UAC-0145 usa falsi CAPTCHA ClickFix per colpire dispositivi ucraini

🛡️ Executive Summary

• Siti compromessi mostrano falsi CAPTCHA ClickFix che convincono le vittime a eseguire manualmente comandi PowerShell sui dispositivi Windows.
• La catena installa loader, strumenti di ricognizione e backdoor, mentre APK malevoli raccolgono documenti, contatti e posizione dai dispositivi Android.
• Bloccare script non autorizzati, controllare le cartelle di avvio automatico e vietare APK esterni riduce l’esposizione alla campagna.

Il gruppo UAC-0145, collegato da CERT-UA alle operazioni russe contro l’Ucraina, ha integrato la tecnica ClickFix nelle proprie catene di infezione. Tra giugno e luglio 2026, gli attaccanti hanno compromesso almeno dieci siti web e mostrato falsi controlli CAPTCHA agli utenti selezionati, inducendoli a copiare ed eseguire comandi PowerShell. La campagna distribuisce diversi malware Windows, tra cui GHETTOVIBE, SCOUTCURL, FLUIDLEECH, LOADLOOP e FREAKYPOLL, e comprende un ramo Android basato sullo spyware COWARDDUCK. L’operazione combina ingegneria sociale, cloaking, persistenza automatica ed EtherHiding per rendere più difficile l’individuazione dell’infrastruttura di comando e controllo.

UAC-0145 porta ClickFix nelle operazioni contro l’Ucraina

L’analisi pubblicata da CERT-UA descrive UAC-0145 come un cluster coinvolto in attività mirate contro organizzazioni e cittadini ucraini, con caratteristiche operative associate all’ecosistema di Sandworm, l’unità avanzata legata all’intelligence militare russa. La nuova campagna segna un cambiamento rispetto alle precedenti modalità di accesso iniziale, basate anche su installer trojanizzati di Microsoft Office, falsi strumenti antivirus e file distribuiti attraverso Signal. Con ClickFix, gli aggressori non devono necessariamente sfruttare una vulnerabilità del browser o del sistema operativo: trasformano la vittima nell’esecutore materiale del comando, presentando la procedura come necessaria per completare una verifica umana. Il metodo è particolarmente efficace perché il codice viene incollato in un terminale legittimo e avviato direttamente dall’utente, riducendo l’utilità dei controlli che cercano allegati malevoli o macro nei documenti.

Il metodo è particolarmente efficace perché il codice viene incollato in un terminale legittimo e avviato direttamente dall’utente, riducendo l’utilità dei controlli che cercano allegati malevoli o macro nei documenti. Il falso CAPTCHA ClickFix utilizzato per distribuire malware su Windows si è progressivamente evoluto fino a includere campagne basate su chat generate con Claude AI per convincere le vittime a eseguire codice

Siti compromessi e cloaking mostrano il CAPTCHA solo agli obiettivi scelti

Gli operatori hanno alterato almeno dieci siti web tra giugno e luglio 2026, utilizzandoli come punto di ingresso senza mostrare necessariamente il contenuto malevolo a tutti i visitatori. La selezione avviene attraverso servizi di cloaking come Cloaking.House e mediante SMARTAXE, uno strumento personalizzato che modifica dinamicamente la pagina in base a parametri quali indirizzo IP, posizione geografica, dispositivo, browser e provenienza del traffico. Un visitatore non considerato interessante può visualizzare il sito originale, mentre un utente ucraino scelto come bersaglio riceve una falsa schermata CAPTCHA con istruzioni apparentemente semplici.

La vittima viene invitata ad aprire una finestra di sistema, incollare il contenuto presente negli appunti e confermare l’esecuzione. Il comando PowerShell scarica quindi uno script VBS, indicato da CERT-UA con il nome GHETTOVIBE, e lo colloca nella cartella di avvio automatico di Windows. Questo passaggio garantisce la persistenza, perché lo script viene eseguito nuovamente a ogni accesso dell’utente. La combinazione tra cloaking e azione manuale complica sia l’analisi automatica sia la ricostruzione dell’incidente: i crawler dei sistemi di sicurezza possono ricevere una pagina innocua, mentre nei log aziendali l’avvio di PowerShell può apparire inizialmente come un’operazione eseguita dall’utente legittimo.

EtherHiding nasconde il server di comando dentro uno smart contract

La catena adotta anche EtherHiding, una tecnica con cui l’indirizzo dell’infrastruttura di comando e controllo non viene inserito direttamente e in modo leggibile nel malware. Il codice conserva invece un indirizzo blockchain predefinito e interroga uno smart contract Ethereum per recuperare il dominio o l’endpoint da contattare. Gli aggressori possono così cambiare il server operativo aggiornando i dati pubblicati nel contratto, senza modificare il payload già installato sui dispositivi compromessi. La blockchain non ospita necessariamente il malware completo: viene usata come livello di risoluzione decentralizzato, resistente alla rimozione e accessibile attraverso servizi legittimi. Bloccare un singolo dominio C2 può quindi non essere sufficiente, perché il contratto può indicare rapidamente una nuova infrastruttura. La tecnica non rende anonima l’intera operazione e lascia comunque indicatori osservabili, ma aumenta la flessibilità degli attaccanti e separa il malware dall’indirizzo finale utilizzato per ricevere comandi o scaricare ulteriori componenti. Questo approccio si inserisce nella più ampia evoluzione della guerra cibernetica russa, analizzata da Matrice Digitale nel dossier sull’asse operativo tra Turla e Gamaredon contro l’Ucraina e nell’enciclopedia della guerra cibernetica tra APT, intelligence e sabotaggio.

SCOUTCURL, FLUIDLEECH e FREAKYPOLL costruiscono la catena Windows

Dopo l’esecuzione iniziale, UAC-0145 distribuisce strumenti con funzioni differenziate. SCOUTCURL è uno script PowerShell destinato alla ricognizione preliminare e raccoglie informazioni sul computer, sull’ambiente operativo e sulla connettività disponibile. Questi dati permettono agli aggressori di stabilire se il sistema merita ulteriori attività e quale payload utilizzare. FLUIDLEECH e LOADLOOP operano come loader, scaricando o avviando componenti successivi; in alcuni casi vengono presentati come utility per eliminare virus, sfruttando la stessa narrativa di sicurezza già impiegata nella fase di distribuzione. FREAKYPOLL, sviluppato in Python, fornisce invece capacità da backdoor e consente di mantenere un canale operativo con il dispositivo infetto. La modularità evita di consegnare immediatamente tutti gli strumenti e permette di adattare l’infezione al valore dell’obiettivo. Un computer privo di informazioni interessanti può essere abbandonato, mentre un endpoint appartenente a un’organizzazione pubblica, militare o strategica può ricevere moduli aggiuntivi. La presenza di script, file VBS, PowerShell e componenti Python mostra inoltre che l’efficacia della campagna non dipende da un singolo eseguibile facilmente riconoscibile, ma dalla concatenazione di interpreti e funzionalità già disponibili nel sistema operativo.

COWARDDUCK estende lo spionaggio ai dispositivi Android

La stessa attività comprende un ramo mobile basato su COWARDDUCK, malware distribuito attraverso file APK camuffati da applicazioni di sicurezza e inviati tramite servizi di messaggistica. Una volta installato e autorizzato, il programma può raccogliere contatti, informazioni sul dispositivo e geolocalizzazione in tempo reale. Il malware cerca inoltre file con estensioni potenzialmente sensibili, tra cui .conf, .json, .ovpn, .txt, .doc, .docx, .xls, .xlsx, .pptx, .zip e .rar, esplorando directory come DCIM, Documenti, Download, Immagini e Allarmi. La presenza dei file OVPN indica un interesse specifico per configurazioni di rete e accessi VPN, mentre documenti e archivi possono contenere dati personali, credenziali operative o materiali aziendali. Le informazioni sottratte vengono caricate tramite l’API di Dropbox, scelta che consente di confondere l’esfiltrazione con traffico diretto verso un servizio cloud legittimo. Per ridurre il rischio, le organizzazioni devono impedire l’installazione di APK provenienti da fonti non gestite, applicare criteri MDM, controllare le autorizzazioni concesse alle app e cercare esecuzioni anomale di PowerShell, script VBS nelle cartelle Startup e connessioni verso smart contract o infrastrutture cloud non previste. La regola operativa resta immediata: nessun CAPTCHA autentico richiede di aprire PowerShell, il prompt dei comandi o Windows Terminal e incollare istruzioni ricevute da una pagina web.