Descoberta e escopo da campanha
Ator ameaça patrocinado pelo estado russo, identificado como UAC-0145, subgrupo da unidade Sandworm, tem sido observado utilizando a estratégia infame de ClickFix para enganar alvos ucranianos e infectar suas próprias máquinas com malware de roubo de dados. A atividade foi atribuída ao Computer Emergency Response Team of Ukraine (CERT-UA), que monitora as operações de segurança cibernética no país. O ataque explora a engenharia social de forma sofisticada, utilizando CAPTCHAs falsos como isca para induzir os usuários a executar scripts maliciosos em seus sistemas.
A técnica ClickFix, que se tornou uma tática recorrente em campanhas de phishing avançadas, envolve a apresentação de uma página de verificação de CAPTCHA que, ao ser clicada, executa comandos no terminal do usuário. No caso do UAC-0145, a abordagem foi refinada para contornar defesas básicas e garantir a persistência do malware nas redes comprometidas. A natureza do ataque sugere um foco em inteligência e espionagem, alinhado com as operações históricas do grupo Sandworm, conhecido por ataques a infraestrutura crítica.
Vetor de exploração e mecanismos de infecção
O vetor de ataque principal é a entrega de links maliciosos que redirecionam as vítimas para páginas web hospedadas em domínios comprometidos ou recém-registrados. Essas páginas exibem um CAPTCHA falso que exige interação do usuário para "provar que não é um robô". Ao clicar no botão de verificação, o usuário inadvertidamente executa um script PowerShell ou Bash que baixa e instala o payload malicioso. O script frequentemente utiliza ferramentas legítimas do sistema, como certutil ou bitsadmin, para baixar o malware, uma técnica conhecida como Living off the Land (LotL), que dificulta a detecção por soluções de segurança tradicionais.
A exploração não requer vulnerabilidades de software (zero-day) no navegador, mas sim a falha humana na verificação da autenticidade da página. Isso torna a defesa dependente de conscientização do usuário e de controles de segurança de endpoint que bloqueiem a execução de scripts não assinados. O malware instalado é do tipo data-stealer, projetado para extrair credenciais, cookies de sessão e informações sensíveis armazenadas no navegador e no sistema operacional.
Evidências e limites da campanha
As evidências coletadas pelo CERT-UA indicam que a campanha está ativa desde pelo menos o início de julho de 2026, com picos de atividade observados em horários comerciais na Ucrânia. A infraestrutura de comando e controle (C2) utilizada pelos atacantes é rotativa, com servidores sendo desligados e novos sendo ativados rapidamente para evitar bloqueios. A análise forense dos sistemas comprometidos revela que o malware mantém conexões persistentes com servidores externos, enviando dados exfiltrados em intervalos regulares.
Os limites da campanha parecem ser geograficamente restritos inicialmente, focando em alvos ucranianos. No entanto, a tática ClickFix é genérica e pode ser adaptada para outros países. A falta de exploração de vulnerabilidades de software sugere que os atacantes priorizam a eficiência e a baixa complexidade técnica em detrimento de exploits sofisticados, o que aumenta o volume potencial de vítimas. A persistência do malware é garantida através da criação de tarefas agendadas e modificações no registro do sistema, permitindo que o acesso seja mantido mesmo após reinicializações.
Impacto e alcance operacional
O impacto operacional para as organizações afetadas é significativo, com risco de perda de dados sensíveis e comprometimento de credenciais de acesso. Para o setor público e infraestrutura crítica na Ucrânia, o risco é ainda maior, pois o acesso a sistemas governamentais pode ser utilizado para espionagem ou preparação para ataques mais destrutivos. A exfiltração de dados pode comprometer a segurança nacional e a privacidade dos cidadãos, levantando questões sobre a conformidade com leis de proteção de dados locais.
Para empresas globais com operações na região, o risco de contaminação cruzada existe, especialmente se houver conexões de rede ou acesso remoto a sistemas ucranianos. A infecção de um único endpoint pode servir como ponto de entrada para movimentação lateral na rede, permitindo que os atacantes alcancem servidores críticos. A detecção tardia é comum, pois o malware muitas vezes se disfarça como processos legítimos ou utiliza criptografia para ofuscar o tráfego de saída.
Implicações regulatórias e LGPD
Embora o foco da campanha seja a Ucrânia, as implicações para a conformidade regulatória global são relevantes. No Brasil, a Lei Geral de Proteção de Dados (LGPD) exige que organizações notifiquem incidentes de segurança que envolvam dados pessoais. Se uma empresa brasileira tiver funcionários ou sistemas conectados a redes ucranianas comprometidas, ela pode estar sujeita a obrigações de notificação à Autoridade Nacional de Proteção de Dados (ANPD).
A falha em implementar controles adequados de segurança da informação, como autenticação multifator (MFA) e monitoramento de comportamento de usuários, pode ser considerada negligência em caso de auditoria. A LGPD enfatiza a responsabilidade proativa das organizações em proteger dados, o que inclui a proteção contra engenharia social e malware. A exposição de dados de cidadãos ucranianos por parte de empresas globais pode também violar regulamentos internacionais de privacidade, dependendo da natureza dos dados e das jurisdições envolvidas.
Medidas de mitigação recomendadas
Para mitigar o risco de ataques ClickFix, as organizações devem implementar uma combinação de controles técnicos e educacionais. A primeira linha de defesa é a conscientização dos usuários, treinando-os para identificar sinais de phishing e desconfiar de solicitações de verificação de CAPTCHA em páginas não confiáveis. O uso de navegadores com proteção contra phishing e extensões de segurança pode ajudar a bloquear sites maliciosos antes que o usuário interaja com eles.
Do ponto de vista técnico, a restrição de execução de scripts no terminal é crucial. Políticas de grupo (GPO) devem ser configuradas para impedir a execução de PowerShell ou Bash por usuários padrão. O uso de soluções de resposta a endpoint (EDR) com capacidades de detecção de comportamento anômalo pode identificar a execução de scripts não autorizados e bloquear a infecção. Além disso, a implementação de autenticação multifator (MFA) em todos os sistemas críticos reduz o risco de comprometimento de credenciais exfiltradas.
As equipes de SOC devem monitorar logs de autenticação e tráfego de rede em busca de conexões suspeitas para servidores de C2 conhecidos. A segmentação de rede também é essencial para limitar o movimento lateral caso um endpoint seja comprometido. A atualização regular de sistemas e a aplicação de patches de segurança devem ser priorizadas, embora neste caso específico a vulnerabilidade seja humana, não de software.
O que os CISOs devem fazer imediatamente
Os CISOs devem revisar imediatamente os planos de resposta a incidentes para incluir cenários de engenharia social avançada. É necessário garantir que os canais de comunicação de segurança estejam ativos e que os usuários saibam como reportar suspeitas de phishing. A revisão das políticas de acesso remoto e a implementação de controles de acesso baseado em função (RBAC) podem reduzir a superfície de ataque.
Além disso, a colaboração com comunidades de inteligência de ameaças é vital para obter indicadores de comprometimento (IOCs) atualizados. A participação em grupos de compartilhamento de informações de segurança permite que as organizações se antecipem a novas táticas do UAC-0145 e de outros grupos patrocinados pelo estado. A priorização da segurança da informação deve ser mantida como um pilar estratégico, com investimentos contínuos em treinamento e tecnologia.
Perguntas frequentes
É possível prevenir o ClickFix? Sim, através de treinamento de usuários e bloqueio de execução de scripts não autorizados.
O Sandworm é o único grupo usando essa tática? Não, o ClickFix é usado por vários grupos, mas o UAC-0145 é uma variante específica focada na Ucrânia.
Como identificar se meu sistema foi infectado? Monitore o uso de CPU, conexões de rede suspeitas e processos desconhecidos no gerenciador de tarefas.