed driver naar disk schrijft.
Beperk browserextensies tot een vertrouwde lijst
Aangezien LUNARAXE zich presenteert als een “legitieme” extension, is het belangrijk om extensies niet zomaar toe te staan. CERT-UA adviseert het installeren van browserextensies te beperken tot een allowlist. Zo verlaagt u de kans dat een vermomde extension ongemerkt toegang krijgt tot cookies en andere gevoelige gegevens.
Waarom dit soort campagnes lastig blijft
Deze aanval laat zien hoe fake Cloudflare checks een vertrouwd merk of proces kunnen nabootsen om gebruikers sneller te laten handelen. Bovendien is de uitrol niet constant: door tracking en werkmodi te gebruiken, sturen aanvallers verkeer in de richting van wat voor hen winstgevend is.
Daarnaast combineert de campagne meerdere lagen: een nepverificatie, een MSI-installatie, omzeiling van beveiligingscontrole, en uiteindelijk een browserextensie met extra native messaging functionaliteit. Daardoor is één maatregel zelden genoeg.
Gerelateerde inzichten: van fake overlays tot patchbeheer
Wilt u breder kijken naar aanvallen die gebruikers misleiden of endpoints omzeilen, dan kan dit artikel nuttig zijn: Social engineering herkennen in live gesprekken. Ook is het verstandig om in de gaten te houden hoe leveranciers kwetsbaarheden oplossen en hoe snel u kunt patchen.
Tot slot: omdat sommige varianten draaien rondom misbruik van drivers en installatiegedrag, past deze aanpak goed bij organisaties die al werken met strikte hardening. Bijvoorbeeld wanneer u kijkt naar recente richtlijnen rond patchen en productbeveiliging in het algemeen.
Conclusie
De melding van CERT-UA maakt duidelijk hoe fake Cloudflare checks kunnen worden ingezet om bezoekers tot acties te verleiden die leiden tot installatie van LunexStealer. Met ClickFix, werkmodi gebaseerd op bezoekomstandigheden, en aanvullende technieken zoals UAC-bypass en DLL sideloading, is de campagne ingericht om detectie te omzeilen en data te verzamelen.
Door gebruikersrechten te beperken, MSI-installaties te monitoren, kwetsbare drivers te blokkeren en browserextensies streng te controleren, verkleint u de kans dat dit type aanval uw omgeving bereikt.
Bron: https://thehackernews.com/2026/10/100-compromised-websites-use-fake.html
