文章总结： 乌克兰CERT-UA通报UAC-0277团伙利用EtherHiding技术入侵超100家合法网站，通过区块链智能合约动态派发恶意指令，结合ClickFix手法诱导用户执行命令，分发LunexStealer窃密木马及恶意浏览器扩展，并采用BYOVD攻击致盲安全软件。建议企业通过GPO禁用非授权运行、开启驱动黑名单并定期扫描JS脚本以防御。 综合评分： 85 文章分类： 恶意软件,威胁情报,应急响应,供应链安全,红队

【安全圈】百余网站遭挂马植入伪Cloudflare：智能合约派发木马

安全圈

2026年10月7日 19:00 江苏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

关键词

木马

💡 威胁态势：乌克兰国家计算机应急响应团队（CERT-UA）今日通报一起代号为 UAC-0277 的高烈度供应链挂马事件。攻击者入侵了超过 100 家合法网站并注入恶意 JS 脚本，结合区块链以太坊 / Polygon 智能合约（EtherHiding 技术）动态派发指令。当搜索引流受害者访问网站时，页面弹出高度逼真的“伪造 Cloudflare 人机验证”，通过 ClickFix 手法诱导用户执行指令，进而向终端分发信息窃取木马 LunexStealer 及特权浏览器扩展。

🔍 威胁基础档案

• 攻击团伙：

  UAC-0277

• 受害规模：

  已确认 100+ 合法网站被批量注入恶意代码

• 核心载荷：

  LunexStealer（又名 Psychedelic Stealer）、恶意扩展 LUNARAXE、系统劫持模块 NAIVEMESS

• 创新技术：

  EtherHiding（智能合约规避溯源与动态调度）+ ClickFix 社交工程 + BYOVD（自带漏洞驱动致盲安全软件）

⚡ 核心战术拆解：区块链隐蔽派发与驱动级对抗

1. EtherHiding：用区块链当不死 C2

被黑网站注入的 JavaScript 不会直接连接传统的域名或 IP，而是向 Polygon / Ethereum 公链上的智能合约发起只读查询，拉取最新的恶意域名与工作模式。智能合约设三种模式：模式 0（静默隐蔽）、模式 1（受害者指纹采集）以及模式 2（实装伪造验证页）。只有通过搜索引擎引流、首次访问且处于 Windows 环境的用户才会看到钓鱼弹窗，极大干扰了沙箱与爬虫分析。

2. BYOVD 攻击与杀软致盲

受害者根据伪造的“请按指示验证您是真人”提示，在终端运行命令后会拉取特制 MSI 安装包。其中高级变体携带带有合法数字签名的脆弱 AMD 驱动程序（PDFWKRNL.sys），利用其内核写权限直接破坏 Windows Defender 监控，同时添加防御白名单，为后续木马静默驻留扫清障碍。

3. 伪装 Word 扩展与 Native Messaging 跨界渗透

恶意软件在浏览器中静默安装名为“Microsoft Office Word Editor”的流氓插件（LUNARAXE），其不仅能剥离网页的 CSP（内容安全策略）请求头、注入脚本监听密码，还通过 Windows 原生消息机制（Native Messaging）与后台辅助组件 NAIVEMESS 通信，将文件读写与命令执行权限无缝延伸至宿主操作系统。

🛡️ 蓝队检测指标与安全加固清单

根据 CERT-UA 与安全研究实验室的联合建议，企业与站长需从网络端与终端两处建立封堵：

1. 组策略禁用未授权用户“运行（Run）”与 MSI 安装

通过 Active Directory 域策略（GPO）彻底锁定普通办公终端的 Win + R 运行入口，严禁非特权用户调用 msiexec.exe 静默安装软件包。

2. 开启微软易受攻击驱动黑名单（Vulnerable Driver Blocklist）

在 Windows Defender Application Control（WDAC）中强制开启受损驱动拦截策略，阻断 PDFWKRNL.sys 等被黑客滥用的合法签名驱动装载。

3. 站长定期扫描 JS 文件与内容安全策略

各类 Web 站长应全面核验站点引入的第三方统计与广告脚本，排查是否存在与 Web3 RPC 节点（如 Infura、Alchemy 等公共公链端点）进行异常 JSON-RPC 查询的流量。

END

阅读推荐

【安全圈】AI垃圾报告泛滥成灾：Google暂停开源软件漏洞赏金

【安全圈】黑客骨干约旦落网：ShinyHunters核心遭捕，FBI深入撕开7000万黑产链

【安全圈】Atlassian曝9.3分严重漏洞：未授权遍历直读8款企业核心系统文件

【安全圈】Rejetto HFS曝9.3分严重漏洞：弱伪随机数致伪造Session，攻击者已发起在野RCE

【安全圈】Citrix NetScaler曝在野0day漏洞：内存溢出瘫痪SAML认证，官方发布紧急更新

安全圈

←扫码关注我们

网罗圈内热点 专注网络安全

实时资讯一手掌握！

好看你就分享 有用就点个赞

支持「安全圈」就点个三连吧！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全圈 《【安全圈】百余网站遭挂马植入伪Cloudflare：智能合约派发木马》