Thought Leadership
CERT-UA warnt vor einer Kampagne, bei der sich Angreifer als Personalvermittler ausgeben, um IT-Fachkräfte mit einem manipulierten VPN-Client zu infizieren.
Nach Angaben der am 9. August veröffentlichten CERT-UA-Mitteilung läuft die Kampagne mindestens seit Mai 2026. Die Angreifer werten dabei gezielt auf Jobportalen veröffentlichte Lebensläufe aus und kontaktieren potenzielle Opfer, meist Systemadministratoren oder IT-Fachkräfte, im Namen eines vermeintlichen IT-Unternehmens namens ATLAS Business Group. Das Gespräch verlagert sich anschließend auf Telegram, wo sich eine angebliche Personalverantwortliche meldet, die vorgibt, für die tatsächlich real existierende europäische Beratungsfirma Sopra Steria Bulgaria die Kandidatenauswahl zu betreuen. Nach allgemeinen Fragen zum beruflichen Werdegang und Englischkenntnissen werden Bewerber zu einem Zoom-Gespräch mit einem englischsprachigen Mann im Alter zwischen 30 und 35 Jahren eingeladen. CERT-UA konnte dabei nicht abschließend klären, ob es sich um eine echte Person oder eine mittels künstlicher Intelligenz erzeugte, synthetische Erscheinung handelte.
Parallel erhalten Bewerber per E-Mail Zugangsdaten für ein technisches Vorstellungsgespräch, darunter Konfigurationsdateien für eine Verbindung zum vermeintlichen Unternehmens-VPN über WireGuard sowie einen Link zu einem zweiten, überwachten Zoom-Termin für die eigentliche technische Prüfung.
Manipulierter WireGuard-Client führt Befehle aus
Versucht das Opfer, sich mit den bereitgestellten Konfigurationsdateien zu verbinden, erscheinen absichtlich erzeugte Fehlermeldungen. Die Angreifer empfehlen daraufhin den Download eines angeblichen Ersatz-Clients namens SopraVPN, gehostet auf der Plattform SourceForge, beworben über eine gefälschte, der echten Sopra-Steria-Website nachempfundene Domain. Das Fachmagazin The Hacker News identifizierte dabei mehrere gleichlautende, allesamt nicht mehr zum Download verfügbare SourceForge-Projekte. CERT-UA erklärte zur eigentlichen Funktionsweise:
„Der Kern dieses Tricks besteht darin, dass der VPN-Client der Angreifer aus dem WireGuard-Quellcode kompiliert wurde, versehen mit mehreren Modifikationen. Konkret wurde dem Konfigurationsmechanismus die Unterstützung für die nicht standardmäßige Option ‚SymmetricKey‘ hinzugefügt, deren Wert Base64-kodierte Daten für AES-256-GCM enthält: eine Nonce, einen Chiffretext und ein Authentifizierungs-Tag.“
CERT-UA
Ein aus der Option „PrivateKey“ gewonnener 32-Byte-Wert dient dabei als AES-256-Schlüssel. Der auf diesem Weg entschlüsselte PowerShell-Code wird anschließend über den regulären, von WireGuard eigentlich zur Ausführung von Befehlen bei Verbindungsaufbau vorgesehenen Mechanismus „runScriptCommand“ ausgeführt. Im Ergebnis erlaubt die manipulierte WireGuard-Version den Angreifern, unbemerkt beliebige Befehle auf dem System des Opfers auszuführen.
Unter Windows richtet der VPN-Client dafür über PowerShell einen geplanten Task ein, der eine weitere Schadsoftware von einer externen Adresse nachlädt, die Linux-Variante nutzt stattdessen cURL, um die ausführbare Datei direkt über die bestehende VPN-Verbindung von der Infrastruktur der Angreifer herunterzuladen. Über die genaue Art dieser nachgeladenen Schadsoftware liegen bislang keine Erkenntnisse vor.
Bereits zweite bekannt gewordene UAC-0145-Kampagne binnen weniger Wochen
Die Offenlegung folgt weniger als einen Monat, nachdem CERT-UA derselben Gruppe bereits eine andere Kampagne zugeschrieben hatte, bei der über die sogenannte ClickFix-Technik und gefälschte CAPTCHA-Abfragen auf kompromittierten Websites Schadsoftware zum Diebstahl von Daten verbreitet wurde, mit Kontrollserver-Adressen, die zur Erschwerung von Takedowns in Ethereum-Smart-Contracts hinterlegt waren. CERT-UA rät IT-Fachkräften grundsätzlich zu erhöhter Wachsamkeit gegenüber Social-Engineering-Techniken und empfiehlt Organisationen, den Zugriff auf Unternehmensressourcen ausschließlich von verwalteten Geräten mit installierter Sicherheitssoftware zuzulassen, entsprechende Richtlinien konsequent durchzusetzen sowie eine kontinuierliche Überwachung sicherzustellen.
(red)
