L’équipe de réaction aux incidents informatiques de l’Ukraine (CERT-UA) a divulgué le 19 juil. 2026 que UAC-0145, un sous-groupe de l’opération de piratage Sandworm liée au renseignement militaire russe, avait lancé une campagne cyber en utilisant de fausses invites de CAPTCHA pour piéger les utilisateurs et leur faire exécuter des commandes malveillantes, tout en dissimulant l’infrastructure de command-and-control au sein de la blockchain Ethereum. Les attaquants ont abandonné des méthodes classiques de déploiement de malwares reposant sur des failles logicielles ou des pièces jointes par email, préférant intégrer des messages contrefaits de CAPTCHA dans des sites web compromis qui indiquent aux visiteurs de copier-coller et d’exécuter des commandes via la boîte de dialogue Exécuter de Windows ou un terminal. Ce changement tactique permet à l’opération d’échapper aux outils de sécurité conventionnels des postes clients en s’appuyant sur des utilitaires système légitimes et sur une infrastructure basée sur la blockchain, difficilement neutralisable par des actions légales ou administratives.
Sandworm intègre l’infrastructure de commande dans des smart contracts Ethereum
La CERT-UA a indiqué que l’une des innovations les plus importantes de la campagne réside dans l’utilisation de smart contracts Ethereum pour stocker les adresses de serveurs de command-and-control. Contrairement aux opérations cyber classiques qui reposent sur des domaines enregistrés ou sur des services d’hébergement centralisés, les smart contracts basés sur la blockchain ne peuvent pas être facilement supprimés, modifiés ou désactivés par une action légale ou administrative.
Les enquêteurs ont déclaré que les attaquants utilisaient un outil sur mesure appelé SMARTAXE, qui récupère des adresses C2 actualisées via des requêtes du réseau Ethereum en lecture seule. Cela permet aux opérateurs de rediriger presque immédiatement des systèmes infectés vers de nouveaux serveurs, tout en empêchant les défenseurs de neutraliser l’infrastructure blockchain sous-jacente. Les équipes de sécurité doivent alors relever un défi complexe : identifier et bloquer les requêtes sortantes vers des points de terminaison Ethereum Remote Procedure Call (RPC) intentionnellement conçus pour ressembler à du trafic normal de type réseau de diffusion de contenu (CDN).
L’alerte a également noté que les attaquants utilisaient Cloaking.House, un service commercial de filtrage du trafic qui présente différents contenus de site web selon le visiteur. En conséquence, les scanners de sécurité automatisés tombent souvent sur des pages web inoffensives, tandis que les victimes ciblées reçoivent de fausses invites CAPTCHA malveillantes. La CERT-UA a conseillé que tout site web diffusant ce type de contenu soit considéré comme entièrement compromis, potentiellement via des identifiants d’administrateur dérobés, des systèmes de gestion de contenu vulnérables, des plugins malveillants ou des web shells.
La campagne déploie l’outil SMARTAXE et des malwares multi-plateformes
Une fois qu’une victime exécute la commande PowerShell malveillante, une séquence d’infection en plusieurs étapes commence. Le premier malware établit la persistance sur les systèmes Windows, puis des outils de reconnaissance collectent des informations sur le matériel, les logiciels installés, les données du navigateur et les fichiers locaux. Sur la base des renseignements collectés, les attaquants déploient de manière sélective des familles de malwares supplémentaires offrant un accès à distance persistant et facilitant le mouvement latéral au sein des réseaux compromis.
La campagne s’appuie aussi sur des outils d’administration légitimes, notamment OpenSSH et Tor, afin de mêler l’activité malveillante au trafic réseau de routine. Des modules supplémentaires ciblent des conversations stockées depuis des applications de messagerie telles que Signal et WhatsApp, tandis que les informations dérobées sont transférées à l’aide d’utilitaires standard de synchronisation de fichiers.
La CERT-UA a par ailleurs identifié un malware Android nommé COWARDDUCK, distribué via des applications de messagerie déguisées en logiciels de sécurité ou antivirus. Une fois installé, le malware collecte les contacts, des informations de géolocalisation en temps réel et des fichiers provenant de dossiers d’appareils couramment utilisés, notamment documents, téléchargements, photographies et archives. Les informations dérobées sont transmises via l’API Dropbox, tandis que des commandes sont reçues depuis des serveurs contrôlés par l’attaquant et depuis des pages sélectionnées de Steam Community, permettant ainsi aux communications malveillantes de s’intégrer au trafic Internet légitime.
L’agence a observé que la campagne la plus récente représente un changement stratégique par rapport à la dépendance antérieure de Sandworm à des installateurs de type trojanisés diffusés via des plateformes torrent. En intégrant de fausses invites de CAPTCHA dans des sites web compromis, les attaquants élargissent considérablement leur bassin de victimes potentielles au-delà des individus qui téléchargent des logiciels non autorisés.
Recommandations de sécurité web et de supervision publiées par la CERT-UA
La CERT-UA a exhorté les administrateurs de sites web à auditer l’infrastructure web à la recherche de scripts non autorisés, de plugins compromis et de backdoors côté serveur, tout en appliquant l’authentification multifacteur et en faisant tourner les identifiants administratifs. L’agence a également recommandé de surveiller les connexions sortantes afin de détecter des trafics inhabituels à destination des services Ethereum Remote Procedure Call (RPC) et des plateformes de stockage cloud.
La CERT-UA a insisté sur le fait qu’aucun site web, navigateur ou service de CAPTCHA légitime n’instruira jamais les utilisateurs d’ouvrir une invite de commande ou un terminal système et d’exécuter des commandes. Elle a averti que toute demande de ce type doit être traitée comme une attaque cyberactive et ignorée immédiatement.
FAQ
Que fait UAC-0145 le 19 juil. 2026 ?
La CERT-UA d’Ukraine a divulgué le 19 juil. 2026 que UAC-0145, un sous-groupe de Sandworm, a lancé une campagne cyber en utilisant de fausses invites CAPTCHA pour piéger les utilisateurs et leur faire exécuter des commandes malveillantes tout en dissimulant l’infrastructure de command-and-control au sein de la blockchain Ethereum.
Comment Sandworm utilise-t-il la blockchain Ethereum dans des cyberattaques ?
Sandworm intègre les adresses de serveurs de command-and-control dans des smart contracts Ethereum, qui ne peuvent pas être facilement supprimés ou désactivés par une action légale ou administrative. Les attaquants utilisent un outil sur mesure appelé SMARTAXE pour récupérer des adresses C2 actualisées via des requêtes du réseau Ethereum en lecture seule.
Qu’est-ce que le malware COWARDDUCK ?
COWARDDUCK est un malware Android distribué via des applications de messagerie déguisées en logiciels de sécurité ou antivirus. Une fois installé, il collecte les contacts, des informations de géolocalisation en temps réel et des fichiers provenant de dossiers de l’appareil, transmettant les informations dérobées via l’API Dropbox tout en recevant des commandes depuis des serveurs contrôlés par l’attaquant et depuis des pages sélectionnées de Steam Community.
