Una nuova campagna di cyber attacchi sta colpendo obiettivi in Ucraina sfruttando una tecnica di social engineering sempre piu diffusa chiamata ClickFix. Il meccanismo e semplice ma efficace: su siti web compromessi viene mostrato un falso controllo CAPTCHA che invita la vittima a copiare e incollare un comando nel terminale.
In realta quel comando avvia PowerShell e scarica componenti malevoli, portando l utente a infettare da solo il proprio dispositivo Windows.
L attivita e stata collegata al gruppo UAC 0145, considerato un sotto cluster di un attore avanzato legato a operazioni di cyber warfare. Il flusso di infezione puo includere il download e il salvataggio di uno script VBS nella cartella di avvio automatico, cosi da ottenere persistenza al riavvio. Tra le varianti osservate compare un payload identificato come GHETTOVIBE, usato come esempio di questo tipo di catena.
Dopo la prima esecuzione, gli attaccanti impiegano anche SCOUTCURL, uno script PowerShell dedicato alla ricognizione di base, che raccoglie informazioni sul sistema compromesso. In seguito possono entrare in gioco ulteriori moduli come FLUIDLEECH e LOADLOOP, che agiscono da loader. Uno di questi si maschera da software per rimuovere virus, aumentando la credibilita dell infezione. E stato inoltre segnalato FREAKYPOLL, una backdoor in Python, utile per mantenere accesso remoto e distribuire altri strumenti.
Infrastruttura e tecniche di evasione
La campagna ha coinvolto almeno 10 siti compromessi tra giugno e luglio 2026. Per rendere piu difficile l analisi, viene usato un servizio di traffic filtering che permette di mostrare contenuti diversi a seconda del visitatore. Inoltre un tool dedicato chiamato SMARTAXE modifica dinamicamente la pagina per iniettare il falso CAPTCHA solo a determinati utenti. Il contenuto del CAPTCHA puo sfruttare una tecnica che recupera un dominio da uno smart contract su Ethereum, cosi da rendere piu resiliente la distribuzione delle risorse malevole.
Componente mobile: backdoor Android
Parallelamente e stata rilevata anche una componente mobile: APK distribuiti tramite app di messaggistica e spacciati per strumenti di sicurezza installano una backdoor Android chiamata COWARDDUCK. Questo malware puo raccogliere contatti, file con estensioni comuni come json txt docx xlsx zip e rar da cartelle tipiche come Documents e Downloads, oltre alla geolocalizzazione in tempo reale. Per l esfiltrazione usa anche API di servizi cloud come Dropbox e puo ricevere comandi da server esterni o da siti legittimi.