Держспецзв’язку фіксує масове поширення вірусів з понад 100 зламаних українських сайтів

Національна команда реагування на кіберінциденти, кібератаки, кіберзагрози CERT-UA, що діє при Держспецзв"язку, виявила нову масштабну кампанію з розповсюдження шкідливого програмного забезпечення (ПЗ). Про це йдеться у повідомленні на сайті Держспецзв"язку. Лише у вересні 2026 року фахівці CERT-UA зафіксували понад 100 зламаних вебресурсів, до яких зловмисники додали шкідливий JavaScript-код. На відміну від багатьох інших схем, зловмисники використовують справжні сайти – їх зламують та вносять незначні зміни, що можуть лишатися непомітними. Схема працює так: під час відвідування скомпрометованого сайту користувачеві демонструється підроблена сторінка перевірки Cloudflare. Там приводом стандартного підтвердження "Я не робот" користувачу пропонують скопіювати та виконати певну команду через комбінацію Win+R, командний рядок чи Powershell. Якщо людина це робить, на її комп"ютер завантажується та встановлюється шкідливе ПЗ.
Така шкідлива сторінка відображається лише користувачам Windows, які перейшли на сайт із пошукових систем (Google, DuckDuckGo тощо), і показується не частіше ніж двічі на 12 годин. Фахівці наголошують, що жодна легітимна перевірка (CAPTCHA, Cloudflare тощо) ніколи не вимагає натискати комбінацію клавіш Win+R, відкривати командний рядок чи PowerShell, або вставляти й виконувати будь-які команди. "Якщо ви бачите таку вимогу, негайно закрийте сторінку, навіть якщо це відомий вам сайт", – закликають у повідомленні. Після зараження комп"ютера вірус непомітно встановлює у браузер жертви шкідливе розширення під виглядом "Microsoft Office Word Editor". Цей інструмент повністю викрадає логіни, паролі та історію відвідувань, а також дає хакерам змогу віддалено керувати комп"ютером. Щоб убезпечити IT-інфраструктуру, системним адміністраторам бізнесу радять заборонити звичайним користувачам виклик вікна "Виконати" (Win+R) і обмежити встановлення будь-яких MSI-пакетів без прав адміністратора. Нагадаємо: Вебсайт мережі продуктових магазинів "АТБ" атакували хакери та погрожували "злити" в мережу всі дані клієнтів компанії упродовж двох годин, якщо не отримають викуп у розмірі 400 тис.
дол. У пресслужбі заперечили витік даних, адже "на атакованих ресурсах не зберігалося персональних даних користувачів". Пізніше повідомлялося, що злам ІТ-інфраструктури мережі-АТБ відбувся через Git, через що зловмисники могли отримати доступ до частини внутрішніх IT-систем компанії, де зберігалися логіни та паролі користувачів.