A Equipe de Resposta a Emergências de Computadores da Ucrânia (CERT-UA) divulgou em 19 de jul., 2026, que UAC-0145, um subgrupo da operação de hacking Sandworm ligada ao serviço militar de inteligência russo, iniciou uma campanha cibernética usando prompts falsos de CAPTCHA para induzir os usuários a executar comandos maliciosos, ocultando a infraestrutura de comando e controle dentro da blockchain do Ethereum. Os atacantes abandonaram métodos tradicionais de entrega de malware que dependiam de exploração de software ou anexos de e-mail; em vez disso, embutiram mensagens de CAPTCHA falsificadas em sites comprometidos que instruem os visitantes a colar e executar comandos por meio do diálogo Executar do Windows ou do terminal. Essa mudança tática permite que a operação evite ferramentas convencionais de segurança de endpoint ao aproveitar utilitários legítimos do sistema e infraestrutura baseada em blockchain, que não pode ser facilmente desativada por ação legal ou administrativa.
Sandworm incorpora infraestrutura de comando no Ethereum por meio de contratos inteligentes
O CERT-UA informou que uma das inovações mais significativas da campanha é o uso de contratos inteligentes do Ethereum para armazenar endereços de servidores de comando e controle. Diferentemente de operações cibernéticas convencionais que dependem de domínios registrados ou de serviços de hospedagem centralizados, contratos inteligentes baseados em blockchain não podem ser facilmente removidos, alterados ou desativados por ação legal ou administrativa.
Os investigadores disseram que os atacantes empregaram uma ferramenta customizada conhecida como SMARTAXE, que recupera endereços C2 atualizados por meio de consultas na rede Ethereum em modo somente leitura. Isso permite que os operadores redirecionem sistemas infectados para novos servidores quase imediatamente, ao mesmo tempo em que impede que os defensores desativem a infraestrutura subjacente da blockchain. As equipes de segurança ficam com a difícil tarefa de identificar e bloquear requisições de saída para endpoints de Ethereum Remote Procedure Call (RPC) que foram intencionalmente projetados para se assemelhar ao tráfego normal de uma content delivery network.
O aviso também destacou que os atacantes usaram Cloaking.House, um serviço comercial de filtragem de tráfego que exibe conteúdos diferentes para o visitante. Como resultado, scanners automatizados de segurança frequentemente se deparam com páginas web aparentemente inofensivas, enquanto as vítimas pretendidas recebem prompts maliciosos de CAPTCHA. O CERT-UA orientou que qualquer site que ofereça esse tipo de conteúdo seja considerado totalmente comprometido, possivelmente por credenciais de administrador roubadas, sistemas vulneráveis de gerenciamento de conteúdo, plugins maliciosos ou web shells.
Campanha implanta ferramenta SMARTAXE e malware multiplataforma
Assim que a vítima executa o comando malicioso do PowerShell, inicia-se uma sequência de infecção em múltiplas etapas. O malware inicial estabelece persistência em sistemas Windows e, em seguida, ferramentas de reconhecimento coletam informações sobre hardware, software instalado, dados do navegador e arquivos locais. Com base na inteligência coletada, os atacantes implantam seletivamente famílias adicionais de malware que fornecem acesso remoto persistente e facilitam movimentação lateral dentro das redes comprometidas.
A campanha também depende de ferramentas legítimas de administração, incluindo OpenSSH e Tor, para misturar atividades maliciosas com o tráfego de rede de rotina. Módulos adicionais miram conversas armazenadas em aplicativos de mensagens como Signal e WhatsApp, enquanto informações roubadas são transferidas usando utilitários padrão de sincronização de arquivos.
O CERT-UA ainda identificou malware Android conhecido como COWARDDUCK, que é distribuído por meio de aplicativos de mensagens disfarçados de software de segurança ou antivírus. Depois de instalado, o malware coleta contatos, informações de geolocalização em tempo real e arquivos de pastas comuns do dispositivo, incluindo documentos, downloads, fotografias e arquivos compactados. As informações roubadas são transmitidas por meio da API do Dropbox, enquanto comandos são recebidos de servidores controlados pelo atacante e de páginas selecionadas da Steam Community, permitindo que comunicações maliciosas se misturem com o tráfego legítimo da internet.
A agência observou que a campanha mais recente representa uma mudança estratégica em relação à dependência anterior do Sandworm em instaladores de software trojanizados distribuídos por plataformas de torrent. Ao embutir prompts falsos de CAPTCHA em sites comprometidos, os atacantes expandem significativamente o possível grupo de vítimas além de indivíduos que baixam software não autorizado.
CERT-UA emite recomendações de segurança web e monitoramento
O CERT-UA pediu que administradores de sites auditassem a infraestrutura web em busca de scripts não autorizados, plugins comprometidos e backdoors do lado do servidor, enquanto impõem autenticação multifator e rotacionam credenciais administrativas. A agência também recomendou monitorar conexões de saída para tráfego incomum direcionado a serviços de Ethereum RPC e plataformas de armazenamento em nuvem.
O CERT-UA enfatizou que nenhum site legítimo, navegador ou serviço de CAPTCHA jamais instruirá os usuários a abrir um prompt de comando ou um terminal do sistema e executar comandos, alertando que qualquer solicitação desse tipo deve ser tratada como um ataque cibernético ativo e ignorada imediatamente.
FAQ
O que o UAC-0145 fez em 19 de jul., 2026?
A CERT-UA da Ucrânia divulgou em 19 de jul., 2026, que UAC-0145, um subgrupo da Sandworm, iniciou uma campanha cibernética usando prompts falsos de CAPTCHA para induzir os usuários a executar comandos maliciosos, ocultando a infraestrutura de comando e controle dentro da blockchain do Ethereum.
Como a Sandworm usa a blockchain do Ethereum em ataques cibernéticos?
A Sandworm incorpora endereços de servidores de comando e controle em contratos inteligentes do Ethereum, que não podem ser facilmente removidos ou desativados por ação legal ou administrativa. Os atacantes usam uma ferramenta customizada chamada SMARTAXE para recuperar endereços C2 atualizados por meio de consultas na rede Ethereum em modo somente leitura.
O que é o malware COWARDDUCK?
COWARDDUCK é um malware Android distribuído por aplicativos de mensagens disfarçados de software de segurança ou antivírus. Uma vez instalado, ele coleta contatos, informações de geolocalização em tempo real e arquivos de pastas do dispositivo, transmitindo informações roubadas pela API do Dropbox enquanto recebe comandos de servidores controlados pelo atacante e de páginas selecionadas da Steam Community.
