La campanya cibernètica prorussa s'adreça als ucraïnesos amb programari maliciós i propaganda contra la mobilització

En un desenvolupament preocupant, una campanya cibernètica sofisticada està dirigida als usuaris d'Internet ucraïnesos, aprofitant els canals populars de Telegram per difondre programari maliciós i soscavar els esforços de mobilització nacional. Google ha atribuït aquesta activitat a un actor d'amenaça identificat com UNC5812, que ha estat utilitzant canals legítims de Telegram en ucraïnès per distribuir programari perillós i propaganda contra la mobilització.

Ús de Telegram per part de la UNC5812 per arribar a les víctimes

En els darrers mesos, UNC5812 ha comprat publicacions promocionades en canals legítims de Telegram en ucraïnès per dirigir-se a grans públics, alguns amb fins a 80.000 subscriptors. Notablement, la campanya ha girat al voltant d'un lloc web que es presenta com una iniciativa oficial de "Defensa civil", atraient els usuaris amb la promesa d'un programari que els ajudarà a mantenir-se anònims i segurs en línia. En realitat, aquest lloc web i les seves publicacions promocionades formen part d'un esquema més ampli per infectar dispositius amb programari maliciós i dur a terme operacions d'influència destinades a desestabilitzar els esforços de contractació d'Ucraïna.

El lloc web maliciós de “Defensa Civil”.

L'anomenat lloc web de "Defensa Civil", controlat per UNC5812, afirma proporcionar programari per a diversos sistemes operatius, inclosa una aplicació per a Android disponible exclusivament fora de Google Play. Aquesta restricció es presenta com una funció de seguretat, la qual cosa implica que és més segura que les ofertes de Play Store. Tanmateix, aquesta és una coberta per distribuir programari maliciós que pot comprometre els dispositius dels usuaris.

Per instal·lar correctament aquest programari maliciós, el lloc web indica als usuaris que desactivin Google Play Protect, una funció de seguretat clau que protegeix els usuaris d'Android d'aplicacions potencialment perjudicials, i que habilitin manualment els permisos complets per a l'aplicació. En animar els usuaris a evitar aquestes proteccions essencials, UNC5812 augmenta la probabilitat d'infectar dispositius sense detecció, atorgant al programari maliciós un ampli accés a les dades i funcionalitats del dispositiu.

Activitats d'influència i desinformació

A més de la distribució de programari maliciós, UNC5812 està participant en operacions d'influència destinades a erosionar la moral i el suport militar d'Ucraïna. El canal de Telegram "Defensa Civil" ha animat activament els usuaris a penjar vídeos que podrien desacreditar l'exèrcit ucraïnès, alhora que promou narracions oposades als esforços de mobilització. Aquest canal sembla dissenyat per influir en l'opinió pública i alimentar la desconfiança en les operacions militars d'Ucraïna.

El lloc web associat a UNC5812 també està ple de contingut i imatges en ucraïnès que s'oposen explícitament a la mobilització. Una secció de "notícies" destaca els casos de suposada mobilització injusta, aprofitant qualsevol queixa pública relacionada amb el tema. Aquest enfocament polifacètic, que combina programari maliciós amb desinformació, apunta a un esforç no només per comprometre els dispositius, sinó també per soscavar els esforços de defensa d'Ucraïna des de dins.

Resposta de Google i implicacions més àmplies

Google ha actuat ràpidament per contrarestar aquesta campanya, notificant a les autoritats ucraïneses les activitats de l'UNC5812 i bloquejant l'accés al lloc web de "Defensa civil" a Ucraïna. A més, Google ha afegit els dominis i els fitxers associats amb aquesta campanya a la seva funció de navegació segura, amb l'objectiu d'evitar més infeccions als serveis de Google.

Aquesta campanya cibernètica sorgeix en un moment en què Ucraïna ha introduït una identificació militar digital nacional per racionalitzar la mobilització i la gestió dels reclutes. Segons les conclusions de Google, aquest canvi ha donat lloc a un augment de la focalització de possibles reclutes militars, alineant-se amb els esforços de desinformació més amplis observats per EUvsDisinfo, un projecte que rastreja la desinformació de fonts prorusses. En conjunt, aquestes troballes il·lustren un esforç coordinat per explotar les vulnerabilitats tecnològiques i les tensions sociopolítiques, aprofitant tant el programari maliciós com la desinformació per desestabilitzar la infraestructura de contractació d'Ucraïna.

Mantenir-se segur davant de campanyes dirigides

La campanya UNC5812 demostra com els ciberactors poden combinar atacs tècnics amb manipulació psicològica per assolir objectius estratègics. Per als usuaris, especialment a Ucraïna, és fonamental augmentar la consciència de la seguretat digital. Les precaucions bàsiques inclouen baixar aplicacions exclusivament de fonts de confiança com Google Play, evitar desactivar funcions de seguretat crítiques com Google Play Protect i mantenir-se vigilant sobre la legitimitat dels canals de Telegram que promouen contingut controvertit o programari no sol·licitat.

A mesura que les campanyes cibernètiques continuen evolucionant en la seva sofisticació i abast, les respostes coordinades d'empreses com Google i les autoritats nacionals seguiran sent essencials per mitigar aquestes amenaces. Per a les persones, entendre els riscos de baixar aplicacions no autoritzades i interactuar amb contingut en línia potencialment maliciós pot marcar una diferència significativa a l'hora de protegir-se tant del programari maliciós com de les campanyes d'influència.