L'unità di hacking più sofisticata del GRU russo, nota come Sandworm, ha adottato una tecnica di attacco chiamata Clickfix per infettare dispositivi di organizzazioni sensibili in Ucraina. Lo ha rivelato il CERT ucraino, che ha identificato una campagna in corso dalla primavera all'estate del 2026. Clickfix sfrutta un falso test CAPTCHA per indurre le vittime a eseguire comandi PowerShell dannosi, portando all'installazione di malware come FreakyPoll.
Clickfix: come funziona l'inganno del CAPTCHA falso
Clickfix è una tecnica di social engineering emersa negli ultimi anni, inizialmente usata da criminali finanziari. Gli attaccanti compromettono siti web legittimi e mostrano un CAPTCHA apparentemente normale. Il visitatore deve copiare un testo confuso e incollarlo nel terminale. Quel testo contiene script che, una volta eseguiti, scaricano malware o esfiltrano dati sensibili. Nel caso di Sandworm, il comando PowerShell viene mascherato da verifica umana. Il CERT ucraino ha scoperto almeno dieci siti compromessi che ospitavano questo inganno.
Sponsored Protocol
Sandworm: l'élite del GRU adotta strumenti da criminali comuni
Sandworm è un gruppo di hacker d'élite legato all'intelligence militare russa, noto per attacchi devastanti come BlackEnergy e NotPetya. Ora utilizza Clickfix per colpire obiettivi in Ucraina. La campagna, denominata "GhettoVibe" e "ScoutCurl", ha già portato alla compromissione di almeno un'organizzazione, con il malware FreakyPoll installato su dispositivi connessi. Questo dimostra come le tecniche di attacco si diffondano tra diversi attori, dai criminali ai gruppi statali.
Sponsored Protocol
Per comprendere meglio l'evoluzione delle minacce informatiche, si veda l'analisi su GPT-Red di OpenAI, un'IA progettata per testare la sicurezza dei modelli, o l'articolo su SQL Injection avanzato per altre tecniche di attacco. Un approfondimento su Wikipedia fornisce il contesto storico del gruppo.
