CERT-UA cảnh báo chiến dịch lừa tuyển dụng phát tán VPN độc hại
"CERT-UA disclosed an ongoing social engineering campaign attributed to Sandworm-linked UAC-0145 that targets Ukrainian IT workers through fake job interviews and recruiter impersonation. Victims are lured into installing a modified WireGuard-based VPN client that can decrypt and execute attacker-supplied PowerShell commands, enabling arbitrary command execution and secondary payload delivery on Windows and Linux systems. No CVE was reported; the recommended mitigation is to restrict corporate access to managed devices, enforce security controls, and monitor for social engineering and malicious VPN use."
Rủi ro cao do thực thi lệnh từ xa trên máy nạn nhân, có thể dẫn tới cài payload thứ cấp và xâm nhập sâu hơn vào hệ thống.
Có thể gây gián đoạn vận hành, lộ lọt dữ liệu và tăng tải cho đội an ninh do tấn công có chủ đích vào nhân sự IT và quy trình tuyển dụng.
CERT-UA cho biết một chiến dịch social engineering đang nhắm vào nhân sự IT tại Ukraine, được gán cho nhóm UAC-0145 liên quan đến Sandworm. Kẻ tấn công giả danh nhà tuyển dụng, liên hệ qua trang tìm việc rồi chuyển sang Telegram và Zoom để dẫn dụ nạn nhân tham gia “phỏng vấn kỹ thuật”.
Trong quá trình này, nạn nhân được yêu cầu cài một ứng dụng VPN tùy biến dựa trên WireGuard. Phiên bản bị chỉnh sửa này có thể giải mã và thực thi lệnh PowerShell do đối tượng tấn công cung cấp, cho phép thực thi lệnh tùy ý trên máy nạn nhân. CERT-UA cũng ghi nhận biến thể cho Windows có thể tạo scheduled task để tải thêm payload, trong khi biến thể Linux dùng cURL để tải tệp thực thi từ hạ tầng của kẻ tấn công.
Không có CVE nào được công bố. Khuyến nghị chính là chỉ cho phép truy cập tài nguyên doanh nghiệp từ thiết bị được quản lý, có cài phần mềm bảo mật phù hợp, áp dụng chính sách kiểm soát chặt chẽ và giám sát liên tục các dấu hiệu lừa đảo tuyển dụng hoặc sử dụng VPN bất thường.
Tổ chức nên cảnh giác với yêu cầu cài phần mềm ngoài quy trình, đặc biệt khi đi kèm liên kết tải xuống, cấu hình VPN và các bước xác minh danh tính không chính thức.