Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Kampanie typu ClickFix to jedna z bardziej podstępnych form socjotechniki obserwowanych we współczesnych operacjach cybernetycznych. Mechanizm polega na nakłonieniu użytkownika do samodzielnego uruchomienia złośliwego polecenia pod pozorem wykonania rutynowej czynności, takiej jak potwierdzenie CAPTCHA, naprawa błędu lub rzekoma weryfikacja bezpieczeństwa. W opisywanej kampanii technika ta została wykorzystana do infekowania urządzeń na Ukrainie przez aktora zagrożeń identyfikowanego jako UAC-0145.
Atak jest szczególnie niebezpieczny, ponieważ łączy kompromitację legalnych stron internetowych z precyzyjnie przygotowaną warstwą socjotechniczną. Dzięki temu ofiara często nie ma poczucia, że wykonuje działanie prowadzące do uruchomienia malware.
W skrócie
- UAC-0145 wykorzystywał przejęte witryny do wyświetlania fałszywych ekranów CAPTCHA.
- Użytkownicy byli nakłaniani do uruchomienia polecenia PowerShell, które inicjowało infekcję.
- W kampanii odnotowano komponenty SCOUTCURL, FLUIDLEECH, LOADLOOP i backdoora FREAKYPOLL.
- Atakujący stosowali filtrowanie ruchu i dynamiczne podstawianie złośliwej treści tylko wybranym ofiarom.
- Równolegle obserwowano wariant mobilny dla Androida z backdoorem COWARDDUCK.
Kontekst / historia
UAC-0145 jest opisywany jako podklaster powiązany z aktywnością Sandworm, a więc środowiskiem przypisywanym rosyjskim operacjom cyberwywiadowczym. Dotychczas podobne kampanie opierały się często na trojanizowanych instalatorach, fałszywych aplikacjach ochronnych lub dokumentach przynętowych. Tym razem operatorzy postawili na model, w którym użytkownik sam inicjuje wykonanie złośliwego polecenia.
To istotna zmiana taktyczna. Zamiast polegać wyłącznie na klasycznym dostarczeniu szkodliwego pliku, napastnicy wykorzystują zaufanie do legalnie wyglądającej witryny i standardowych mechanizmów przeglądania sieci. Dodatkowo warunkowe serwowanie treści utrudnia analizę kampanii, ponieważ nie każdy odwiedzający zobaczy tę samą zawartość.
Analiza techniczna
Łańcuch infekcji rozpoczynał się od wejścia na skompromitowaną stronę internetową. Ofierze prezentowano fałszywy ekran CAPTCHA, który zamiast weryfikować użytkownika instruował go, aby uruchomił określone polecenie w systemie. W praktyce prowadziło to do wykonania komendy PowerShell pobierającej kolejne elementy ataku i zapisującej pliki odpowiedzialne za utrzymanie trwałości w systemie, między innymi w katalogu autostartu.
W analizowanych przypadkach wykorzystywano skrypt SCOUTCURL do wstępnego rozpoznania hosta. Następnie wdrażane były kolejne komponenty, takie jak FLUIDLEECH i LOADLOOP, pełniące funkcję loaderów. FLUIDLEECH miał dodatkowo podszywać się pod narzędzie do usuwania wirusów, co zwiększało wiarygodność całej operacji. Jednym z finalnych elementów był FREAKYPOLL, czyli backdoor napisany w Pythonie.
Operatorzy stosowali również mechanizmy utrudniające wykrycie infrastruktury i odtworzenie przebiegu ataku. Wskazywano na użycie narzędzia SMARTAXE do dynamicznej modyfikacji treści na stronie oraz techniki EtherHiding, w której informacje o zdalnym zasobie mogły być pobierane z kontraktu smart contract w sieci Ethereum. Taki model pozwala ukrywać część wskaźników poza tradycyjnym hostingiem i szybko zmieniać elementy infrastruktury.
Równolegle opisywano także działania wymierzone w urządzenia z Androidem. Złośliwe pliki APK były dystrybuowane przez komunikatory i podszywały się pod narzędzia bezpieczeństwa. Osadzony w nich backdoor COWARDDUCK potrafił pozyskiwać kontakty, dane geolokalizacyjne oraz pliki użytkownika z wybranych katalogów. To rozszerza zakres zagrożenia poza stacje robocze Windows i pokazuje wieloplatformowy charakter operacji.
Konsekwencje / ryzyko
Z perspektywy organizacji kampania niesie wysokie ryzyko, ponieważ wykorzystuje zachowanie użytkownika jako kluczowy element łańcucha ataku. Oznacza to, że część tradycyjnych zabezpieczeń nastawionych na blokowanie exploitów może nie zareagować odpowiednio wcześnie, jeśli ofiara sama uruchomi złośliwe polecenie.
Potencjalne skutki obejmują:
- kradzież danych z zainfekowanego urządzenia,
- utrwalenie dostępu do systemu przez atakującego,
- rekonesans środowiska i przygotowanie dalszych etapów operacji,
- wykorzystanie przejętego hosta do ruchu bocznego,
- wyciek danych kontaktowych, lokalizacyjnych i plików w wariancie mobilnym.
Dla administracji publicznej, firm oraz podmiotów obsługujących infrastrukturę krytyczną taki scenariusz może oznaczać zarówno naruszenie poufności, jak i stworzenie przyczółka do dalszych działań wywiadowczych lub sabotażowych.
Rekomendacje
Podstawową rekomendacją jest wdrożenie jasnej zasady operacyjnej: użytkownicy nie powinni wykonywać poleceń kopiowanych ze stron internetowych, zwłaszcza gdy są one przedstawiane jako część CAPTCHA, aktualizacji, naprawy błędu lub procedury bezpieczeństwa. To prosty, ale bardzo skuteczny sposób ograniczania ryzyka kampanii typu ClickFix.
Na poziomie technicznym warto rozważyć:
- ograniczenie użycia PowerShell i skryptów VBS przez użytkowników końcowych,
- wdrożenie kontroli aplikacji i polityk allow-listing,
- monitorowanie tworzenia plików w katalogach autostartu,
- analizę nietypowych uruchomień interpretera skryptowego z kontekstu przeglądarki,
- wykrywanie warunkowego serwowania treści na firmowych stronach WWW,
- blokowanie instalacji aplikacji mobilnych spoza zaufanych źródeł.
Zespoły SOC powinny korelować telemetrię endpointów, ruchu sieciowego, DNS, proxy oraz aktywności użytkownika. Szczególną uwagę warto zwrócić na ręcznie inicjowane wykonania poleceń, nietypowe pobrania skryptów oraz mechanizmy ukrywania infrastruktury z użyciem usług zewnętrznych i technologii blockchain.
Podsumowanie
Kampania przypisywana UAC-0145 pokazuje, że ClickFix pozostaje skuteczną techniką dostarczania malware, zwłaszcza gdy zostaje połączona z kompromitacją legalnych stron, filtrowaniem ruchu i wieloetapową infrastrukturą. Atakujący wykorzystują nie tylko luki technologiczne, ale przede wszystkim podatność użytkowników na wiarygodnie przygotowaną socjotechnikę.
Dla obrońców kluczowe znaczenie mają edukacja użytkowników, ograniczenie możliwości uruchamiania skryptów, monitoring integralności witryn oraz detekcja zachowań charakterystycznych dla ręcznie wywoływanych infekcji. W obliczu rosnącej liczby podobnych operacji właśnie połączenie świadomości i kontroli technicznych daje największą szansę na skuteczną obronę.
Źródła
- The Hacker News — UAC-0145 Uses ClickFix CAPTCHAs to Infect Ukrainian Devices wih Malware — https://thehackernews.com/2026/07/uac-0145-uses-clickfix-captchas-to.html
- CERT-UA Alert cited in reporting on UAC-0145 campaign — https://cert.gov.ua/