Nach Darstellung von CERT-UA beginnt die Operation auf legitimen ukrainischen Jobwebsites. Dort suchen die Angreifer nach möglichen Opfern, sichten deren Bewerbungsunterlagen und nehmen anschließend über die integrierte Chat-Funktion Kontakt auf. Im untersuchten Fall wurde die Unterhaltung danach zu Telegram verlagert, wo sich eine angebliche Personalverantwortliche meldete und zunächst gewöhnliche Fragen zu bevorzugten Arbeitsbedingungen und Englischkenntnissen stellte.
Anschließend folgte laut CERT-UA ein Zoom-Gespräch mit einem englischsprachigen Mann, der den Angaben nach zwischen 30 und 35 Jahre alt wirkte. Ob es sich dabei um einen echten Beteiligten der Operation oder um eine KI-generierte Persona handelte, ließ die Behörde offen.
Im weiteren Verlauf erhielten Kandidaten per E-Mail Anweisungen für ein angebliches technisches Interview. Laut der Untersuchung sollten sie sich über WireGuard, ein legitimes Open-Source-VPN-Protokoll samt zugehöriger Software, mit einem Firmennetzwerk verbinden, um Testaufgaben zu bearbeiten. Die Absenderadresse war dabei so gestaltet, dass sie einer Adresse eines regionalen Sopra-Steria-Büros ähnelte.
Wenn die Verbindung mit den bereitgestellten Dateien scheiterte, empfahlen die vermeintlichen Recruiter den Download einer angepassten VPN-Anwendung namens SopraVPN. Diese wurde laut CERT-UA über SourceForge verteilt und von einer Website verlinkt, die wie die offizielle Seite des Unternehmens gestaltet war. Die Installation dieser Anwendung sei der kritische Moment für die Kompromittierung des Computers gewesen.
Technisch bauten die Angreifer die Anwendung nach Angaben von CERT-UA auf legitimen Open-Source-Code von WireGuard auf, veränderten ihn jedoch so, dass sich schädliche Befehle verdeckt auf dem Gerät des Opfers ausführen ließen. Ein Teil dieser Befehle war verschlüsselt und in die VPN-Konfigurationsdateien eingebettet, was ihre Erkennung bei einer einfachen Prüfung erschwerte.
Wie viele Personen ins Visier genommen wurden, teilte CERT-UA nicht mit. Auch zum eigentlichen Endziel der Operation machte die Behörde keine Angaben. Das Telegram-Konto des angeblichen Recruiters von Atlas Business Group war zum Zeitpunkt der Veröffentlichung noch erreichbar, die dazugehörige Stellenanzeige war jedoch entfernt worden.
CERT-UA ordnet die Kampagne Sandworm zu, einer seit mehr als einem Jahrzehnt aktiven Gruppe, die von Forschern auch als APT44 und Seashell Blizzard verfolgt wird. Sandworm wird für einige der folgenschwersten russischen Cyberoperationen verantwortlich gemacht, darunter Angriffe auf das ukrainische Stromnetz.
Die Methode mit gefälschten Anwerbungen ist laut dem Bericht kein Einzelfall. Westliche Nachrichtendienste hatten bereits davor gewarnt, dass chinesische Geheimdienstoffiziere sich auf beruflichen Netzwerken und Jobplattformen als Recruiter und Berater ausgeben, um Regierungs-, Militär- und andere Beschäftigte mit Zugang zu sensiblen Informationen anzusprechen. Auch nordkoreanische Hacker traten wiederholt als Recruiter auf, um Zugangsdaten und Kryptowährungen zu stehlen oder Mitarbeiter von Technologieunternehmen zu kompromittieren. In anderen Operationen bemühten sich nordkoreanische IT-Arbeiter unter falschen Identitäten um Jobs bei ausländischen Unternehmen, um Einnahmen für Pjöngjang zu erzielen.