ロシア政府支援の「UAC-0145」が偽CAPTCHAで攻撃、ウクライナでマルウェア感染を誘導

要点

• ロシア政府が支援するハッカー集団「Sandworm」の傘下にある「UAC-0145」が、ウクライナを標的としたサイバー攻撃を展開していることが判明した。
• 攻撃者は改ざんしたウェブサイトに偽のCAPTCHA画面を表示し、ユーザー自身に悪意あるコマンドを実行させる「ClickFix」手法を利用している。
• 感染したPCからは情報の窃盗や偵察を行うマルウェアが検出されたほか、セキュリティツールを装うAndroidアプリによるスマートフォンへの攻撃も確認された。
• 2026年6月から7月にかけて少なくとも10のサイトが改ざんされており、イーサリアムのスマートコントラクトを悪用して接続先を隠蔽する技術が使われている。
• 今回のClickFixの採用は、偽のインストーラーやメッセージングアプリでの直接配布に頼っていた従来の攻撃手法からの転換を意味している。

リード文

ウクライナのコンピュータ緊急対応チーム（CERT-UA）は2026年7月19日、ロシア政府が支援する脅威アクター「UAC-0145」による新たなサイバー攻撃に関する警告を発表した。この攻撃は、改ざんされたウェブサイト上で「ClickFix（クリックフィックス）」と呼ばれる手法を用い、偽のCAPTCHA（人間とコンピューターを判別するテスト）画面を提示して標的のユーザー自身にマルウェアを実行させるものである。UAC-0145は、ロシアの主要な外国軍事情報機関であるGRU（参謀本部情報総局）に所属する高度なハッキング部隊「Sandworm（サンドワーム）」のサブグループと評価されている。

巧妙な「ClickFix」手法とPCへの感染プロセス

今回の攻撃キャンペーンにおいて、ハッカー集団は改ざんされたウェブサイトにアクセスしたユーザーに対し、偽のCAPTCHA確認画面を提示する。画面上では、ロボットではないことを証明するためのエラー修正と称して、Windowsシステムを管理する「PowerShell（パワーシェル）」ターミナルで特定のコマンドをコピーして実行するよう指示する。
ユーザーがこの指示に従ってコマンドを実行してしまうと、システムの自動起動を設定するスタートアップディレクトリに「GHETTOVIBE（ゲットーバイブ）」と呼ばれる悪意あるVBS（簡易的なスクリプト言語で書かれたファイル）がダウンロードされ、保存される。このプログラムはシステム起動時に自動的に実行される仕組みとなっている。
さらに、この攻撃では「SCOUTCURL」と呼ばれるPowerShellスクリプトも同時に動作することが確認されている。SCOUTCURLは、感染したマシンの基本情報を収集して外部へ送信する、初期段階の偵察活動を担っている。

検出された多様なマルウェアと検知を免れる隠蔽技術

CERT-UAの報告によると、攻撃の対象となったデバイスからは、前述のプログラム以外にも複数のマルウェアが検出されている。

• FLUIDLEECH（フルイドリーチ）およびLOADLOOP（ロードループ）：これらは「ローダー」と呼ばれるプログラムで、別の不正なファイルをシステム内に読み込む役割を果たす。このうちFLUIDLEECHは、PCからウイルスを除去するためのセキュリティソフトウェアを装ってユーザーを欺いている。
• FREAKYPOLL（フリーキーポール）：Python言語で書かれたバックドア（外部からシステムを遠隔操作するための不正な侵入経路）である。

このキャンペーンにおいて、2026年6月から7月の間に少なくとも10個のウェブサイトが改ざんの被害に遭った。攻撃者は「Cloaking.House」と呼ばれるトラフィックフィルタリングサービスを利用し、訪問者の属性やアクセス環境に応じて表示するウェブページを切り替えることで、セキュリティ研究者による検知を逃れている。また、「SMARTAXE」と呼ばれる独自開発されたツールを使用し、サイト訪問者に応じて動的にウェブページの内容を書き換えて偽のCAPTCHA画面を表示させる仕組みも構築していた。
さらに、この偽のCAPTCHAプログラムには「EtherHiding（イーサハイディング）」と呼ばれる技術が採用されている。これは、暗号資産Ethereum（イーサリアム）のスマートコントラクト（ブロックチェーン上で自動実行されるプログラム）のアドレスをソースコード内に指定し、そこからリモートサーバーのドメイン名を取得する手法である。これにより、従来のセキュリティ対策ソフトによる接続先サーバーのブラックリスト登録を回避している。

モバイルデバイスを狙う「COWARDDUCK」の脅威

UAC-0145は、Windows PCだけでなく、Android OSを搭載したモバイルデバイスも攻撃の標的にしている。
攻撃者は各種メッセージングアプリを介して、セキュリティ対策ツールを装ったAPKファイル（Android用アプリのインストーラー形式）を配布している。このファイルには、「COWARDDUCK（カワードダック）」というコードネームで呼ばれる、高度な機能を備えたバックドアマルウェアが組み込まれている。COWARDDUCKは、感染したスマートフォンから以下のような極めて機微な情報を密かに収集する。

• 保存されている連絡先データ
• 特定の拡張子（設定ファイルを示す「.conf」や「.json」、VPN接続設定の「.ovpn」、テキストの「.txt」、Microsoft Office関連の「.doc」「.docx」「.xls」「.xlsx」「.pptx」、および圧縮ファイルの「.zip」「.rar」）を持つファイル。これらは、デバイス内の「DCIM（カメラで撮影した写真）」「Documents」「Downloads」「Pictures」「Alarms」といった主要なディレクトリからスキャンされ、抽出される。
• リアルタイムの位置情報（ジオロケーション）

窃取されたこれらのデータは、正規のオンラインストレージサービスであるDropbox（ドロップボックス）のAPIを利用して、攻撃者が制御するサーバーへとアップロードされる。さらにCOWARDDUCKは、コマンドの受信や追加データのやり取りのために、正規のゲームコミュニティサイトである「steamcommunity.com」やその他の一般的なウェブサイトを悪用して通信を行っている。

従来の攻撃戦術からの転換と広がるClickFixの悪用

ロシア政府の支援を受けるこのハッカー集団がClickFix手法を採用したことは、従来のサイバー攻撃戦術からの大きな転換を示している。これまでのキャンペーンにおいて、彼らは主にバックドアがあらかじめ組み込まれたWindowsやMicrosoft Officeの偽のインストーラーを使用するか、メッセージングアプリ「Signal（シグナル）」を介して偽のウイルス対策ソフトを直接送りつける手法を採用していた。
しかし、ClickFixは依然としてユーザーを騙してマルウェアを自発的にインストールさせる効果的なソーシャルエンジニアリング（人間の心理的な隙や操作ミスに付け込む手口）手法として、サイバー脅威の現場で猛威を振るい続けている。現在、UAC-0145による今回の悪用例に留まらず、他の攻撃グループによっても「OXLOADER」や「Mistic」、「SCMBANKER」、「ClickLock Stealer」、「TELEPUZ」、「ACR Stealer」といった多種多様なマルウェアの配信経路としてClickFixが悪用されている。