ロシアの脅威グループSandworm関連のハッカーたちが、少なくとも2026年5月以降、偽の求人情報を通じてシステム管理者やITプロフェッショナルを標的にしています。
ウクライナのコンピュータ緊急対応チーム(CERT)による報告書は、UAC-0145によるソーシャルエンジニアリングキャンペーンの詳細を伝えています。このグループはSandworm(APT44)のサブクラスターとみられています。同キャンペーンでは、脅威アクターがIT企業やリクルーターになりすまして被害者を狙います。
同機関によれば、攻撃者は求人サイトにアップロードされた履歴書を調べたうえで、直接コンタクトを取ってくるといいます。
その後、会話はTelegramに移され、Zoomでのビデオ面接が設定されます。英語で行われるこの面接では、候補者に対して企業のVPNへの接続を必要とする模擬技術課題が課されます。
CERT-UAが観測した事例の一つでは、攻撃者は国際的なIT企業Sopra Steriaになりすまし、同社のブルガリア事業所のものと類似した、一見正当に見えるメールアドレスを使用していました。
「並行して、テスト課題を実施すると称して、Wireguard(Linux/Windows)を使用した『企業』VPNへの接続用設定ファイルを含む、技術面接に関する追加の指示がメールで送付されます」とCERT-UAは述べています。
ダウンロードされたファイルは、偽のエラーを発生させるよう仕組まれています。その後、攻撃者は被害者に対し、SourceForgeから「SopraVPN」と呼ばれる改変版WireGuardベースのクライアントをダウンロードするよう促します。
SourceForgeのページには信頼性を高めるためにsoprasteria-bg[.]comへのリンクまで掲載されていますが、このドメインは正規の同社とは一切関係がありません。
トロイの木馬化されたクライアントは、悪意のある非標準の「SymmetricKey」設定オプションをサポートしており、これによって埋め込まれたPowerShellコードが復号・実行されます。
Windows上では、この悪意のあるコマンドがスケジュールされたタスクを作成し、インターネットから追加のペイロードをダウンロードします。
Linux上では、cURLを使用してVPN経由で攻撃者が管理するインフラストラクチャから別の実行ファイルを取得します。
CERT-UAはさらに、トロイの木馬化されたバージョンではWireGuardの標準的なBase64デコード処理が、動的に生成されるカスタムBase64アルファベットに置き換えられていると指摘しています。これにより主要な文字列は標準的なデコーダーでは読み取れなくなり、PowerShellコードが解析から保護されます。
ウクライナのサイバー機関は、本キャンペーンの標的となっている通信事業者やIT企業に対し、従業員が私物の機器を使用する場合も含め、企業リソースへのアクセスをEDRで保護され継続的に監視された管理下デバイスに制限するよう助言しています。
攻撃者が有効な認証情報を入手した場合、その行動のうちブロックされるのはわずか37%
全体的な防御スコアだけでは、初期侵入後に何が起きるかが見えなくなってしまいます。攻撃者が有効な認証情報を使用し始めると、防御成功率は急激に低下します。
Blue Report 2026は、顧客の本番環境で実施された3億3,800万件のシミュレーションをもとに、手法ごとに防御態勢を測定しています。
