ウクライナのコンピューター緊急対応チーム（CERT-UA）は、ロシア軍情報機関と関連するハッキング作戦Sandwormの傘下グループであるUAC-0145によるものとされる高度なサイバー攻撃キャンペーンを公表した。CERT-UAは2026年7月19日の勧告で、攻撃者が偽のCAPTCHAプロンプトを使ってユーザーに自分のコンピューターを感染させるよう仕向ける一方、コマンド・アンド・コントロール（C2）基盤をEthereumブロックチェーン内に隠すことで、手口を大きく変化させたと述べた。

CERT-UAによると、このキャンペーンは、ソフトウェアの脆弱性悪用や悪意あるメール添付ファイルに依存する従来型のマルウェア配布手法から離れている。代わりに、侵害されたウェブサイトが偽のCAPTCHAやエラーメッセージを表示し、訪問者にWindowsの「ファイル名を指定して実行」ダイアログまたはターミナルを開き、埋め込まれたJavaScriptによってすでにクリップボードへコピーされたコマンドを貼り付け、実行するよう指示する。被害者が正規のシステムユーティリティを通じて悪意あるコマンドを直接実行するため、この手法は通常、不審なソフトウェアインストール活動の検知を目的とする従来型のエンドポイントセキュリティツールを回避できる可能性がある。

CERT-UAは、Sandwormによる偽CAPTCHAプロンプトとEthereumベースのコマンド基盤の採用は、同グループのサイバー攻撃戦術における注目すべき進展であり、妨害を大幅に難しくしていると述べた。防御側にとって、このキャンペーンはより広範な課題も示している。すなわち、ユーザー主導のコマンド実行と正規のシステムツールに依存する攻撃では、悪意あるファイルのスキャンだけでなく、挙動、スクリプト活動、外向きネットワークパターンの監視が必要になることが多い。

ブロックチェーン基盤が防御対応を複雑化

調査担当者によると、このキャンペーンで最も重要な革新の一つは、C2サーバーのアドレスを保存するためにEthereumスマートコントラクトを使用している点だ。登録ドメインや中央集権型ホスティング事業者に依存するサイバー作戦とは異なり、ブロックチェーンベースのスマートコントラクトは、法的または行政的手段によって容易に削除、変更、無効化することができない。

CERT-UAは、攻撃者がSMARTAXEと呼ばれるカスタムツールを使用し、Ethereumネットワークへの読み取り専用クエリを通じて更新されたC2アドレスを取得していたと述べた。この手法により、運用者は感染システムをほぼ即座に新しいサーバーへ誘導できる一方、防御側が基盤となるブロックチェーンインフラを無効化することを防いでいる。その結果、セキュリティチームは、通常のコンテンツ配信ネットワークのトラフィックに見えるよう意図的に作られたEthereum Remote Procedure Call（RPC）エンドポイントへの外向きリクエストを検知し、ブロックするという困難な課題に直面している。

同勧告はまた、攻撃者が訪問者に応じて異なるウェブサイトコンテンツを表示する商用トラフィックフィルタリングサービスCloaking.Houseを使用していたとも述べた。そのため、自動化されたセキュリティスキャナーには無害なウェブページが表示される一方、標的となった被害者には悪意あるCAPTCHAプロンプトが提示される可能性がある。CERT-UAは、このようなコンテンツを表示するウェブサイトは、管理者認証情報の窃取、脆弱なコンテンツ管理システム、悪意あるプラグイン、またはウェブシェルを通じて完全に侵害されているものとして扱うべきだと警告した。

マルウェアはWindowsとAndroidデバイスを標的に

被害者が悪意あるPowerShellコマンドを実行すると、多段階の感染プロセスが始まる。初期マルウェアはWindowsシステム上で永続化を確立し、その後、ハードウェア、インストール済みソフトウェア、ブラウザデータ、ローカルファイルに関する情報を収集する偵察ツールが続く。収集された情報に基づき、攻撃者は永続的なリモートアクセスを提供し、侵害されたネットワーク内での横方向移動を支援する追加のマルウェアファミリーを選択的に展開する。

このキャンペーンでは、悪意ある活動を通常のネットワークトラフィックに似せるため、OpenSSHやTorを含む正規の管理ツールも使用されている。その他のモジュールは、SignalやWhatsAppなどのメッセージングアプリケーションに保存された会話を標的にするよう設計されており、盗まれたデータは標準的なファイル同期ユーティリティを通じて転送される。

この作戦は、WindowsとAndroidの両デバイスに対して階層型のマルウェアフレームワークを使用し、偵察、永続的なリモートアクセス、認証情報窃取、メッセージングデータ収集、クラウドベースのデータ流出を組み合わせている。Androidマルウェアの組み込みにより、防御範囲は企業のWindowsエンドポイントを超えて広がっており、特に従業員が業務関連情報のやり取りにモバイルメッセージングアプリや個人デバイスを使用している場合に重要となる。

CERT-UAはまた、COWARDDUCKと呼ばれるAndroidマルウェアも特定した。これはセキュリティまたはウイルス対策ソフトウェアを装ってメッセージングアプリケーション経由で配布される。インストールされると、このマルウェアは連絡先、リアルタイムの位置情報データ、文書、ダウンロード、写真、アーカイブなど、デバイス上で一般的に使用されるフォルダー内のファイルを収集する。盗まれた情報はDropbox APIを通じて送信され、コマンドは攻撃者が管理するサーバーおよび選定されたSteam Communityページから受信されるため、悪意ある通信が正規のインターネットトラフィックに紛れ込むことが可能になる。

同機関は、今回の最新キャンペーンが、torrentプラットフォームを通じて配布されるトロイの木馬化されたソフトウェアインストーラーにSandwormが以前依存していた手法からの戦略的転換を反映していると述べた。攻撃者は侵害されたウェブサイトに偽CAPTCHAプロンプトを配置することで、不正ソフトウェアをダウンロードする人々を超えて、潜在的な被害者層を大幅に広げている。

CERT-UA、ウェブセキュリティ対策の強化を要請

CERT-UAはウェブサイト管理者に対し、未承認スクリプト、侵害されたプラグイン、サーバー側バックドアの有無についてウェブインフラを監査するよう促した。同機関はまた、多要素認証の徹底と管理者認証情報のローテーションも推奨した。

さらにCERT-UAは、Ethereum RPCサービスおよびクラウドストレージプラットフォームに向かう異常なトラフィックについて、組織が外向き接続を監視するよう助言した。同機関は、正規のウェブサイト、ブラウザ、CAPTCHAサービスが、ユーザーにコマンドプロンプトやシステムターミナルを開いてコマンドを実行するよう求めることは決してないと強調した。CERT-UAは、そのような要求はすべて能動的なサイバー攻撃として扱い、直ちに無視すべきだと警告した。