UAC-0145 利用 ClickFix CAPTCHA 向乌克兰设备植入恶意软件

俄罗斯国家支持的威胁行为者已被发现利用臭名昭著的 ClickFix 策略，诱骗乌克兰目标自行感染数据窃取恶意软件。
根据乌克兰计算机应急响应小组（CERT-UA）的说法，该活动已归因于 UAC-0145，这是 Sandworm 中的一个子集群。Sandworm 是一个隶属于俄罗斯主要对外军事情报机构 GRU 的高级黑客单位。
在这些攻击中，威胁行为者被发现利用受感染网站上的虚假 CAPTCHA 验证，指示潜在目标在终端中执行 PowerShell 命令。
"上述命令，举例来说，可能旨在下载一个 VBS 文件并将其保存到启动自动运行目录中；此类程序的一个变体被称为 GHETTOVIBE，"CERT-UA 在一份警报中表示。
这些攻击还涉及使用 SCOUTCURL，这是一个 PowerShell 脚本，通过收集受感染机器的详细信息来执行基本侦察。在受感染端点中发现的其他一些恶意程序如下：

• FLUIDLEECH 和 LOADLOOP，充当加载器，其中前者伪装成清除计算机病毒的软件。
• FREAKYPOLL，一个 Python 后门。
  据评估，在 2026 年 6 月至 7 月期间，至少有 10 个网站在此行动中被攻陷。除了利用 Cloaking.House（一种流量过滤服务，可以向不同访客提供不同页面）之外，攻击者还被发现使用一款名为 SMARTAXE 的定制工具，根据网站访客动态更改网页内容并显示 CAPTCHA 验证。
  要注入网页的 CAPTCHA 内容采用了 EtherHiding 技术，通过源代码中指定的地址从以太坊智能合约中检索远程资源的域名。
  CERT-UA 表示，还发现该威胁行为者使用其他攻击技术入侵设备，包括通过消息应用分发伪装成安全工具的 APK 文件来后门化 Android 设备。APK 文件中嵌入的恶意软件是一个功能完整的后门，代号为 COWARDDUCK，可以秘密收集以下信息：
• 联系人
• 来自"DCIM"、"Documents"、"Downloads"、"Pictures"和"Alarms"目录中、匹配特定扩展名（".conf"、".json"、".ovpn"、".txt"、".doc"、".docx"、".xls"、".xlsx"、".pptx"、".zip"和".rar"）的文件
• 实时地理位置
  同时，该恶意软件使用 Dropbox 云服务 API 上传文件，同时从外部服务器或 steamcommunity[.]com 等合法网站检索命令或数据。
  克里姆林宫支持的黑客组织使用 ClickFix，标志着其与此前活动的不同，之前的活动使用了包含内置后门的 Microsoft Windows 或 Office 木马化安装程序，或通过 Signal 消息应用分享虚假的杀毒软件。
  这一披露正值 ClickFix 在网络威胁领域中持续成为一种有效的社会工程技术，用于恶意软件分发，不良行为者利用它来分发 OXLOADER、Mistic、SCMBANKER、ClickLock Stealer、TELEPUZ 和 ACR Stealer。