⚡ Não perca: notícia importante no ar! ⚡
A notícia que você procurava está aqui!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Foram observados atores de ameaças patrocinados pelo Estado russo aproveitando a infame estratégia ClickFix para enganar alvos ucranianos e fazê-los infectar suas próprias máquinas com malware de roubo de dados.
De acordo com a Equipe de Resposta a Emergências Informáticas da Ucrânia (CERT-UA), a atividade foi atribuída ao UAC-0145, um subgrupo da Sandworm, uma unidade avançada de hackers afiliada à GRU, a principal agência de inteligência militar estrangeira da Rússia.
Nesses ataques, descobriu-se que os agentes de ameaças aproveitam verificações falsas de CAPTCHA em sites comprometidos que instruem alvos em potencial a executar um comando do PowerShell no terminal.
“O comando mencionado, por exemplo, poderia ser destinado a baixar e salvar um arquivo VBS no diretório de execução automática do Startup; uma das variantes desse programa chamava-se GHETTOVIBE”, afirmou o CERT-UA em alerta.
Os ataques também envolvem o uso do SCOUTCURL, um script do PowerShell que realiza reconhecimento básico coletando detalhes sobre a máquina infectada. Alguns dos outros programas maliciosos encontrados nos endpoints infectados são os seguintes –
FLUIDLEECH e LOADLOOP, que atuam como carregadores, sendo o primeiro disfarçado de software para remoção de vírus de computador.
FREAKYPOLL, um backdoor Python
Pelo menos 10 sites foram avaliados como comprometidos como parte desta campanha entre junho e julho de 2026. Além de aproveitar as vantagens do Cloaking.House, um serviço de filtragem de tráfego que permite servir páginas diferentes para visitantes diferentes, descobriu-se que os invasores usam uma ferramenta personalizada chamada SMARTAXE para alterar dinamicamente o conteúdo de uma página da web dependendo do visitante do site e exibir uma verificação CAPTCHA.
O conteúdo CAPTCHA a ser injetado na página web emprega a técnica EtherHiding para recuperar o nome de domínio do recurso remoto de um contrato inteligente Ethereum usando um endereço especificado no código-fonte.
CERT-UA disse que também identificou o ator da ameaça usando outras técnicas de ataque para invadir dispositivos, incluindo backdoor em dispositivos Android, distribuindo arquivos APK por meio de aplicativos de mensagens, disfarçando-os como ferramentas de segurança. O malware incorporado no arquivo APK é um backdoor completo com o codinome COWARDDUCK que pode coletar clandestinamente os seguintes detalhes -
Contatos
Arquivos que correspondem a determinadas extensões (".conf," ".json," ".ovpn," ".txt," ".doc," ".docx," ".xls," ".xlsx," ".pptx," ".zip," e ".rar") dos diretórios: "DCIM", "Documentos", "Downloads", "Imagens" e "Alarmes"
Geolocalização em tempo real
Paralelamente, o malware usa a API do serviço de nuvem Dropbox para fazer upload de arquivos, enquanto recupera comandos ou dados de um servidor externo ou de sites legítimos como steamcommunity[.]com.
O uso do ClickFix pela equipe de hackers apoiada pelo Kremlin marca um afastamento de campanhas anteriores que usaram instaladores trojanizados para Microsoft Windows ou Office contendo um backdoor integrado ou por meio de software antivírus falso compartilhado por meio do aplicativo de mensagens Signal.
A divulgação ocorre no momento em que ClickFix continua a ser uma técnica eficaz de engenharia social para entrega de malware em todo o cenário de ameaças cibernéticas, com agentes mal-intencionados aproveitando-a para distribuir OXLOADER, Mistic, SCMBANKER, ClickLock Stealer, TELEPUZ e ACR Stealer.
De acordo com a Equipe de Resposta a Emergências Informáticas da Ucrânia (CERT-UA), a atividade foi atribuída ao UAC-0145, um subgrupo da Sandworm, uma unidade avançada de hackers afiliada à GRU, a principal agência de inteligência militar estrangeira da Rússia.
Nesses ataques, descobriu-se que os agentes de ameaças aproveitam verificações falsas de CAPTCHA em sites comprometidos que instruem alvos em potencial a executar um comando do PowerShell no terminal.
“O comando mencionado, por exemplo, poderia ser destinado a baixar e salvar um arquivo VBS no diretório de execução automática do Startup; uma das variantes desse programa chamava-se GHETTOVIBE”, afirmou o CERT-UA em alerta.
Os ataques também envolvem o uso do SCOUTCURL, um script do PowerShell que realiza reconhecimento básico coletando detalhes sobre a máquina infectada. Alguns dos outros programas maliciosos encontrados nos endpoints infectados são os seguintes –
FLUIDLEECH e LOADLOOP, que atuam como carregadores, sendo o primeiro disfarçado de software para remoção de vírus de computador.
FREAKYPOLL, um backdoor Python
Pelo menos 10 sites foram avaliados como comprometidos como parte desta campanha entre junho e julho de 2026. Além de aproveitar as vantagens do Cloaking.House, um serviço de filtragem de tráfego que permite servir páginas diferentes para visitantes diferentes, descobriu-se que os invasores usam uma ferramenta personalizada chamada SMARTAXE para alterar dinamicamente o conteúdo de uma página da web dependendo do visitante do site e exibir uma verificação CAPTCHA.
O conteúdo CAPTCHA a ser injetado na página web emprega a técnica EtherHiding para recuperar o nome de domínio do recurso remoto de um contrato inteligente Ethereum usando um endereço especificado no código-fonte.
CERT-UA disse que também identificou o ator da ameaça usando outras técnicas de ataque para invadir dispositivos, incluindo backdoor em dispositivos Android, distribuindo arquivos APK por meio de aplicativos de mensagens, disfarçando-os como ferramentas de segurança. O malware incorporado no arquivo APK é um backdoor completo com o codinome COWARDDUCK que pode coletar clandestinamente os seguintes detalhes -
Contatos
Arquivos que correspondem a determinadas extensões (".conf," ".json," ".ovpn," ".txt," ".doc," ".docx," ".xls," ".xlsx," ".pptx," ".zip," e ".rar") dos diretórios: "DCIM", "Documentos", "Downloads", "Imagens" e "Alarmes"
Geolocalização em tempo real
Paralelamente, o malware usa a API do serviço de nuvem Dropbox para fazer upload de arquivos, enquanto recupera comandos ou dados de um servidor externo ou de sites legítimos como steamcommunity[.]com.
O uso do ClickFix pela equipe de hackers apoiada pelo Kremlin marca um afastamento de campanhas anteriores que usaram instaladores trojanizados para Microsoft Windows ou Office contendo um backdoor integrado ou por meio de software antivírus falso compartilhado por meio do aplicativo de mensagens Signal.
A divulgação ocorre no momento em que ClickFix continua a ser uma técnica eficaz de engenharia social para entrega de malware em todo o cenário de ameaças cibernéticas, com agentes mal-intencionados aproveitando-a para distribuir OXLOADER, Mistic, SCMBANKER, ClickLock Stealer, TELEPUZ e ACR Stealer.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #uac0145 #usa #captchas #clickfix #para #infectar #dispositivos #ucranianos #com #malware
💡 Compartilhe e ajude nosso projeto a crescer!
Postar um comentário