Sandworm関連の脅威アクターが、偽の求人面接を利用してIT担当者にトロイの木馬化したWireGuard VPNクライアントをインストールさせる手口を用いていることが分かりました。
ウクライナのCERT-UAは、この活動をUAC-0002(別名Sandworm、APT44、Seashell Blizzard)のサブクラスターであるUAC-0145によるものと特定しています。
このキャンペーンは少なくとも2026年5月から活動しているとされ、主にシステム管理者などの技術系スタッフを標的にしています。
この攻撃活動の特徴は、リアルな採用プロセスと、信頼されているVPNツールの改変版を組み合わせている点にあります。
攻撃者は単純なフィッシングメールに頼るのではなく、求人プラットフォーム上で候補者の履歴書を調べ、複数のステップを経て信頼関係を築いていきます。
被害者は、ATLAS Business Groupを含むIT企業を名乗る人物から連絡を受けます。最初の接触は求人プラットフォームのチャット機能を通じて行われ、その後Telegramへと移行します。
そこでは、偽の人事担当者が職務内容や勤務形態、英語力について話し合います。その後、候補者はZoomでの面接に招待され、そこには英語を話す実在の人物が参加しているとされています。
攻撃者は後日、技術評価の指示をメールで送付します。ある確認された事例では、送信者がSopra Steria Bulgariaになりすまし、偽装ドメインsoprasteria-bg[.]comを使用していました。このドメインは正規のSopra Steriaのドメインに似せてありますが、同社とは一切関係がありません。
このメールには、企業VPNを想定したWireGuardの設定ファイルと、技術課題の監督用とされる別のZoomリンクが含まれています。
提供されるVPN設定は、意図的に接続に失敗するよう作られています。候補者が接続エラーを報告すると、偽の採用担当者はSourceForgeからSopraVPNというカスタムVPNクライアントをダウンロードするよう勧めてきます。
ダウンロードリンクは偽装した企業サイトを通じて提示されるため、ソフトウェアは正規のもののように見えます。SopraVPNはWireGuardのソースコードからビルドされていますが、悪意のある改変が加えられています。
最も重要な追加要素は、SymmetricKeyという非標準の設定フィールドです。このフィールドには、ノンス、暗号文、認証タグを含むBase64エンコードされたAES-256-GCM暗号化データが格納されています。
このマルウェアは、VPN設定内でデコードされたPrivateKeyの値からAESキーを導出します。
続いて、埋め込まれたPowerShellコードを復号し、通常はPostUpなどの設定ディレクティブを処理するために使われるWireGuardの標準メカニズムrunScriptCommandにそれを渡します。
これにより、改変されたクライアントは通常のVPN接続を装いながら、攻撃者が制御するコマンドを実行できるようになります。
攻撃者はまた、VPNクライアントによるBase64キーデータの扱い方も変更していました。標準的なBase64の代わりに、PrivateKeyとPublicKeyのフィールドには、Fisher-Yatesシャッフルによって生成されたカスタムアルファベットが使用されています。
このシャッフルは、SymmetricKeyから算出したCRC32値をシード値として使用します。この仕組みにより設定内容の解析が難しくなり、通常のBase64デコーダーではキー情報やペイロードのロジックを明らかにできなくなっているとCERTは述べています。
Windows環境では、復号されたPowerShellコマンドが\Microsoft\Windows\ApplicationData\Microsoftという名前のスケジュールタスクを作成します。
このタスクは、攻撃者が管理するURLから追加のペイロードをダウンロードします。Linux環境では、マルウェアがcURLの有無を確認し、必要であればインストールした上で、悪意のあるVPNインフラを経由して/usr/libexec/timesyncd-checkに実行可能ファイルをダウンロードします。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより高速に。SOCを強化しMTTRを短縮する、包括的なフィッシング可視化を実現
翻訳元: https://cyberpress.org/sandworm-targets-it-professionals/
