L’équipe ukrainienne de réponse aux urgences informatiques (CERT-UA) a révélé une campagne cyber sophistiquée attribuée à UAC-0145, un sous-groupe de Sandworm, l’opération de piratage liée au renseignement militaire russe. Dans un avis publié le 19 juillet 2026, le CERT-UA a indiqué que les attaquants avaient sensiblement modifié leurs méthodes en utilisant de faux CAPTCHA pour inciter les utilisateurs à infecter leurs propres ordinateurs, tout en dissimulant une infrastructure de commande et de contrôle (C2) dans la blockchain Ethereum.

Selon le CERT-UA, la campagne s’éloigne des techniques conventionnelles de diffusion de logiciels malveillants qui reposent sur des exploits logiciels ou des pièces jointes malveillantes. À la place, des sites web compromis affichent de faux CAPTCHA ou messages d’erreur demandant aux visiteurs d’ouvrir la boîte de dialogue Exécuter de Windows ou un terminal, de coller une commande que du JavaScript intégré a déjà copiée dans le presse-papiers, puis de l’exécuter. Comme la victime lance directement la commande malveillante au moyen d’utilitaires système légitimes, la technique peut contourner les outils traditionnels de sécurité des terminaux, généralement conçus pour détecter les activités suspectes d’installation de logiciels.

Le CERT-UA a déclaré que l’adoption par Sandworm de faux CAPTCHA et d’une infrastructure de commande basée sur Ethereum constitue une évolution notable des tactiques de cyberattaque du groupe et rend les perturbations nettement plus difficiles. Pour les défenseurs, la campagne souligne également un défi plus large : les attaques qui reposent sur l’exécution de commandes par l’utilisateur et sur des outils système légitimes nécessitent souvent de surveiller les comportements, l’activité des scripts et les schémas de trafic réseau sortant, plutôt que de se limiter à l’analyse de fichiers malveillants.

L’infrastructure blockchain complique la réponse défensive

Les enquêteurs ont indiqué que l’une des innovations les plus importantes de la campagne est l’utilisation de contrats intelligents Ethereum pour stocker les adresses des serveurs C2. Contrairement aux opérations cyber qui dépendent de domaines enregistrés ou de fournisseurs d’hébergement centralisés, les contrats intelligents fondés sur la blockchain ne peuvent pas être facilement supprimés, modifiés ou désactivés par des mesures juridiques ou administratives.

Le CERT-UA a indiqué que les attaquants utilisaient un outil personnalisé appelé SMARTAXE pour récupérer les adresses C2 mises à jour au moyen de requêtes en lecture seule sur le réseau Ethereum. Cette approche permet aux opérateurs de rediriger des systèmes infectés vers de nouveaux serveurs presque immédiatement, tout en empêchant les défenseurs de désactiver l’infrastructure blockchain sous-jacente. En conséquence, les équipes de sécurité doivent relever la tâche difficile de détecter et de bloquer les requêtes sortantes vers des points de terminaison Ethereum Remote Procedure Call (RPC) qui ont été délibérément conçus pour ressembler à du trafic normal de réseau de diffusion de contenu.

L’avis indique également que les attaquants ont utilisé Cloaking.House, un service commercial de filtrage du trafic qui affiche un contenu web différent selon le visiteur. Les scanners de sécurité automatisés peuvent donc voir des pages web inoffensives, tandis que les victimes visées reçoivent des CAPTCHA malveillants. Le CERT-UA a averti que tout site web affichant ce contenu devait être considéré comme entièrement compromis, éventuellement au moyen d’identifiants d’administrateur volés, de systèmes de gestion de contenu vulnérables, de plugins malveillants ou de web shells.

Le logiciel malveillant cible les appareils Windows et Android

Après qu’une victime a exécuté la commande PowerShell malveillante, un processus d’infection en plusieurs étapes commence. Le logiciel malveillant initial établit une persistance sur les systèmes Windows, puis des outils de reconnaissance recueillent des informations sur le matériel, les logiciels installés, les données de navigation et les fichiers locaux. Sur la base des informations collectées, les attaquants déploient de manière sélective d’autres familles de logiciels malveillants qui fournissent un accès distant persistant et facilitent les déplacements latéraux dans les réseaux compromis.

La campagne utilise également des outils d’administration légitimes, notamment OpenSSH et Tor, afin de faire paraître l’activité malveillante similaire au trafic réseau ordinaire. D’autres modules sont conçus pour cibler les conversations stockées dans des applications de messagerie telles que Signal et WhatsApp, tandis que les données volées sont transférées au moyen d’utilitaires standards de synchronisation de fichiers.

L’opération utilise un cadre de logiciels malveillants en couches contre les appareils Windows et Android, combinant reconnaissance, accès distant persistant, vol d’identifiants, collecte de données de messagerie et exfiltration de données basée sur le cloud. L’inclusion d’un malware Android élargit le périmètre défensif au-delà des terminaux Windows d’entreprise, en particulier lorsque des employés utilisent des applications de messagerie mobile ou des appareils personnels pour échanger des informations liées au travail.

Le CERT-UA a également identifié un logiciel malveillant Android appelé COWARDDUCK, distribué via des applications de messagerie sous l’apparence d’un logiciel de sécurité ou antivirus. Une fois installé, le malware collecte les contacts, les données de géolocalisation en temps réel et les fichiers provenant de dossiers couramment utilisés sur l’appareil, notamment les documents, les téléchargements, les photographies et les archives. Les informations volées sont envoyées via l’API Dropbox, tandis que les commandes sont reçues depuis des serveurs contrôlés par les attaquants et certaines pages Steam Community, permettant aux communications malveillantes de se mêler au trafic Internet légitime.

L’agence a indiqué que la dernière campagne reflète un changement stratégique par rapport à la dépendance antérieure de Sandworm aux installateurs de logiciels trojanisés distribués via des plateformes torrent. En plaçant de faux CAPTCHA sur des sites web compromis, les attaquants élargissent considérablement leur vivier potentiel de victimes au-delà des personnes téléchargeant des logiciels non autorisés.

Le CERT-UA appelle à renforcer les mesures de sécurité web

Le CERT-UA a exhorté les administrateurs de sites web à auditer leur infrastructure web afin d’y rechercher des scripts non autorisés, des plugins compromis et des portes dérobées côté serveur. L’agence a également recommandé d’imposer l’authentification multifacteur et de procéder à la rotation des identifiants d’administration.

En outre, le CERT-UA a conseillé aux organisations de surveiller les connexions sortantes afin de détecter tout trafic inhabituel dirigé vers des services Ethereum RPC et des plateformes de stockage cloud. L’agence a souligné qu’aucun site web, navigateur ou service CAPTCHA légitime ne demandera jamais aux utilisateurs d’ouvrir une invite de commande ou un terminal système et d’exécuter des commandes. Le CERT-UA a averti que toute demande de ce type devait être considérée comme une cyberattaque active et ignorée immédiatement.