Atores de ameaças patrocinados pelo Estado russo têm sido observados utilizando a conhecida estratégia ClickFix para enganar alvos ucranianos a infectarem suas próprias máquinas com malware voltado ao roubo de dados.
De acordo com a Equipe de Resposta a Emergências de Computador da Ucrânia (CERT-UA, na sigla em inglês), a atividade foi atribuída ao UAC-0145, um subgrupo dentro do Sandworm, uma unidade avançada de hackers ligada à GRU (Diretoria Principal de Inteligência da Rússia), a principal agência de inteligência militar estrangeira da Rússia.
Nos ataques, os atores de ameaças foram encontrados utilizando verificações CAPTCHA (teste de Turing público completamente automatizado para distinguir computadores de humanos) falsas em sites comprometidos que instruem os possíveis alvos a executar um comando PowerShell (ferramenta de automação e administração de sistemas da Microsoft) no terminal.
"O comando mencionado, por exemplo, pode ser destinado a baixar e salvar um arquivo VBS (VBScript, linguagem de script da Microsoft) no diretório de inicialização automática; uma das variantes desse programa foi chamada de GHETTOVIBE", afirmou a CERT-UA em um alerta.
Os ataques também envolvem o uso de SCOUTCURL, um script PowerShell que realiza reconhecimento básico coletando detalhes sobre a máquina infectada. Alguns dos outros programas maliciosos encontrados nos dispositivos infectados são os seguintes:
- FLUIDLEECH e LOADLOOP, que atuam como loaders (carregadores de malware), sendo que o primeiro se passa por software de remoção de vírus de computador.
- FREAKYPOLL, um backdoor (porta de acesso remoto) em Python.
Pelo menos 10 sites são avaliados como tendo sido comprometidos como parte desta campanha entre junho e julho de 2026. Além de aproveitar o Cloaking.House, um serviço de filtragem de tráfego que permite exibir páginas diferentes para visitantes distintos, os atacantes foram encontrados usando uma ferramenta personalizada chamada SMARTAXE para alterar dinamicamente o conteúdo de uma página web dependendo do visitante e exibir uma verificação CAPTCHA.
O conteúdo do CAPTCHA a ser injetado na página web emprega a técnica EtherHiding para recuperar o nome de domínio do recurso remoto a partir de um contrato inteligente (smart contract) na rede Ethereum usando um endereço especificado no código-fonte.
A CERT-UA afirmou que também identificou o ator de ameaça usando outras técnicas de ataque para invadir dispositivos, incluindo a instalação de backdoor (acesso remoto) em dispositivos Android por meio da distribuição de arquivos APK (pacote de instalação do Android) via aplicativos de mensagem, disfarçados de ferramentas de segurança. O malware embutido no arquivo APK é um backdoor completo, codinome COWARDDUCK, que pode coletar clandestinamente os seguintes dados:
- Contatos
- Arquivos com extensões específicas (".conf", ".json", ".ovpn", ".txt", ".doc", ".docx", ".xls", ".xlsx", ".pptx", ".zip" e ".rar") dos diretórios: "DCIM", "Documents", "Downloads", "Pictures" e "Alarms"
- Geolocalização em tempo real
Em paralelo, o malware utiliza a API (interface de programação de aplicativos) do serviço de nuvem Dropbox para enviar arquivos, enquanto busca comandos ou dados de um servidor externo ou de sites legítimos como steamcommunity[.]com.
O uso do ClickFix pelo grupo de hackers apoiado pelo Kremlin marca um afastamento em relação a campanhas anteriores, que utilizaram instaladores adulterados para Microsoft Windows ou Office contendo um backdoor embutido, ou por meio de software antivírus falso compartilhado pelo aplicativo de mensagens Signal.
A divulgação ocorre enquanto o ClickFix continua sendo uma técnica eficaz de engenharia social para distribuição de malware no cenário de ameaças cibernéticas, com agentes maliciosos utilizando-o para distribuir OXLOADER, Mistic, SCMBANKER, ClickLock Stealer, TELEPUZ e ACR Stealer.
