Wspierani przez państwo rosyjskie aktorzy zagrożeń powiązani z Sandworm wykorzystują fałszywe rozmowy rekrutacyjne, aby atakować ukraińskich specjalistów IT i administratorów systemów trojanizowanym klientem VPN, który potrafi uruchamiać polecenia na komputerach ofiar.
Ukraiński zespół reagowania na incydenty komputerowe, CERT-UA, przypisał tę aktywność grupie UAC-0145, podgrupie w ramach Sandworm, śledzonej także jako APT44, Seashell Blizzard i UAC-0002. Kampania jest podobno aktywna co najmniej od maja 2026 roku i koncentruje się na osobach, które prawdopodobnie mają uprzywilejowany dostęp do systemów korporacyjnych, sieci i infrastruktury zdalnego dostępu.
Jak działa kampania
Atak zaczyna się jak zwykły proces rekrutacyjny.
Aktorzy zagrożeń przeglądają CV na portalach z ofertami pracy, a następnie kontaktują się z potencjalnymi ofiarami, udając przedstawicieli firmy IT. Początkowe rozmowy odbywają się przez komunikator serwisu z ofertami pracy, a potem przenoszą się na platformy takie jak Telegram, gdzie ofiara rozmawia z rzekomym menedżerem HR.
Cały proces jest celowo wiarygodny. Kandydaci otrzymują ogólne pytania dotyczące pracy, sprawdzana jest ich znajomość angielskiego, a następnie są zapraszani na rozmowę przez Zoom z kimś, kto wygląda na prawdziwą osobę. CERT-UA zauważył, że nie jest jasne, czy osoba w rozmowie wideo była prawdziwa, czy być może wygenerowana przez AI.
Potem ofiara otrzymuje e-mailem instrukcje do rozmowy technicznej. Zawierają one pliki konfiguracyjne WireGuard VPN dla systemu Windows lub Linux, rzekomo potrzebne do połączenia z korporacyjnym środowiskiem testowym.
Gdy połączenie VPN nie działa, atakujący sugerują użycie niestandardowej aplikacji VPN o nazwie SopraVPN, hostowanej w SourceForge i promowanej za pośrednictwem domen zaprojektowanych tak, by naśladować prawdziwy branding korporacyjny.
Tu dochodzi do właściwego włamania.
Trojanizowany VPN
Złośliwy klient VPN jest oparty na zmodyfikowanym kodzie źródłowym WireGuard.
Nie oznacza to, że sam WireGuard jest wadliwy. Atakujący wykorzystali fakt, że WireGuard jest oprogramowaniem open source, i stworzyli zmodyfikowaną wersję, która nadal zachowuje się jak klient VPN, ukrywając złośliwą funkcjonalność w przepływie działania aplikacji.
CERT-UA ustalił, że zmieniony klient dodał obsługę niestandardowej opcji konfiguracji o nazwie SymmetricKey. To pole zawiera zaszyfrowane dane. Klient używa klucza prywatnego WireGuard z konfiguracji jako części procesu deszyfrowania, a następnie przekazuje odszyfrowany kod PowerShell do standardowego mechanizmu wykonywania poleceń WireGuard.
Mówiąc prosto: konfiguracja VPN to nie tylko plik połączenia.
Staje się kontenerem na ukryty kod.
Gdy ofiara uruchomi niestandardowego klienta VPN, atakujący może wykonywać polecenia na hoście, a ofiara nie zdaje sobie sprawy, że atakiem jest samo narzędzie VPN.
Wpływ na Windows i Linux
Atak działa zarówno w scenariuszach dla Windows, jak i Linux.
W systemie Windows trojanizowany klient używa PowerShell do utworzenia zaplanowanego zadania i pobrania dodatkowego ładunku z infrastruktury kontrolowanej przez atakujących. W systemie Linux złośliwy przepływ używa curl, by pobrać kolejny plik wykonywalny z infrastruktury zdefiniowanej w konfiguracji VPN.
Końcowy ładunek nie został publicznie w pełni opisany, ale już sama ta możliwość jest wystarczająco poważna: wykonywanie poleceń, utrwalanie obecności przez zaplanowane zadania i pobieranie zdalnych ładunków.
W przypadku administratora IT lub inżyniera systemowego może to dać atakującym przyczółek na urządzeniu mającym dostęp do sieci VPN, poświadczeń, kluczy SSH, konsol chmurowych, wewnętrznej dokumentacji lub systemów produkcyjnych.
Dlaczego fałszywe rozmowy rekrutacyjne działają
Fałszywe ataki rekrutacyjne są skuteczne, ponieważ wykorzystują zaufany proces międzyludzki.
Rozmowa kwalifikacyjna sama w sobie tworzy presję. Kandydaci oczekują, że będą wykonywać instrukcje, dołączać do spotkań, realizować zadania techniczne, pobierać materiały testowe, a czasem łączyć się ze zdalnym laboratorium lub środowiskiem korporacyjnym.
Dlatego prośba o zainstalowanie VPN wydaje się wiarygodna.
Ta kampania jest szczególnie niebezpieczna, ponieważ celuje w użytkowników technicznych, którzy zwykle mogą być ostrożniejsi. Atakujący nie wysyłają po prostu przypadkowego załącznika. Budują zaufanie przez wyreżyserowaną rozmowę, rozmowę na żywo, realistyczny branding oferty pracy i ocenę techniczną.
Efektem jest łańcuch socjotechniczny, w którym każdy krok wygląda rozsądnie, dopóki ofiara nie zainstaluje złośliwego klienta.
Dlaczego pracownicy IT to cenne cele
UAC-0145 nie atakuje przypadkowych użytkowników.
Administratorzy systemów i specjaliści IT często mają dostęp do systemów, do których zwykli pracownicy go nie mają. Ich urządzenia mogą zawierać:
- profile VPN
- klucze SSH
- poświadczenia administratora
- narzędzia do zdalnego zarządzania
- tokeny dostępu do chmury
- dokumentację systemów wewnętrznych
- uprzywilejowane sesje przeglądarki
- dostęp do menedżera haseł
- konsole zarządzania punktami końcowymi
Przejęcie jednej stacji roboczej IT może dać atakującemu drogę do znacznie większego środowiska.
Dlatego ta kampania ma znaczenie wykraczające poza pojedynczą ofiarę. Udana fałszywa rozmowa rekrutacyjna może stać się początkowym dostępem do firmy, operatora telekomunikacyjnego, podwykonawcy rządowego lub dostawcy infrastruktury krytycznej.
Element szerszej zmiany w działaniach UAC-0145
To nie jedyna niedawna kampania przypisywana UAC-0145.
CERT-UA wcześniej informował o aktywności UAC-0145 z użyciem fałszywych stron CAPTCHA w stylu ClickFix, na których ofiary były nakłaniane do ręcznego uruchamiania poleceń PowerShell. Te kampanie dostarczały złośliwe oprogramowanie, w tym skrypty rozpoznawcze, loadery i backdoory, przeciwko ukraińskim celom.
Kampania z fałszywymi rozmowami rekrutacyjnymi pokazuje ten sam szerszy schemat: zamiast polegać wyłącznie na exploitach technicznych, grupa coraz częściej stosuje socjotechnikę, która sprawia, że ofiary same wykonują atak.
Ta technika nie jest unikalna dla aktorów powiązanych z Rosją. The Hacker News zauważył, że fałszywe kampanie rekrutacyjne były też wykorzystywane przez chińskie, irańskie i północnokoreańskie grupy zagrożeń.
Co powinny zrobić organizacje
Firmy powinny traktować złośliwe oprogramowanie o tematyce rekrutacyjnej jako problem bezpieczeństwa przedsiębiorstwa, a nie tylko osobiste ryzyko osób szukających pracy.
Zalecane działania obejmują:
- zezwalanie systemom korporacyjnym na dostęp do zasobów wewnętrznych wyłącznie z zarządzanych i monitorowanych urządzeń
- blokowanie instalacji niezatwierdzonych klientów VPN
- ograniczanie uruchamiania niepodpisanego lub nieznanego oprogramowania
- monitorowanie nowych zaplanowanych zadań tworzonych po instalacji VPN
- alarmowanie o podejrzanej aktywności PowerShell powiązanej z klientami VPN
- sprawdzanie nieoczekiwanych plików konfiguracyjnych WireGuard
- szkolenie pracowników IT, aby nie instalowali narzędzi do rozmów rekrutacyjnych na podstawowych stacjach roboczych
- zapewnianie jednorazowych środowisk laboratoryjnych do zewnętrznych ocen technicznych
- stworzenie jasnego procesu zgłaszania podejrzanych kontaktów od rekruterów
CERT-UA zaleca, aby organizacje zezwalały na dostęp do zasobów korporacyjnych wyłącznie z zarządzanych urządzeń z odpowiednim oprogramowaniem zabezpieczającym, zdefiniowanymi politykami i ciągłym monitorowaniem.
Co powinny zrobić osoby szukające pracy
Dla specjalistów IT najbezpieczniejsza zasada jest prosta: nie instaluj oprogramowania dostarczonego przez rekrutera na swoim głównym komputerze roboczym.
Zachowaj szczególną ostrożność, jeśli rekruter:
- szybko przenosi rozmowę na Telegram lub inny komunikator
- prosi o zainstalowanie niestandardowego VPN
- przysyła pliki konfiguracyjne „sieci testowej”
- twierdzi, że zwykły VPN nie zadziałał, i proponuje alternatywnego klienta
- używa domeny podobnej do znanej firmy, ale nie identycznej
- wywiera presję, by wykonać zadanie podczas rozmowy na żywo
- udostępnia oprogramowanie przez serwisy do wymiany plików lub strony projektów podmiotów trzecich
Prawowici pracodawcy powinni umieć potwierdzić swoją tożsamość za pośrednictwem oficjalnych kanałów firmy i zapewnić bezpieczne, izolowane sposoby wykonywania ocen technicznych.
Podsumowanie
Kampania UAC-0145 pokazuje, jak profesjonalna i ukierunkowana stała się współczesna socjotechnika.
Atakujący nie polegają na oczywistych e-mailach phishingowych ani prymitywnych załącznikach ze złośliwym oprogramowaniem. Budują wokół ofiary całą historię rekrutacyjną, wraz z czatem, weryfikacją przez HR, rozmowami wideo, instrukcjami technicznymi, plikami konfiguracyjnymi VPN i niestandardowym narzędziem, które rzekomo rozwiązuje wyreżyserowany problem z połączeniem.
