Sandworm usa falsi colloqui e una VPN trojanizzata contro gli IT ucraini

🛡️ Executive Summary

• UAC-0145 si presenta come recruiter su piattaforme di lavoro, sposta i candidati su Telegram e Zoom e propone un falso test tecnico.
• Le vittime installano SopraVPN, client WireGuard modificato capace di decifrare ed eseguire comandi PowerShell o shell sui sistemi Windows e Linux.
• CERT-UA collega UAC-0145 al cluster UAC-0002/Sandworm e raccomanda accesso aziendale soltanto da dispositivi gestiti, monitorati ed equipaggiati con EDR.

CERT-UA attribuisce a UAC-0145, subcluster collegato a UAC-0002 e quindi all’ecosistema Sandworm/APT44, una nuova campagna di social engineering contro professionisti IT ucraini. Gli operatori non partono da un exploit, ma da un processo di selezione apparentemente normale: individuano candidati sulle piattaforme di lavoro, impersonano aziende o responsabili HR, spostano la conversazione su Telegram e Zoom e costruiscono gradualmente la fiducia necessaria per proporre un falso test tecnico. Il passaggio decisivo arriva quando alla vittima viene chiesto di installare SopraVPN, applicazione presentata come software necessario per accedere all’ambiente del colloquio. In realtà il programma è un client WireGuard modificato capace di ricevere, decifrare ed eseguire comandi sul dispositivo, trasformando una normale procedura di recruiting in un vettore di compromissione multipiattaforma.

UAC-0145 trasforma la ricerca di lavoro nel vettore iniziale

La campagna descritta da CERT-UA è attiva almeno da maggio 2026 e prende di mira soprattutto specialisti IT, amministratori di sistema e altri professionisti tecnici. Gli operatori cercano le vittime all’interno di vere piattaforme dedicate al lavoro, esaminano i curriculum e avviano una comunicazione che riproduce le modalità di un autentico processo di selezione. Solo successivamente la conversazione viene trasferita verso strumenti esterni come Telegram e Zoom, dove l’attaccante può instaurare un rapporto più diretto e proporre l’installazione di software.

L’avviso ufficiale CERT-UA su UAC-0145 definisce la tecnica come una forma avanzata di social engineering e collega il cluster a UAC-0002, noto anche come Sandworm o APT44. La scelta del recruiting come esca non è casuale: un candidato si aspetta di ricevere istruzioni tecniche, installare strumenti e collegarsi a infrastrutture sconosciute durante una selezione. Lo stesso abuso del contesto professionale è già emerso nelle campagne Contagious Interview contro sviluppatori e nelle false offerte di lavoro utilizzate da Lazarus per distribuire pacchetti npm e PyPI malevoli.

Il falso test tecnico porta all’installazione di SopraVPN

La fase tecnica viene presentata come un requisito della selezione. Alla vittima viene chiesto di scaricare SopraVPN, presunto client VPN necessario per collegarsi a un ambiente nel quale svolgere il test o dimostrare le proprie competenze. Il software è stato ospitato anche su SourceForge, scelta che aggiunge un ulteriore livello di credibilità perché la piattaforma viene comunemente utilizzata per distribuire applicazioni legittime. SopraVPN utilizza una base WireGuard modificata e, una volta stabilita la connessione, è in grado di ricevere informazioni aggiuntive dal server controllato dagli attaccanti.

CERT-UA ricostruisce una catena nella quale il client non si limita quindi a creare un tunnel di rete: incorpora funzioni che permettono al server remoto di trasmettere istruzioni nascoste da eseguire localmente. Il modello differisce dalle precedenti attività UAC-0145 basate su ClickFix, già analizzate quando il gruppo usava falsi CAPTCHA per spingere le vittime a eseguire comandi, ma conserva la stessa filosofia: fare in modo che sia l’utente stesso a introdurre l’elemento malevolo sul sistema.

Il client WireGuard nasconde i comandi nel traffico VPN

La parte più interessante di SopraVPN riguarda il modo in cui i comandi vengono protetti. Secondo CERT-UA, il client utilizza un alfabeto Base64 personalizzato e cifratura AES-256-GCM per occultare le istruzioni ricevute dall’infrastruttura remota. Una volta decifrato il contenuto, il software lo passa al sistema operativo attraverso meccanismi differenti a seconda della piattaforma. Su Windows vengono utilizzati PowerShell e attività pianificate, mentre su Linux la catena può ricorrere a comandi shell e a strumenti standard come cURL.

L’utilizzo di tecnologie legittime permette agli operatori di evitare la necessità di introdurre immediatamente un malware complesso: WireGuard gestisce la componente VPN, PowerShell e la shell del sistema eseguono le operazioni e il client modificato diventa il livello che collega i due elementi. La tecnica si inserisce nella stessa evoluzione osservata nelle operazioni russe contro l’Ucraina, dove GreyVibe usa strumenti generativi, phishing e malware adattivi per rendere più credibili e flessibili le campagne.

Windows e Linux vengono colpiti con percorsi differenti

La presenza di una catena dedicata sia a Windows sia a Linux è rilevante per il profilo delle vittime. Amministratori di sistema, DevOps engineer e sviluppatori utilizzano frequentemente workstation Linux o ambienti dual boot e possono essere meno sensibili a campagne costruite esclusivamente attorno a eseguibili Windows. SopraVPN elimina parte di questa limitazione perché il vettore principale è il software VPN e non il formato specifico del payload. Su Windows il client può creare scheduled task che richiamano PowerShell; su Linux i comandi possono essere eseguiti attraverso gli strumenti già disponibili nel sistema. La capacità multipiattaforma aumenta inoltre il valore dell’accesso ottenuto: un amministratore compromesso può possedere VPN aziendali, chiavi SSH, credenziali cloud, accessi ai server e privilegi molto superiori rispetto a un normale utente office. Proprio per questo UAC-0145 non cerca indiscriminatamente qualsiasi candidato, ma costruisce la propria campagna attorno a figure capaci di offrire un percorso potenziale verso infrastrutture organizzative più ampie.

Sandworm usa l’identità professionale invece di sfruttare direttamente il perimetro

La campagna mostra una variazione importante rispetto all’immagine tradizionale di Sandworm, gruppo noto soprattutto per attacchi distruttivi, infrastrutture critiche e operazioni direttamente collegate alla guerra russo-ucraina. In questo caso la fase iniziale è quasi interamente umana: invece di forzare un firewall o sfruttare immediatamente una vulnerabilità Internet-facing, UAC-0145 sceglie la persona che dispone già degli accessi desiderati. La vittima viene quindi sottoposta a un processo di fiducia costruito attorno a un bisogno reale — trovare lavoro — e solo successivamente riceve il software malevolo. CERT-UA classifica UAC-0145 come subcluster di UAC-0002, attribuzione che colloca l’operazione nell’ecosistema Sandworm senza implicare necessariamente che ogni attività del gruppo utilizzi la stessa infrastruttura o lo stesso malware. La strategia completa il panorama delle attività russe già osservato nelle operazioni ibride e cyber attribuite a strutture vicine a Mosca, dove capacità tecniche e manipolazione della fiducia vengono utilizzate in modo complementare.

Il processo di selezione riduce gli indicatori tipici del phishing

Un falso colloquio produce una condizione psicologica molto diversa dalla classica email urgente. La vittima si aspetta di installare software, accettare un meeting, condividere informazioni professionali e seguire istruzioni tecniche, tutte azioni che in un normale contesto lavorativo sarebbero considerate legittime. Questo riduce l’efficacia degli indicatori tradizionali utilizzati per riconoscere il phishing. La richiesta di scaricare una VPN sconosciuta potrebbe essere sospetta in una normale comunicazione, ma diventa plausibile se viene presentata come requisito per accedere all’ambiente del test tecnico. Anche il tempo investito dagli operatori nella conversazione ha un valore offensivo: dopo diversi messaggi, una videochiamata e un colloquio, il candidato ha già costruito una rappresentazione coerente dell’azienda e tende a valutare meno criticamente il software ricevuto. Il meccanismo segue la più ampia evoluzione dell’ingegneria sociale moderna tra phishing, smishing, vishing e AI, nella quale la credibilità del contesto conta ormai più degli errori grammaticali o della grafica del messaggio.

Le aziende IT e telecom diventano il vero obiettivo downstream

CERT-UA richiama in particolare l’attenzione di operatori di telecomunicazioni e società IT, perché la compromissione del dipendente può diventare l’ingresso verso ambienti aziendali di valore strategico. Un amministratore che esegue SopraVPN su un computer personale può successivamente utilizzare lo stesso dispositivo per collegarsi alla VPN aziendale, aprire console amministrative o accedere a infrastrutture cloud. Anche se l’infezione iniziale avviene fuori dal perimetro dell’organizzazione, quindi, l’attaccante può sfruttare le credenziali e i privilegi dell’utente per attraversarlo in un secondo momento. CERT-UA raccomanda per questo di consentire l’accesso alle risorse aziendali soltanto da endpoint gestiti e monitorati, equipaggiati con sistemi EDR e sottoposti a controlli continui. Il principio è particolarmente importante per amministratori e personale tecnico, i cui dispositivi possono contenere chiavi SSH, token API, file di configurazione e accessi remoti molto più preziosi di una singola password.

La difesa deve controllare il dispositivo e non soltanto l’identità

La campagna UAC-0145 mette in evidenza un limite dell’autenticazione tradizionale. Anche MFA e password robuste possono perdere parte della loro efficacia quando il dispositivo da cui parte l’autenticazione è già controllato dall’attaccante. La mitigazione proposta dal CERT-UA consiste quindi nel combinare identity security e endpoint security: accessi alle risorse critiche soltanto da computer gestiti, telemetria EDR, analisi di attività pianificate anomale, controllo dell’utilizzo di PowerShell e cURL, revisione delle installazioni VPN e isolamento immediato dei sistemi sui quali compare SopraVPN o un client inatteso. In presenza di una compromissione, le credenziali VPN associate devono essere revocate e le comunicazioni legate al falso processo di recruiting riesaminate per individuare altre possibili vittime. La tecnica rende inoltre necessario separare sempre di più l’uso personale da quello professionale: un computer privato utilizzato per cercare lavoro non dovrebbe diventare automaticamente un endpoint autorizzato ad amministrare infrastrutture sensibili.

UAC-0145 dimostra che il recruiting è ormai una superficie cyber

Le false offerte professionali non appartengono più soltanto alle campagne nordcoreane contro sviluppatori crypto. UAC-0145 mostra che anche un attore collegato all’ecosistema Sandworm può utilizzare recruiting, Zoom e software apparentemente necessario a un colloquio come parte di una campagna mirata contro personale tecnico. La differenza non è nella singola tecnica ma nel valore dell’identità colpita: un amministratore di sistema rappresenta contemporaneamente una persona, un insieme di credenziali e un possibile percorso verso reti più importanti. La precedente attività ClickFix del gruppo aveva già mostrato la capacità di UAC-0145 di trasformare interazioni apparentemente normali in esecuzione di comandi; SopraVPN porta ora la stessa logica dentro un percorso di selezione molto più articolato. Per le aziende ucraine e per le organizzazioni legate al conflitto, il recruiting deve quindi essere considerato anche come superficie di attacco, soprattutto quando a candidati e dipendenti tecnici viene chiesto di installare software o collegarsi a reti esterne usando dispositivi che possiedono già accessi aziendali.