2026-10-21 06:49:31 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

cover_image

UAC-0145 利用 ClickFix 验证码向乌克兰设备植入恶意软件

爱拍照的老李
爱拍照的老李

爱拍照的老李

2026年7月20日 09:00
湖北

在小说阅读器读本章

去阅读

导读

俄罗斯黑客组织UAC-0145被观察到利用ClickFix策略欺骗乌克兰目标，感染数据窃取恶意软件。

据乌克兰计算机应急响应小组（CERT-UA）称，此次活动归因于UAC-0145，该组织是沙虫（Sandworm）的一个子集群，而沙虫（Sandworm）是隶属于俄罗斯对外军事情报机构（GRU）的高级黑客组织。

在这些攻击中，发现攻击者会在已被入侵的网站上设置虚假的验证码检查，指示潜在目标在终端中执行一条 PowerShell 命令。

“以该命令为例，其用途可能是在启动自动运行目录中下载并保存一个VBS文件；此类程序的一个变体名为GHETTOVIBE。”乌克兰国家计算机应急响应中心（CERT-UA）在一份警报中表示。

此次攻击还涉及使用 SCOUTCURL 工具，这是一款 PowerShell 脚本，可通过收集受感染计算机的相关信息来执行基础侦察。

在受感染终端中发现的其他恶意程序如下：

FLUIDLEECH 和 LOADLOOP 均为加载程序，其中前者伪装成计算机杀毒软件。
FREAKYPOLL，一款 Python 后门程序

2026年6月至7月期间，至少有10个网站被评估为在此次攻击活动中遭到入侵。攻击者除了利用Cloaking.House（一款可向不同访问者提供不同页面的流量过滤服务）外，还被发现使用一款名为SMARTAXE的定制工具，根据网站访问者动态修改网页内容，并展示验证码检查。

将注入到网页中的验证码内容采用EtherHiding技术，通过源代码中指定的地址从以太坊智能合约中获取远程资源的域名。

乌克兰国家网络安全中心表示，该威胁组织采用了其他攻击技术来入侵设备，包括通过即时通讯应用分发伪装成安全工具的APK文件，以此对安卓设备植入后门。

嵌入在APK文件中的恶意软件是一款功能齐全的后门程序，代号为COWARDDUCK，可秘密收集以下信息：

联系人
来自“DCIM”“Documents”“Downloads”“Pictures”和“Alarms”目录中、与特定扩展名（“.conf”“json”“ovpn”“txt”“doc”“docx”“xls”“xlsx”“pptx”“zip”和“rar”）匹配的文件
实时地理位置

与此同时，该恶意软件利用 Dropbox 云服务 API 上传文件，同时从外部服务器或 Steam 社区等合法网站（如 steamcommunity[.]com）获取指令或数据。

ClickFix 仍是网络威胁领域中用于恶意软件分发的最有效社会工程技术，不法分子利用该技术分发OXLOADER、Mistic、SCMBANKER、ClickLock 信息窃取程序、TELEPUZ以及ACR 信息窃取程序。

技术报告：

https://cert.gov.ua/article/6318437

新闻链接：

https://thehackernews.com/2026/07/uac-0145-uses-clickfix-captchas-to.html

今日安全资讯速递

APT事件

Advanced Persistent Threat

UAC-0145 利用 ClickFix 验证码向乌克兰设备植入恶意软件

俄罗斯黑客组织UAC-0145被观察到利用ClickFix策略欺骗乌克兰目标，感染数据窃取恶意软件。

🔗https://thehackernews.com/2026/07/uac-0145-uses-clickfix-captchas-to.html

Daxin: 存在13年的恶意软件仍在制造商网络上活跃

赛门铁克威胁猎人团队在2026年发现Daxin rootkit和一个新的Stupig后门运行在一家跨国高科技制造商子公司的受侵害主机上。Daxin是一种Windows内核模式的rootkit，赛门铁克首次记录了它。

🔗https://securityaffairs.com/195577/malware/daxin-13-year-old-china-linked-malware-found-still-active-on-manufacturers-network.html

一般威胁事件

General Threat Incidents

SonicWall SMA零日漏洞在披露前被利用以获取root访问权限

一名之前未记录在案的威胁行为者被归因于自2026年6月22日以来公开披露之前利用最近披露的SonicWall Secure Mobile Access (SMA) 1000系列VPN设备作为零日漏洞。

🔗https://thehackernews.com/2026/07/sonicwall-sma-zero-days-exploited.html

安永（EY）调查涉及第三方支持工单的数据泄露事件

安永（EY）披露了一起数据泄露事件，此前攻击者入侵了一个包含客户文件和税务信息的第三方IT支持系统。

🔗https://securityaffairs.com/195550/data-breach/ernst-young-ey-investigates-data-breach-involving-third-party-support-tickets.html

23andMe同意就2023年数据泄露事件向43个州支付1800万美元和解金

23andMe将支付1800万美元来解决43个州对其2023年数据泄露事件的索赔，该事件暴露了近700万人的遗传信息。

🔗https://www.techrepublic.com/article/news-23andme-18-million-settlement-2023-genetic-data-breach/

新型勒索软件Spirals 利用IIS后门和PsExec在24小时内加密IT公司

一个名为“Spirals”的以前未见的勒索软件家族在2026年6月袭击了一家南亚的IT服务公司。赛门铁克威胁猎人团队报告称，攻击者在24小时内从初始入侵转移到全面网络加密。

🔗https://cybersecuritynews.com/new-spirals-ransomware/

5. Hugging Face 确认人工智能驱动的安全事件：攻击者使用自主智能体，防御方以人工智能反击

Hugging Face在本周披露，它检测并控制了一项生产基础设施入侵，该入侵完全由自主AI代理系统驱动，并使用其基于AI的取证分析进行了防御。

🔗https://cybersecuritynews.com/hugging-face-confirms-ai-driven-breach/

漏洞事件

Vulnerability Incidents

严重NGINX漏洞可能导致工作进程崩溃，可能允许远程代码执行

F5已发布针对关键nginx漏洞的修复程序，该漏洞允许远程未认证攻击者通过精心制作的HTTP请求在worker进程中触发堆缓冲区溢出。CVE-2026-42533于7月15日在nginx 1.30.4（稳定版）和1.31.3（主线版）以及NGINX Plus 37.0.3.1中修复；任何使用早期构建版本的用户应升级。

🔗https://thehackernews.com/2026/07/critical-nginx-vulnerability-can-crash.html

攻击者可利用新发布的wp2shell漏洞接管WordPress网站

针对 WordPress 的两个高危漏洞，攻击者现已可利用公开漏洞利用代码，通过组合攻击实现无需身份验证的远程代码执行。

🔗https://securityaffairs.com/195597/hacking/attackers-can-take-over-wordpress-sites-using-newly-released-wp2shell-exploits.html

3.CISA将Fortinet FortiSandbox和微软SharePoint漏洞添加至其已知被利用漏洞目录

美国网络安全和基础设施安全局（CISA）将Fortinet FortiSandbox和Microsoft SharePoint漏洞添加到其已利用漏洞目录中。

🔗https://securityaffairs.com/195569/security/u-s-cisa-adds-fortinet-fortisandbox-and-microsoft-sharepoint-flaws-to-its-known-exploited-vulnerabilities-catalog.html