Una nuova campagna di social engineering sta prendendo di mira professionisti IT in Ucraina usando finte selezioni del personale come esca per distribuire malware. L’operazione è attribuita al cluster UAC 0145, collegato al gruppo Sandworm noto per attacchi sofisticati contro infrastrutture e organizzazioni strategiche.
La tecnica sfrutta la fiducia tipica dei processi di recruiting e si concentra su figure come system administrator e specialisti IT, spesso alla ricerca di nuove opportunità su portali di lavoro.
Il contatto iniziale avviene tramite chat interne ai siti di annunci, dove gli attaccanti si presentano come recruiter di una presunta azienda IT. Dopo un primo scambio, la conversazione viene spostata su app di messaggistica come Telegram, aumentando il controllo degli attori malevoli sul flusso comunicativo e riducendo le possibilità di moderazione della piattaforma. A questo punto entra in scena un falso responsabile HR che dichiara di gestire lo screening per una società reale, rendendo la truffa più credibile e difficile da riconoscere.
La fase successiva prevede un colloquio in videochiamata su Zoom con un interlocutore in inglese. Secondo le analisi, non è chiaro se la persona sia reale o generata con strumenti di intelligenza artificiale, dettaglio che evidenzia come le campagne di phishing e ingegneria sociale stiano evolvendo anche sul piano della persuasione e della verosimiglianza.
Dopo il colloquio, la vittima riceve via email istruzioni per un test tecnico. Tra i materiali vengono inclusi file di configurazione per collegarsi a una VPN aziendale tramite WireGuard. Il collegamento però fallisce con errori, e gli attaccanti propongono allora di installare un client VPN personalizzato chiamato SopraVPN, distribuito tramite link ingannevoli che imitano il dominio di un’azienda legittima e tramite progetti su SourceForge.
Il punto critico è che il client VPN risulta una versione alterata di WireGuard, capace di eseguire comandi sul sistema della vittima. In particolare viene introdotta una opzione non standard che consente di trasportare dati cifrati e decifrare codice PowerShell, poi eseguito attraverso i meccanismi di esecuzione script del client. Su Windows viene anche creato un task pianificato per scaricare un payload successivo, mentre su Linux vengono usati comandi come curl per recuperare altri componenti dalla infrastruttura degli attaccanti.
Per ridurre il rischio, le organizzazioni dovrebbero consentire accesso a risorse aziendali solo da dispositivi gestiti, con software di sicurezza attivo, policy coerenti e monitoraggio continuo, mentre i professionisti IT dovrebbero diffidare di test che richiedono installazioni di VPN o strumenti non verificati durante colloqui di lavoro.