Sandworm usa CAPTCHA falso para induzir ucranianos a instalar malware manualmente

O grupo hacker Sandworm, associado à inteligência militar da Rússia (GRU), passou a utilizar uma nova técnica de engenharia social para comprometer computadores de alvos na Ucrânia. Em vez de explorar vulnerabilidades diretamente, os invasores estão abusando de páginas comprometidas que exibem falsos desafios CAPTCHA para convencer as vítimas a executar comandos maliciosos por conta própria.

A campanha foi detalhada pela Equipe de Resposta a Emergências Cibernéticas da Ucrânia (CERT-UA), que observou uma mudança nas táticas empregadas pelo grupo durante a primavera e o verão de 2026. Segundo os pesquisadores, o Sandworm passou a adotar com maior frequência uma variante da técnica conhecida como ClickFix, que explora a confiança dos usuários em verificações de segurança aparentemente legítimas.

Nesse ataque, a vítima acessa um site previamente comprometido e encontra um suposto CAPTCHA destinado a confirmar que ela é humana. Em vez de apresentar o tradicional desafio visual, a página orienta o usuário a copiar e colar um comando PowerShell diretamente no Windows.

Ao executar o comando, a própria vítima instala um malware inicial chamado GhettoVibe, que estabelece acesso persistente ao computador e permite que os operadores implantem ferramentas adicionais posteriormente.

Após a infecção inicial, os invasores podem utilizar um segundo componente denominado ScoutCurl, responsável por realizar reconhecimento do sistema comprometido. A ferramenta coleta informações como especificações do equipamento, softwares instalados, arquivos armazenados e dados dos navegadores para avaliar o valor estratégico do alvo antes de expandir a invasão.

Os pesquisadores também identificaram dois carregadores de malware (loaders) utilizados na campanha: FluidLeech, disfarçado como um software de remoção de antivírus, e LoadLoop, empregado para instalar cargas maliciosas adicionais.

De acordo com o CERT-UA, a técnica ClickFix foi observada em mais de dez sites comprometidos durante os meses de junho e julho. A agência não divulgou quantos dispositivos foram efetivamente infectados.

A estratégia representa uma evolução das campanhas de engenharia social. Em vez de explorar falhas técnicas nos sistemas, os invasores induzem os próprios usuários a contornar os mecanismos de segurança do Windows, dificultando a detecção por soluções tradicionais de proteção.

Além do ClickFix, o Sandworm continua utilizando métodos já conhecidos para comprometer dispositivos ucranianos.

O CERT-UA alertou que o grupo distribui malwares para Android disfarçados de aplicativos de segurança enviados por meio de aplicativos de mensagens. Após a instalação, o software malicioso consegue coletar contatos, arquivos, informações do dispositivo e até dados de geolocalização em tempo real.

Outra técnica recorrente envolve a distribuição de versões adulteradas dos instaladores do Microsoft Windows e do Microsoft Office por meio de sites de torrent. Usuários que baixam softwares piratas acabam instalando backdoors que concedem acesso remoto aos invasores.

Segundo a agência ucraniana, pelo menos uma dessas infecções permitiu que o Sandworm estabelecesse acesso inicial à rede de um órgão do governo ucraniano antes de lançar um ataque destrutivo contra uma autoridade executiva central.

Os pesquisadores também destacaram campanhas conduzidas por meio do aplicativo Signal. Nesses casos, os hackers investem semanas construindo confiança com militares e outros alvos estratégicos antes de solicitar a instalação de um suposto antivírus. Em algumas situações, os criminosos chegam a oferecer pagamentos em dinheiro para convencer as vítimas a executar arquivos maliciosos.

O Sandworm é considerado um dos grupos de espionagem e sabotagem mais ativos ligados ao governo russo. Ativo desde pelo menos 2013, o grupo é amplamente atribuído ao GRU por governos ocidentais e empresas de cibersegurança.

Ao longo dos últimos anos, o grupo foi associado a algumas das operações cibernéticas mais destrutivas já registradas, incluindo ataques contra a rede elétrica da Ucrânia, campanhas de sabotagem durante a guerra entre Rússia e Ucrânia e diversas operações direcionadas contra órgãos governamentais e infraestruturas críticas.

A campanha descrita pelo CERT-UA demonstra como ataques modernos dependem cada vez menos de vulnerabilidades técnicas e mais da manipulação psicológica das vítimas. Técnicas como ClickFix exploram a confiança dos usuários em mecanismos comuns da web, tornando treinamentos de conscientização e políticas que restrinjam a execução de comandos administrativos componentes essenciais da defesa contra esse tipo de ameaça.