Tim Tanggap Darurat Komputer Ukraina (CERT-UA) mengungkapkan pada 19 Juli 2026 bahwa UAC-0145, sebuah subkelompok operasi peretasan Sandworm yang terkait intelijen militer Rusia, meluncurkan kampanye siber dengan menggunakan prompt CAPTCHA palsu untuk menipu pengguna agar menjalankan perintah berbahaya, sambil menyembunyikan infrastruktur command-and-control di dalam blockchain Ethereum. Para penyerang meninggalkan metode pengiriman malware tradisional yang mengandalkan eksploitasi perangkat lunak atau lampiran email, dan sebagai gantinya menyematkan pesan CAPTCHA palsu di situs web yang telah dibajak. Pesan itu menginstruksikan pengunjung untuk menempel dan mengeksekusi perintah melalui dialog Windows Run atau terminal. Perubahan taktis ini memungkinkan operasi menghindari alat keamanan endpoint konvensional dengan memanfaatkan utilitas sistem yang sah serta infrastruktur berbasis blockchain yang tidak mudah dinonaktifkan melalui tindakan hukum atau administratif.
Sandworm Menanamkan Infrastruktur Command di Smart Contract Ethereum
CERT-UA melaporkan bahwa inovasi paling signifikan dalam kampanye ini adalah penggunaan smart contract Ethereum untuk menyimpan alamat server command-and-control. Berbeda dari operasi siber konvensional yang bergantung pada domain terdaftar atau layanan hosting terpusat, smart contract berbasis blockchain tidak mudah dihapus, diubah, atau dinonaktifkan melalui tindakan hukum atau administratif.
Para penyelidik mengatakan penyerang menggunakan alat khusus bernama SMARTAXE, yang mengambil alamat C2 yang diperbarui melalui kueri jaringan Ethereum mode read-only. Ini memungkinkan operator mengalihkan sistem yang terinfeksi ke server baru hampir secara instan, sekaligus mencegah pihak pembela menonaktifkan infrastruktur blockchain yang mendasarinya. Tim keamanan menghadapi tugas menantang untuk mengidentifikasi dan memblokir permintaan keluar ke endpoint Ethereum Remote Procedure Call (RPC) yang dengan sengaja dirancang menyerupai lalu lintas content delivery network normal.
Advisory tersebut juga mencatat bahwa penyerang menggunakan Cloaking.House, sebuah layanan komersial penyaringan lalu lintas yang menyajikan konten situs web berbeda tergantung pada pengunjung. Akibatnya, pemindai keamanan otomatis sering menemukan halaman web yang tampak tidak berbahaya, sementara korban yang dituju menerima prompt CAPTCHA berbahaya. CERT-UA menyarankan bahwa situs web apa pun yang menyajikan konten seperti itu harus dianggap sepenuhnya telah dibajak, berpotensi melalui kredensial admin yang dicuri, sistem manajemen konten yang rentan, plugin berbahaya, atau web shell.
Kampanye Menerapkan Alat SMARTAXE dan Malware Multi-Platform
Setelah korban menjalankan perintah PowerShell berbahaya, rangkaian infeksi bertahap dimulai. Malware awal membangun persistensi pada sistem Windows, diikuti alat untuk rekognisi yang mengumpulkan informasi tentang perangkat keras, perangkat lunak yang terpasang, data browser, dan file lokal. Berdasarkan kecerdasan yang dikumpulkan, penyerang secara selektif menerapkan keluarga malware tambahan yang menyediakan akses jarak jauh yang persisten dan memfasilitasi pergerakan lateral di dalam jaringan yang telah dibobol.
Kampanye ini juga mengandalkan alat administrasi yang sah, termasuk OpenSSH dan Tor, untuk menyamarkan aktivitas berbahaya agar menyatu dengan lalu lintas jaringan rutin. Modul tambahan menargetkan percakapan tersimpan dari aplikasi pesan seperti Signal dan WhatsApp, sementara informasi yang dicuri ditransfer menggunakan utilitas sinkronisasi file standar.
CERT-UA juga mengidentifikasi malware Android bernama COWARDDUCK, yang didistribusikan melalui aplikasi pesan dengan penyamaran sebagai perangkat lunak keamanan atau antivirus. Setelah diinstal, malware mengumpulkan kontak, informasi geolokasi real-time, dan file dari folder perangkat yang umum digunakan, termasuk dokumen, unduhan, foto, dan arsip. Informasi yang dicuri ditransmisikan melalui Dropbox API, sementara perintah diterima dari server yang dikendalikan penyerang dan halaman Steam Community tertentu, sehingga komunikasi berbahaya dapat menyatu dengan lalu lintas internet yang sah.
Agensi tersebut mengamati bahwa kampanye terbaru ini mewakili pergeseran strategis dari ketergantungan Sandworm sebelumnya pada installer perangkat lunak yang sudah ditrojan melalui platform torrent. Dengan menyematkan prompt CAPTCHA palsu ke situs web yang telah dibajak, para penyerang secara signifikan memperluas kumpulan calon korban di luar individu yang mengunduh perangkat lunak tanpa izin.
CERT-UA Mengeluarkan Rekomendasi Keamanan Web dan Pemantauan
CERT-UA mendesak administrator situs web untuk mengaudit infrastruktur web dari skrip yang tidak sah, plugin yang dibajak, dan backdoor sisi server sambil menerapkan autentikasi multi-faktor serta memutar ulang kredensial administratif. Agensi tersebut juga merekomendasikan pemantauan koneksi keluar untuk lalu lintas yang tidak biasa yang diarahkan ke layanan Ethereum RPC dan platform penyimpanan cloud.
CERT-UA menekankan bahwa tidak ada situs web, browser, atau layanan CAPTCHA yang sah yang akan pernah menginstruksikan pengguna untuk membuka prompt perintah atau terminal sistem dan menjalankan perintah. Agensi ini memperingatkan bahwa permintaan seperti itu harus diperlakukan sebagai serangan siber aktif dan diabaikan segera.
FAQ
Apa yang dilakukan UAC-0145 pada 19 Juli 2026?
CERT-UA Ukraina mengungkapkan pada 19 Juli 2026 bahwa UAC-0145, sebuah subkelompok Sandworm, meluncurkan kampanye siber dengan menggunakan prompt CAPTCHA palsu untuk menipu pengguna agar menjalankan perintah berbahaya, sambil menyembunyikan infrastruktur command-and-control di dalam blockchain Ethereum.
Bagaimana Sandworm menggunakan blockchain Ethereum dalam serangan siber?
Sandworm menyematkan alamat server command-and-control di smart contract Ethereum, yang tidak mudah dihapus atau dinonaktifkan melalui tindakan hukum atau administratif. Para penyerang menggunakan alat kustom bernama SMARTAXE untuk mengambil alamat C2 yang diperbarui melalui kueri jaringan Ethereum mode read-only.
Apa itu malware COWARDDUCK?
COWARDDUCK adalah malware Android yang didistribusikan melalui aplikasi pesan dengan penyamaran sebagai perangkat lunak keamanan atau antivirus. Setelah diinstal, ia mengumpulkan kontak, informasi geolokasi real-time, dan file dari folder perangkat, lalu mentransmisikan informasi yang dicuri melalui Dropbox API sambil menerima perintah dari server yang dikendalikan penyerang dan halaman Steam Community tertentu.
