UAC-0145 sposta l’infezione sul comando eseguito dall’utente
Il cambio vero è nel punto di fiducia: UAC-0145 non punta più solo su installer trojanizzati, ma fa eseguire il malware dalle stesse vittime, tramite false CAPTCHA su siti compromessi. Così si aggirano le difese che cercano il download di un file sospetto, perché l’innesco passa da una pagina che induce a lanciare PowerShell o a fidarsi di un’app apparentemente di sicurezza.
CERT-UA attribuisce la campagna a Sandworm/UAC-0145 e descrive un fronte Windows e uno Android. Sul lato Windows compaiono fake CAPTCHA, script PowerShell e componenti come GHETTOVIBE e SCOUTCURL; sul lato Android arrivano APK travestiti da strumenti di sicurezza, distribuiti via messaging app, con il backdoor COWARDDUCK.
Per i difensori il punto non è solo il malware usato, ma il canale: browser, terminale e app di messaggistica diventano la superficie d’attacco reale. Chi controlla solo i download e gli installer rischia di perdere la fase iniziale dell’infezione.