Das Computer Emergency Response Team der Ukraine (CERT-UA) hat eine ausgeklügelte Cyberkampagne offengelegt, die UAC-0145 zugeschrieben wird, einer Untergruppe von Sandworm, der mit dem russischen Militärgeheimdienst verbundenen Hacking-Operation. In einer Mitteilung vom 19. Juli 2026 erklärte CERT-UA, die Angreifer hätten ihre Methoden erheblich verändert, indem sie gefälschte CAPTCHA-Abfragen nutzten, um Nutzer dazu zu verleiten, ihre eigenen Computer zu infizieren, während sie die Command-and-Control-(C2)-Infrastruktur innerhalb der Ethereum-Blockchain verbargen.

CERT-UA zufolge entfernt sich die Kampagne von herkömmlichen Methoden zur Verbreitung von Malware, die auf Software-Exploits oder schädliche E-Mail-Anhänge setzen. Stattdessen zeigen kompromittierte Websites gefälschte CAPTCHA- oder Fehlermeldungen an, die Besucher anweisen, den Windows-Ausführen-Dialog oder ein Terminal zu öffnen, einen Befehl einzufügen, den eingebettetes JavaScript bereits in die Zwischenablage kopiert hat, und ihn auszuführen. Da das Opfer den schädlichen Befehl direkt über legitime Systemwerkzeuge ausführt, kann die Technik traditionelle Endpoint-Security-Tools umgehen, die typischerweise darauf ausgelegt sind, verdächtige Softwareinstallationsaktivitäten zu erkennen.

CERT-UA erklärte, Sandworms Einsatz gefälschter CAPTCHA-Abfragen und Ethereum-basierter Befehlsinfrastruktur markiere eine bemerkenswerte Weiterentwicklung der Cyberangriffstaktiken der Gruppe und mache eine Störung deutlich schwieriger. Für Verteidiger unterstreicht die Kampagne zudem eine breitere Herausforderung: Angriffe, die auf nutzergesteuerte Befehlsausführung und legitime Systemwerkzeuge setzen, erfordern häufig die Überwachung von Verhalten, Skriptaktivität und ausgehenden Netzwerkmustern, statt lediglich nach schädlichen Dateien zu suchen.

Blockchain-Infrastruktur erschwert die Abwehrreaktion

Ermittler sagten, eine der wichtigsten Neuerungen der Kampagne sei die Nutzung von Ethereum-Smart-Contracts zur Speicherung von C2-Serveradressen. Anders als Cyberoperationen, die von registrierten Domains oder zentralisierten Hosting-Anbietern abhängen, lassen sich blockchainbasierte Smart Contracts nicht einfach durch rechtliche oder administrative Maßnahmen entfernen, ändern oder deaktivieren.

CERT-UA zufolge verwendeten die Angreifer ein speziell entwickeltes Werkzeug namens SMARTAXE, um aktualisierte C2-Adressen über schreibgeschützte Abfragen an das Ethereum-Netzwerk abzurufen. Dieser Ansatz ermöglicht es den Betreibern, infizierte Systeme nahezu sofort auf neue Server umzuleiten, während Verteidiger daran gehindert werden, die zugrunde liegende Blockchain-Infrastruktur zu deaktivieren. Dadurch stehen Sicherheitsteams vor der schwierigen Aufgabe, ausgehende Anfragen an Ethereum-Remote-Procedure-Call-(RPC)-Endpunkte zu erkennen und zu blockieren, die absichtlich so gestaltet wurden, dass sie normalem Traffic von Content-Delivery-Netzwerken ähneln.

Die Mitteilung besagte außerdem, dass die Angreifer Cloaking.House nutzten, einen kommerziellen Dienst zur Traffic-Filterung, der je nach Besucher unterschiedliche Website-Inhalte anzeigt. Automatisierte Sicherheitsscanner sehen daher möglicherweise harmlose Webseiten, während den vorgesehenen Opfern schädliche CAPTCHA-Abfragen angezeigt werden. CERT-UA warnte, dass jede Website, die solche Inhalte anzeigt, als vollständig kompromittiert behandelt werden sollte, möglicherweise durch gestohlene Administratorzugangsdaten, anfällige Content-Management-Systeme, schädliche Plugins oder Web-Shells.

Malware zielt auf Windows- und Android-Geräte

Nachdem ein Opfer den schädlichen PowerShell-Befehl ausgeführt hat, beginnt ein mehrstufiger Infektionsprozess. Die anfängliche Malware richtet Persistenz auf Windows-Systemen ein, gefolgt von Aufklärungswerkzeugen, die Details zu Hardware, installierter Software, Browserdaten und lokalen Dateien sammeln. Auf Grundlage der gesammelten Informationen setzen die Angreifer selektiv weitere Malware-Familien ein, die dauerhaften Fernzugriff ermöglichen und laterale Bewegungen innerhalb kompromittierter Netzwerke unterstützen.

Die Kampagne nutzt außerdem legitime Administrationswerkzeuge, darunter OpenSSH und Tor, um schädliche Aktivitäten wie gewöhnlichen Netzwerkverkehr erscheinen zu lassen. Weitere Module sind darauf ausgelegt, gespeicherte Unterhaltungen aus Messaging-Anwendungen wie Signal und WhatsApp ins Visier zu nehmen, während gestohlene Daten über Standardprogramme zur Dateisynchronisierung übertragen werden.

Die Operation verwendet ein mehrschichtiges Malware-Framework gegen Windows- und Android-Geräte und kombiniert Aufklärung, dauerhaften Fernzugriff, Diebstahl von Zugangsdaten, Sammlung von Messaging-Daten und cloudbasierten Datenabfluss. Die Einbeziehung von Android-Malware erweitert den Verteidigungsbereich über Windows-Endpunkte in Unternehmen hinaus, insbesondere dort, wo Beschäftigte mobile Messaging-Apps oder persönliche Geräte zum Austausch arbeitsbezogener Informationen nutzen.

CERT-UA identifizierte außerdem Android-Malware namens COWARDDUCK, die über Messaging-Anwendungen verbreitet wird und sich als Sicherheits- oder Antivirensoftware tarnt. Nach der Installation sammelt die Malware Kontakte, Echtzeit-Geolokalisierungsdaten und Dateien aus häufig verwendeten Ordnern auf dem Gerät, darunter Dokumente, Downloads, Fotos und Archive. Gestohlene Informationen werden über die Dropbox API gesendet, während Befehle von Servern unter Kontrolle der Angreifer und ausgewählten Steam-Community-Seiten empfangen werden, wodurch sich schädliche Kommunikation in legitimen Internetverkehr einfügen kann.

Die Behörde erklärte, die jüngste Kampagne spiegele eine strategische Abkehr von Sandworms früherer Abhängigkeit von trojanisierten Software-Installern wider, die über Torrent-Plattformen verbreitet wurden. Durch die Platzierung gefälschter CAPTCHA-Abfragen auf kompromittierten Websites erweitern die Angreifer ihren potenziellen Opferkreis deutlich über Personen hinaus, die unautorisierte Software herunterladen.

CERT-UA fordert stärkere Websicherheitsmaßnahmen

CERT-UA forderte Website-Administratoren auf, ihre Webinfrastruktur auf unautorisierte Skripte, kompromittierte Plugins und serverseitige Backdoors zu prüfen. Die Behörde empfahl außerdem, Multi-Faktor-Authentifizierung durchzusetzen und administrative Zugangsdaten zu rotieren.

Darüber hinaus riet CERT-UA Organisationen, ausgehende Verbindungen auf ungewöhnlichen Traffic zu Ethereum-RPC-Diensten und Cloud-Speicherplattformen zu überwachen. Die Behörde betonte, dass keine legitime Website, kein Browser und kein CAPTCHA-Dienst Nutzer jemals auffordern werde, eine Eingabeaufforderung oder ein Systemterminal zu öffnen und Befehle auszuführen. CERT-UA warnte, dass jede solche Aufforderung als aktiver Cyberangriff behandelt und sofort ignoriert werden sollte.