Hackers associados ao grupo de ameaça russo Sandworm têm mirado administradores de sistemas e profissionais de TI por meio de falsas ofertas de emprego desde pelo menos maio de 2026.
A Equipe de Resposta a Emergências Cibernéticas da Ucrânia, o CERT-UA, divulgou detalhes de uma campanha de engenharia social atribuída ao UAC-0145, que se acredita ser um subcluster do Sandworm, também identificado como APT44, Seashell Blizzard e UAC-0002, um grupo sofisticado de hackers associado ao GRU. Segundo a agência, a operação está em andamento desde maio e tem como alvo profissionais de TI no país, abordados por criminosos que se passam por recrutadores e empresas do setor para induzi-los a instalar malware.
Segundo o CERT-UA, o atacante analisa os currículos enviados por candidatos em sites de vagas e, em seguida, inicia o contato direto. “Especificamente, em sites de busca de emprego, após analisar o currículo de um candidato, os atacantes entram em contato com a potencial vítima, normalmente um administrador de sistemas ou especialista em TI, em nome de uma empresa de tecnologia, como a ATLAS Business Group”, informou a agência.
As conversas passam então para o Telegram, onde são combinadas entrevistas em vídeo pelo Zoom. Durante a entrevista, conduzida em inglês, os candidatos recebem tarefas técnicas simuladas que exigem a conexão a uma VPN corporativa. Em um dos casos observados pelo CERT-UA, o atacante se passou pela empresa internacional de TI Sopra Steria usando endereços de e-mail aparentemente legítimos, semelhantes aos da unidade da companhia na Bulgária.
Embora a comunicação inicial ocorra por meio de um chat online embutido na plataforma de vagas, a conversa depois migra para aplicativos de mensagens, como o Telegram. Nesse estágio, a vítima é atendida por um suposto gerente de RH, que afirma estar responsável pela triagem de candidatos para a Sopra Steria Bulgaria, uma empresa legítima de consultoria e software com sede na Europa. Durante a conversa, são feitas perguntas gerais sobre trabalho e sobre o nível de inglês do candidato. Em seguida, a pessoa é convidada para uma videoconferência no Zoom.
A reunião de fato acontece, com um homem que fala inglês e parece ter entre 30 e 35 anos. No entanto, não está claro se a pessoa que aparece na entrevista era um participante real ou uma persona sintética gerada com IA.
Em paralelo, instruções adicionais para a entrevista técnica são enviadas por e-mail, incluindo arquivos de configuração para conexão a uma VPN “corporativa” usando WireGuard (Linux/Windows), sob a justificativa de que a vítima deveria concluir uma avaliação. O material inclui um link para uma segunda reunião no Zoom, durante a qual o teste seria monitorado.
Se a vítima tenta se conectar à VPN com os arquivos fornecidos, encontra um erro falso. Diante disso, os hackers recomendam o download de uma solução de VPN personalizada chamada SopraVPN, hospedada no SourceForge, por meio de um link falso criado para imitar o site da Sopra Steria Bulgaria, em "soprasteria-bg[.]com". A página no SourceForge ainda inclui um link para o domínio, sem qualquer relação com a empresa legítima, para aumentar a credibilidade.
Os endereços identificados foram:
sourceforge[.]net/projects/soprabulgariavpn
sourceforge[.]net/projects/sopravpn
Também identificou-se um terceiro projeto no SourceForge, "sourceforge[.]net/projects/soprasteriavpn/", que se apresenta como uma “solução de VPN corporativa open source projetada para empresas que buscam acesso remoto seguro e conectividade site-to-site sem taxas caras de licenciamento”, segundo resultados armazenados em cache pelo Google Search. Nenhum desses projetos está disponível para download.
“A essência desse truque é que o cliente de VPN dos atacantes foi compilado a partir do código-fonte do WireGuard com várias modificações”, explicou a CERT-UA. “Especificamente, o suporte à opção não padrão 'SymmetricKey' foi adicionado ao mecanismo de processamento da configuração; seu valor contém dados codificados em BASE64 para AES-256-GCM: um nonce, ciphertext e uma tag de autenticação.”
“Um valor de 32 bytes obtido ao decodificar 'PrivateKey' é usado como chave AES-256. O código PowerShell assim decifrado é então passado ao mecanismo padrão 'runScriptCommand', que o WireGuard usa, em particular, para executar comandos especificados pela opção 'PostUp'.”
Em outras palavras, a versão adulterada do WireGuard permite que um atacante execute comandos arbitrários no computador da vítima sem que ela perceba. O CERT-UA também observou que a decodificação Base64 padrão do WireGuard foi substituída na versão adulterada por um alfabeto Base64 personalizado e gerado dinamicamente, o que torna as cadeias de chaves ilegíveis com decodificadores padrão e protege o código PowerShell contra análise.
O cliente de VPN para Windows também usa um comando PowerShell para criar uma tarefa agendada que baixa um payload secundário de uma URL remota. Já a variante para Linux utiliza cURL para baixar o arquivo executável da infraestrutura dos atacantes por meio de uma VPN. A natureza exata do payload da próxima etapa ainda não está clara.
A agência cibernética ucraniana recomenda que operadoras de telecomunicações e empresas de TI cujos funcionários sejam alvo dessa campanha restrinjam o acesso a recursos corporativos apenas a dispositivos gerenciados, continuamente monitorados e protegidos por EDR, inclusive quando os colaboradores usarem equipamentos pessoais. A CERT-UA também orienta profissionais de TI a ficarem atentos a técnicas de engenharia social para se protegerem de possíveis ataques de malware.
A divulgação ocorre menos de um mês depois de a agência atribuir o threat actor a outra campanha que usa a técnica ClickFix de engenharia social para infectar máquinas ucranianas com malware de roubo de dados.
Com a nova descoberta, hackers russos se juntam a adversários chineses, iranianos e norte-coreanos no uso de campanhas falsas de recrutamento para obter acesso não autorizado a sistemas-alvo. O APT44 é conhecido por mirar infraestrutura crítica e órgãos governamentais tanto na Ucrânia quanto em outros países.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...