Die ukrainische CERT-UA warnt vor einer neuen Social-Engineering-Kampagne, die gezielt IT-Fachkräfte im Land adressiert. Dahinter steht nach Einschätzung der Behörde ein vom Threat-Cluster UAC-0145 verknüpfter Ansatz: Die Angreifer geben sich als Recruiter aus, führen vermeintliche Bewerbungsgespräche durch und bringen ihre Opfer anschließend dazu, eine manipulierte VPN-Komponente zu installieren.
Besonders brisant: Die „VPN-Lösung“, die das Zielsystem vermeintlich sicher verbinden soll, ist so verändert, dass im Hintergrund auch beliebige Befehle ausgeführt werden können. Damit wird aus einer Bewerbungssuche ein direkter Einstieg in eine technisch vorbereitete Schadensroutine.
Wie UAC-0145 Fake-Jobinterviews in Kontakt ummünzt
Die Kampagne beginnt in Jobportalen. Nachdem ein Kandidat den Profil- oder Lebenslauf-Check „passiert“ hat, melden sich die Angreifer im Namen einer IT-Organisation. CERT-UA nennt dabei beispielhaft eine Firma wie ATLAS Business Group, wobei es sich um einen vorgeschobenen Absender handeln kann.
In der ersten Phase läuft die Kommunikation über einen integrierten Chat. Danach verlagern die Täter den Austausch typischerweise in Messenger wie Telegram. Dort führen sie zunächst einen „Vorabchat“ mit einer Person aus, die sich als HR-Manager ausgibt und den Screening-Prozess für einen scheinbaren Auftrag bzw. eine Organisation in Europa steuert.
Im Gespräch werden allgemeine arbeitsbezogene Fragen gestellt und auch Englischkenntnisse thematisiert. Anschließend folgt die nächste Stufe: Die Kandidaten werden zu einem Zoom-Video-Call eingeladen.
Video-Call als Schleuse – echte Person oder erzeugtes Profil?
Zum vereinbarten Termin findet das Gespräch wie erwartet statt. Aus Sicht der Behörde ist jedoch unklar, ob der Teilnehmende tatsächlich eine reale Person ist oder ob der Auftritt durch eine synthetische Darstellung unterstützt wird. Entscheidend ist: Für das Opfer wirkt der Dialog plausibel genug, um die Interaktion fortzusetzen.
Unabhängig davon, wie der Video-Call zustande kommt, nutzen die Angreifer den Termin als Legitimation, um nun technische Schritte einzuführen.
Von der Bewerbung zum VPN-Download
Parallel zum Video-Call werden dem Opfer per E-Mail „Hinweise für ein technisches Interview“ zugesendet. Dazu gehören unter anderem Konfigurationsdateien, die den Zugang zum Unternehmensnetz über WireGuard ermöglichen sollen. Ziel ist es, dass das Opfer eine Art Assessment bzw. Prüfaufgabe ausführt, nachdem es sich vermeintlich korrekt mit dem Firmen-VPN verbunden hat.
Kommt es beim Versuch, die Verbindung mit den bereitgestellten Konfigurationen herzustellen, zu Fehlern, eskalieren die Täter direkt: Sie empfehlen dem Opfer, eine eigene VPN-Lösung herunterzuladen. Diese Software wird dabei als „SopraVPN“ bezeichnet und über Links bereitgestellt, die CERT-UA als täuschend einordnet.
Die Behörde nennt zudem, dass die Täter Links verwenden, die eine Website einer legitimen Beratungs- und Softwarefirma nachahmen sollen (unter anderem mit einer Domain wie „soprasteria-bg[.]com“ als Vorwand). Die tatsächlichen Downloadquellen verorten sich in öffentlich zugänglichen Repositories.
In den beschriebenen Fällen tauchen Projekte auf, die über SourceForge abrufbar sein sollen. CERT-UA hebt hervor, dass diese Projekte nicht heruntergeladen werden konnten, was dennoch nicht ausschließt, dass Opfer in anderen Situationen auf ähnliche Links hereinfallen.
Warum die manipulierte WireGuard-Variante so gefährlich ist
Der Kern des Angriffs liegt in der Technik der VPN-Client-Manipulation. CERT-UA erklärt, dass die verdächtige VPN-Software aus dem WireGuard-Quellcode erstellt wurde, dabei aber mit gezielten Änderungen versehen wurde.
Eine der beschriebenen Komponenten ist die Unterstützung für eine nicht standardmäßige Konfigurationsoption namens „SymmetricKey“. Der Inhalt dieser Option enthält laut Analyse Daten, die Base64-kodiert sind und aus Elementen für AES-256-GCM bestehen: einem Nonce-Wert, einem Ciphertext und einem Authentifizierungs-Tag.
Für die Entschlüsselung wird außerdem ein 32-Byte-Wert genutzt, der aus einem Feld wie „PrivateKey“ gewonnen wird. Der dabei entstehende Inhalt wird dann per PowerShell-Schritten dekodiert und anschließend in einen WireGuard-Mechanismus eingebunden, konkret in eine Routine, die für das Ausführen von Scripts bekannt ist (u. a. im Zusammenhang mit einer Option wie „PostUp“).
Mit anderen Worten: Die „poisoned“ bzw. manipulierte VPN-Version ermöglicht es Angreifern, ohne Wissen des Opfers beliebige Befehle auf dem betroffenen Rechner ausführen zu lassen.
Windows- und Linux-Varianten: Unterschiedliche Wege zur Folgekomponente
Während Windows und Linux im Detail abweichen, bleibt das Ziel gleich: Das Opfer soll zur Installation einer Komponente verleitet werden, die schließlich Folgeaktivitäten anstößt.
Auf Windows nutzt der VPN-Client laut CERT-UA einen PowerShell-Befehl, um eine geplante Aufgabe (Scheduled Task) zu erstellen. Diese Aufgabe lädt anschließend eine zweite Payload von einer Remote-Quelle herunter.
Auf Linux wird beschrieben, dass eine cURL-Abfrage genutzt wird, um eine ausführbare Datei aus der Infrastruktur der Angreifer über eine VPN-Verbindung zu beziehen.
Welche genaue Art der nächsten Payload dabei zum Einsatz kommt, bleibt zum Zeitpunkt der Offenlegung unklar.
Warum diese Masche gerade IT-Teams trifft
Für Angreifer ist die Zielgruppe attraktiv: IT-Systemadministratoren und technische Spezialisten haben oft weitreichendere Zugriffsrechte, kennen sich mit VPN-Konzepten aus und können in der Rolle als „Kandidat im Interview“ weniger misstrauisch agieren, wenn der Prozess formal wirkt.
Gleichzeitig zeigen die Beobachtungen, dass moderne Social-Engineering-Kampagnen nicht bei gefälschten Dokumenten enden. Stattdessen werden technische Werkzeuge wie VPN-Clients oder deren Konfigurationsdaten missbraucht, um die eigentliche Schadensausführung zu tarnen.
Was IT-Teams jetzt tun sollten
CERT-UA empfiehlt IT-Professionals, Social-Engineering-Techniken aktiv zu beobachten und Prozesse so anzupassen, dass Kandidaten oder Mitarbeitende nicht unbemerkt in gefährliche Installationsschritte gedrängt werden.
Auf Organisationsebene nennt die Behörde insbesondere:
- Zugriff auf Unternehmensressourcen nur von verwalteten Geräten, auf denen passende Sicherheitssoftware installiert ist.
- Passende Policies umsetzen, die den Umgang mit Zugängen und Installationsanfragen klar regeln.
- Kontinuierliches Monitoring sicherstellen, um ungewöhnliche Verbindungs- oder Installationsmuster frühzeitig zu erkennen.
Diese Maßnahmen helfen nicht nur gegen VPN-bezogene Angriffe, sondern stärken das gesamte Sicherheitsmodell gegen Social-Engineering-getriebene Infektionsketten.
Teil eines breiteren Trends: Fake-Recruiting als Strategie
Die aktuelle Meldung steht nicht isoliert. CERT-UA ordnet die Entwicklung in einen größeren Trend ein: Russische Akteure setzen zusammen mit auch anderen staatlich verknüpften Gruppen auf gefälschte Rekrutierungskampagnen, um unbefugten Zugriff zu ermöglichen.
Darüber hinaus verweist die Behörde darauf, dass es kurz zuvor bereits eine weitere Kampagne gab, die auf einem anderen Social-Engineering-Ansatz basierte, bei dem eine „ClickFix“-Taktik eingesetzt wurde. In Kombination zeigt das Bild: Die Angriffslogik wird immer stärker an reale Workflows angepasst – von Bewerbungsgesprächen bis zu technischen Zugangsschritten.
Fazit: UAC-0145 Fake-Jobinterviews sind mehr als Betrug
UAC-0145 Fake-Jobinterviews funktionieren als Tarnung, sind aber in der Praxis ein präparierter Angriff. Der Prozess führt vom Jobportal über Video-Calls bis hin zu einem manipulierten WireGuard-basierten VPN-Client, der auf dem Zielsystem gefährliche Befehle ausführen kann.
Wer IT-Ressourcen verantwortet, sollte daher nicht nur technische Schwachstellen im Blick haben, sondern auch die menschliche Angriffsfläche: klare Verifikationswege für Rekrutierungs- und Interviewabläufe, streng verwaltete Zugänge und konsequentes Monitoring entscheiden darüber, ob aus einem Gespräch tatsächlich eine Sicherheitslücke wird.
Quelle: https://thehackernews.com/2026/08/sandworm-linked-uac-0145-uses-fake-job.html
