ウクライナのコンピュータ緊急対応チーム（CERT-UA）は、2026年7月19日、ロシアの軍事情報機関に関連するSandwormによるハッキング作戦の下位グループであるUAC-0145が、悪意のあるコマンドの実行をユーザーに促すため、偽のCAPTCHAプロンプトを用いたサイバーキャンペーンを開始し、指令・制御（C2）インフラをEthereumブロックチェーン内に隠蔽したと明らかにした。攻撃者は、ソフトウェアのエクスプロイトやメール添付に依存する従来のマルウェア配布手法を放棄し、その代わりに、侵害済みのWebサイトに偽造したCAPTCHAメッセージを埋め込み、Windowsの［実行］ダイアログまたはターミナル経由でコマンドを貼り付けて実行するよう訪問者に指示した。この戦術的な転換により、正規のシステムユーティリティとブロックチェーンベースのインフラを活用して、法的または管理上の手続きでは容易に無効化できないため、従来のエンドポイントセキュリティツールを回避できる。
SandwormはEthereumのスマートコントラクトにコマンド・インフラを埋め込む
CERT-UAは、このキャンペーンの最も重要なイノベーションの1つとして、Ethereumのスマートコントラクトを用いてコマンド・アンド・コントロールサーバーのアドレスを保存している点を報告した。登録済みドメインや中央集権型のホスティングサービスに依存する従来のサイバー作戦とは異なり、ブロックチェーンベースのスマートコントラクトは、法的または管理上の手続きによって容易に削除・改変・無効化できない。
調査担当者によると、攻撃者はSMARTAXEとして知られるカスタムツールを用いており、読み取り専用のEthereumネットワーク照会によって更新済みのC2アドレスを取得していた。これにより、オペレーターは侵害済みシステムを新しいサーバーへほぼ即座にリダイレクトでき、同時に、防御側が基盤となるブロックチェーンインフラを無効化することを妨げられる。セキュリティチームは、意図的に通常のコンテンツ配信ネットワーク（CDN）のトラフィックに似せて設計されたEthereumのリモートプロシージャコール（RPC）エンドポイントへのアウトバウンド要求を特定し、ブロックするという困難な課題に直面する。
この勧告では、攻撃者が、訪問者に応じて異なるWebサイトの内容を提示する商用のトラフィックフィルタリングサービスであるCloaking.Houseを使用したことも指摘された。その結果、自動化されたセキュリティスキャナは無害なWebページに遭遇しがちである一方、意図された被害者には悪意のあるCAPTCHAプロンプトが提示される。CERT-UAは、このようなコンテンツを提供するWebサイトは完全に侵害されていると見なすべきであり、盗まれた管理者資格情報、脆弱なコンテンツ管理システム、悪意のあるプラグイン、またはWebシェルの可能性もあると助言した。
キャンペーンはSMARTAXEツールとマルチプラットフォームのマルウェアを展開
被害者が悪意のあるPowerShellコマンドを実行すると、マルチステージの感染シーケンスが始まる。初期マルウェアはWindowsシステムに永続性を確立し、その後、ハードウェア、インストール済みソフトウェア、ブラウザデータ、ローカルファイルを収集する偵察ツールが続く。収集されたインテリジェンスに基づき、攻撃者は永続的なリモートアクセスを提供し、侵害済みネットワーク内での横方向への移動（ラテラルムーブメント）を可能にする追加のマルウェアファミリを選択的に展開する。
このキャンペーンは、悪意のある活動を通常のネットワークトラフィックに紛れ込ませるための正規の管理ツールも利用している。具体的にはOpenSSHとTorである。追加モジュールでは、SignalやWhatsAppといったメッセージングアプリの保存済みの会話を対象にする一方、盗まれた情報は標準のファイル同期ユーティリティを使って転送される。
CERT-UAはさらに、COWARDDUCKとして知られるAndroidマルウェアを特定した。このマルウェアは、セキュリティまたはアンチウイルスのソフトウェアに偽装した形で、メッセージングアプリ経由で配布される。インストールされると、マルウェアは、連絡先、リアルタイムのジオロケーション情報、文書、ダウンロード、写真、アーカイブなど、一般的に使われるデバイスフォルダ内のファイルを収集する。盗まれた情報はDropbox APIを通じて送信され、コマンドは攻撃者が制御するサーバーおよび選択されたSteam Communityのページから受信されるため、悪意のある通信が正当なインターネットの通信に紛れ込む。
同機関は、最新のキャンペーンが、Sandwormが以前にトレントプラットフォーム経由で配布していたトロイ化ソフトウェアインストーラへの依存からの戦略的な転換を示している点も確認した。侵害済みWebサイトに偽のCAPTCHAプロンプトを埋め込むことで、攻撃者は、無許可のソフトウェアをダウンロードする個人を超えて、潜在的な被害者の母集団を大幅に拡大できる。
CERT-UAがWebセキュリティと監視の推奨事項を発行
CERT-UAは、Webサイト管理者に対し、不正なスクリプト、侵害済みプラグイン、サーバー側のバックドアについてWebインフラを監査するとともに、多要素認証を適用し、管理者の認証情報をローテーションするよう促した。さらに同機関は、Ethereum RPCサービスやクラウドストレージのプラットフォームに向けられた、異常なトラフィックについてアウトバウンド接続を監視することを推奨した。
CERT-UAは、正当なWebサイト、ブラウザ、またはCAPTCHAサービスが、ユーザーにコマンドプロンプトやシステム端末を開いてコマンドを実行するよう指示することは決してないと強調した。そのような要求は、能動的なサイバー攻撃として扱い、直ちに無視すべきだと警告した。
よくある質問
UAC-0145は2026年7月19日に何を行いましたか？
ウクライナのCERT-UAは2026年7月19日、Sandwormの下位グループであるUAC-0145が、偽のCAPTCHAプロンプトを用いてユーザーに悪意のあるコマンドの実行を促すサイバーキャンペーンを開始し、その際に指令・制御（C2）インフラをEthereumブロックチェーン内に隠していたと明らかにした。
Sandwormはサイバー攻撃でEthereumのブロックチェーンをどのように使いますか？
SandwormはEthereumのスマートコントラクトに指令・制御サーバーのアドレスを埋め込み、法的または管理上の手続きで容易に削除・無効化できないようにする。攻撃者はSMARTAXEと呼ばれるカスタムツールを使い、読み取り専用のEthereumネットワーク照会によって更新済みのC2アドレスを取得する。
COWARDDUCKマルウェアとは何ですか？
COWARDDUCKは、セキュリティまたはアンチウイルスのソフトウェアに偽装したメッセージングアプリを通じて配布されるAndroidマルウェアである。インストールされると、連絡先、リアルタイムのジオロケーション情報、デバイスフォルダ内のファイルを収集し、盗まれた情報をDropbox APIで送信する一方、コマンドは攻撃者が制御するサーバーおよび選択されたSteam Communityのページから受信される。
