De nouvelles révélations de CERT-UA décrivent une campagne d’ingénierie sociale visant les professionnels de l’informatique en Ukraine. Le scénario repose sur un leurre très réaliste : des recruteurs fictifs qui vous font participer à des entretiens, puis vous poussent à installer un VPN « spécial » servant de porte d’entrée vers une compromission.
La menace, attribuée à un cluster suivi sous le nom UAC-0145 (lié à Sandworm, également associé à APT44 et d’autres appellations), serait active depuis mai 2026. L’objectif n’est pas seulement d’obtenir des identifiants : il s’agit de faire exécuter des actions techniques sur la machine de la victime, via un client VPN modifié.
Le scénario de recrutement, de la messagerie au Zoom
Tout commence sur des sites de recherche d’emploi. Après consultation du CV, des attaquants contactent une victime potentielle — souvent un administrateur système ou un spécialiste IT — en se présentant au nom d’une entreprise. CERT-UA indique des exemples de façade, dont un acteur nommé ATLAS Business Group.
Dans un premier temps, la conversation se déroule via une messagerie intégrée au site. Ensuite, elle bascule vers des applications plus privées, notamment Telegram, où la victime échange avec un interlocuteur se présentant comme un responsable RH en charge du tri des candidats.
Le dialogue inclut des questions générales liées au poste, ainsi qu’un test informel de maîtrise de l’anglais. La mise en place du rendez-vous arrive rapidement : un entretien en visioconférence (Zoom) est proposé, avec une apparence conforme aux attentes.
Une entrevue « réussie » qui masque une identité incertaine
Le rendez-vous Zoom se tient effectivement, avec un homme anglophone d’environ 30 à 35 ans selon CERT-UA. Toutefois, l’agence souligne un point crucial : il reste possible que l’interlocuteur ne soit pas une personne réelle, mais une identité synthétique, alimentée par l’IA.
Ce détail compte, car il explique pourquoi le piège peut paraître crédible dès les premières minutes : non seulement le texte et le calendrier sont cohérents, mais l’échange vidéo peut aussi donner l’illusion d’un processus de recrutement normal.
Les fausses entrevues VPN passent par un e-mail et des fichiers de configuration
Après l’entretien, les instructions continuent par e-mail. La victime reçoit des éléments censés servir à finaliser une étape d’évaluation technique. Le cœur du stratagème consiste à fournir des fichiers de configuration permettant de se connecter à un VPN d’entreprise via WireGuard.
En parallèle, un second rendez-vous Zoom est indiqué, cette fois pour « surveiller » ou valider l’exercice. Autrement dit, la victime est entraînée dans une dynamique où elle croit travailler sur une mission légitime.
Le problème survient au moment où elle tente de se connecter en utilisant les fichiers fournis. Des erreurs apparaissent, et les attaquants suggèrent alors une alternative : télécharger une solution VPN sur mesure baptisée « SopraVPN » via des liens conçus pour imiter une page liée à Sopra Steria Bulgaria.
Selon CERT-UA, les liens renvoient vers des projets hébergés sur SourceForge. Plusieurs référentiels apparaissent, mais aucun n’est disponible au téléchargement comme on pourrait s’y attendre. Le but est néanmoins atteint : la recommandation déclenche un téléchargement vers une ressource contrôlée par l’attaquant.
Un WireGuard empoisonné capable d’exécuter des commandes
Le mécanisme de tromperie ne se limite pas à une fausse page de téléchargement. CERT-UA explique que la version « empoisonnée » du client VPN a été compilée à partir du code source de WireGuard, avec des modifications destinées à détourner le traitement de la configuration.
L’une des modifications concerne la prise en charge d’une option non standard appelée « SymmetricKey ». Dans la configuration, la valeur de cette option contient des données encodées en BASE64 renfermant notamment une structure liée à AES-256-GCM : un nonce, un texte chiffré et une balise d’authentification.
Ensuite, CERT-UA indique qu’une valeur issue du décodage d’un champ « PrivateKey » est utilisée comme clé AES-256. Une logique de déchiffrement est exécutée en PowerShell, et le contenu obtenu est injecté dans le mécanisme standard de WireGuard appelé « runScriptCommand » — un mécanisme associé à l’option « PostUp » qui sert normalement à déclencher des actions après l’établissement de la connexion.
Autrement dit, le VPN piégé n’agit pas uniquement comme un outil de tunnel. Il peut exécuter des commandes arbitraires sur l’hôte de la victime sans qu’elle comprenne ce qui a réellement été déclenché.
Des différences entre clients Windows et Linux
La campagne prévoit des variantes selon le système. Sur Windows, le client VPN Windows utilise une commande PowerShell pour créer une tâche planifiée. Cette tâche est chargée de télécharger un second élément (une charge utile) depuis une URL distante.
Sur Linux, la logique diffère mais suit la même intention : l’exécutable est récupéré depuis l’infrastructure des attaquants à l’aide de cURL, via la connexion VPN.
À ce stade, CERT-UA précise que la nature exacte de la charge utile suivante n’est pas entièrement déterminée. Ce qui est établi en revanche, c’est la capacité du dispositif à faire évoluer l’intrusion au-delà du simple dépôt d’un fichier.
Pourquoi ce type d’attaque fonctionne sur les équipes IT
Ce qui rend la stratégie particulièrement efficace, c’est la combinaison de plusieurs facteurs réalistes : un parcours d’embauche crédible, des canaux de discussion courants, un entretien vidéo qui « se déroule normalement » et un prétexte technique qui justifie l’installation d’un outil réseau.
Pour un professionnel IT, l’étape VPN peut sembler raisonnable : on s’attend à recevoir des configurations de test, surtout dans un contexte d’évaluation. Cette normalité perçue réduit la vigilance, ce qui favorise l’acceptation du téléchargement puis l’exécution des actions intégrées au logiciel.
Recommandations de CERT-UA : limiter l’impact et réduire les surfaces d’attaque
CERT-UA recommande d’abord de surveiller attentivement les techniques d’ingénierie sociale. Les équipes IT doivent traiter les sollicitations externes — même lorsqu’elles imitent un process de recrutement — comme potentiellement hostiles, surtout lorsqu’elles demandent l’installation de composants réseau.
Sur le plan organisationnel, l’agence recommande de n’accorder l’accès aux ressources d’entreprise qu’à partir de postes gérés, équipés des logiciels de sécurité appropriés. Cela réduit la probabilité qu’un poste compromis serve de tremplin vers le SI.
Enfin, CERT-UA insiste sur l’importance de politiques adaptées et d’un monitoring continu. L’objectif est de détecter rapidement les comportements anormaux, tels que des téléchargements inattendus, la création de tâches planifiées, ou des tentatives de communication vers des infrastructures non approuvées.
Un signal plus large : l’extension des campagnes de recrutement
Cette annonce arrive dans un contexte où plusieurs acteurs malveillants déploient des campagnes basées sur des leurres d’embauche. CERT-UA rappelle que des approches similaires sont observées depuis peu, y compris d’autres tactiques d’ingénierie sociale visant l’infection de machines ukrainiennes.
En parallèle, des menaces associées à différents pays — en plus des groupes déjà connus — adoptent désormais ces campagnes de faux recrutement. Le message est clair : la voie d’accès ne passe pas uniquement par des e-mails « classiques » ou des failles, mais aussi par des interactions humaines soigneusement orchestrées.
Conclusion
Avec cette campagne liée à Sandworm et suivie comme UAC-0145, les fausses entrevues VPN deviennent un levier d’attaque concret : le recrutement fictif sert de justification pour installer un client VPN modifié, capable d’exécuter des commandes puis de déployer une charge utile. Pour les équipes IT, la protection passe par une vigilance active face aux demandes d’installation, un contrôle strict des postes autorisés et un monitoring continu pour repérer les signes d’activité malveillante.
Source: https://thehackernews.com/2026/08/sandworm-linked-uac-0145-uses-fake-job.html
