A equipa de Resposta a Incidentes de Segurança Informática da Ucrânia (CERT-UA) revelou em 19 de Julho de 2026 que a UAC-0145, um subgrupo da operação de pirataria Sandworm ligada ao serviço de informações militares da Rússia, lançou uma campanha cibernética usando prompts falsos de CAPTCHA para enganar os utilizadores a executar comandos maliciosos, ocultando ao mesmo tempo a infraestrutura de comando e controlo dentro da blockchain Ethereum. Os atacantes abandonaram métodos tradicionais de distribuição de malware baseados em exploração de software ou anexos de e-mail, optando por incorporar mensagens contrafeitas de CAPTCHA em websites comprometidos, que instruem os visitantes a colar e executar comandos através da caixa de diálogo Executar do Windows ou de um terminal. Esta mudança tática permite à operação contornar ferramentas convencionais de segurança no endpoint, tirando partido de utilitários legítimos do sistema e de infraestruturas baseadas em blockchain que não podem ser facilmente desativadas por via legal ou administrativa.
Sandworm incorpora infraestrutura de comando na blockchain Ethereum via contratos inteligentes
O CERT-UA informou que uma das inovações mais significativas da campanha é o uso de contratos inteligentes Ethereum para armazenar endereços de servidores de comando e controlo. Ao contrário de operações cibernéticas convencionais que dependem de domínios registados ou de serviços de alojamento centralizados, os contratos inteligentes baseados em blockchain não podem ser removidos, alterados ou desativados com facilidade por via legal ou administrativa.
Os investigadores disseram que os atacantes empregaram uma ferramenta personalizada conhecida como SMARTAXE, que recupera endereços C2 atualizados através de consultas à rede Ethereum apenas de leitura. Isto permite que os operadores redirecionem quase imediatamente sistemas infetados para novos servidores, ao mesmo tempo que impede os defensores de desativarem a infraestrutura subjacente da blockchain. As equipas de segurança ficam com a tarefa desafiante de identificar e bloquear pedidos de saída para endpoints de procedimento remoto (RPC) da Ethereum que foram intencionalmente concebidos para se assemelharem ao tráfego normal de uma rede de distribuição de conteúdos.
O aviso também referiu que os atacantes usaram Cloaking.House, um serviço comercial de filtragem de tráfego que apresenta conteúdos diferentes consoante o visitante. Como resultado, frequentemente os scanners de segurança automatizados encontram páginas web inofensivas, enquanto as vítimas pretendidas recebem prompts maliciosos de CAPTCHA. O CERT-UA recomendou que qualquer website que veicule esse tipo de conteúdo seja considerado totalmente comprometido, potencialmente através de credenciais de administrador roubadas, sistemas de gestão de conteúdos vulneráveis, plugins maliciosos ou shells web.
Campanha utiliza a ferramenta SMARTAXE e malware multi-plataforma
Depois de uma vítima executar o comando PowerShell malicioso, inicia-se uma sequência de infeção em várias fases. O malware inicial estabelece persistência em sistemas Windows e, em seguida, recorre a ferramentas de reconhecimento que recolhem informação sobre hardware, software instalado, dados do navegador e ficheiros locais. Com base na inteligência recolhida, os atacantes implementam seletivamente famílias adicionais de malware que fornecem acesso remoto persistente e facilitam o movimento lateral dentro de redes comprometidas.
A campanha também depende de ferramentas legítimas de administração, incluindo OpenSSH e Tor, para misturar atividade maliciosa com tráfego de rede rotineiro. Módulos adicionais visam conversas guardadas de aplicações de mensagens como Signal e WhatsApp, enquanto a informação roubada é transferida usando utilitários padrão de sincronização de ficheiros.
O CERT-UA identificou ainda malware para Android conhecido como COWARDDUCK, distribuído através de aplicações de mensagens disfarçadas de software de segurança ou de antivírus. Uma vez instalado, o malware recolhe contactos, informação de geolocalização em tempo real e ficheiros de pastas do dispositivo comumente usadas, incluindo documentos, downloads, fotografias e arquivos. A informação roubada é transmitida através da API do Dropbox, enquanto os comandos são recebidos de servidores controlados pelo atacante e de páginas selecionadas da Steam Community, permitindo que as comunicações maliciosas se misturem com o tráfego legítimo da Internet.
A agência observou que a campanha mais recente representa uma mudança estratégica face à dependência anterior da Sandworm em instaladores de software trojanizados distribuídos através de plataformas de torrent. Ao incorporar prompts falsos de CAPTCHA em websites comprometidos, os atacantes alargam significativamente o seu universo potencial de vítimas para além de indivíduos que descarregam software não autorizado.
CERT-UA emite recomendações para segurança web e monitorização
O CERT-UA instou os administradores de websites a auditarem a infraestrutura web para detetar scripts não autorizados, plugins comprometidos e backdoors do lado do servidor, ao mesmo tempo que impõem autenticação multifator e a rotação de credenciais administrativas. A agência também recomendou a monitorização de ligações de saída para tráfego invulgar dirigido a serviços RPC da Ethereum e a plataformas de armazenamento em cloud.
O CERT-UA sublinhou que nenhum website, navegador ou serviço de CAPTCHA legítimo alguma vez instruirá os utilizadores a abrir uma consola de comandos ou um terminal do sistema e a executar comandos, alertando que qualquer pedido desse tipo deve ser tratado como um ataque cibernético ativo e ignorado imediatamente.
FAQ
O que fez a UAC-0145 em 19 de Julho de 2026?
A CERT-UA da Ucrânia revelou em 19 de Julho de 2026 que a UAC-0145, um subgrupo da Sandworm, lançou uma campanha cibernética usando prompts falsos de CAPTCHA para enganar os utilizadores a executar comandos maliciosos, ocultando a infraestrutura de comando e controlo dentro da blockchain Ethereum.
Como é que a Sandworm usa a blockchain Ethereum em ciberataques?
A Sandworm incorpora endereços de servidores de comando e controlo em contratos inteligentes Ethereum, que não podem ser facilmente removidos ou desativados por via legal ou administrativa. Os atacantes usam uma ferramenta personalizada chamada SMARTAXE para recuperar endereços C2 atualizados através de consultas da rede Ethereum apenas de leitura.
O que é o malware COWARDDUCK?
O COWARDDUCK é malware para Android distribuído através de aplicações de mensagens disfarçadas de software de segurança ou antivírus. Uma vez instalado, recolhe contactos, informação de geolocalização em tempo real e ficheiros de pastas do dispositivo, transmitindo a informação roubada através da API do Dropbox, ao mesmo tempo que recebe comandos de servidores controlados pelo atacante e de páginas selecionadas da Steam Community.
