Laut CERT-UA beginnt der Ablauf auf Job-Suchseiten: Nach Sichtung eines Lebenslaufs melden sich die Angreifer bei potenziellen Opfern, typischerweise Systemadministratoren oder IT-Spezialisten, im Namen eines IT-Unternehmens wie ATLAS Business Group. Die erste Kommunikation läuft über die integrierten Chats der Plattformen, verlagert sich anschließend aber auf Messenger wie Telegram.

Dort führt zunächst eine angebliche Personalverantwortliche Gespräche mit den Kandidaten und behauptet, für den Auswahlprozess von Sopra Steria Bulgaria zuständig zu sein, einem legitimen europäischen Beratungs- und Softwareunternehmen. Nach Angaben von CERT-UA geht es dabei um allgemeine Fragen zur Arbeitserfahrung und um die Englischkenntnisse der Bewerber. Anschließend werden sie zu einem Zoom-Gespräch eingeladen.

Dieses Videogespräch findet laut Behörde tatsächlich statt und wird von einem englischsprachigen Mann geführt, der etwa 30 bis 35 Jahre alt wirken soll. Ob es sich dabei um eine reale Person oder um eine mit Künstlicher Intelligenz erzeugte synthetische Identität handelt, ist nach Angaben von CERT-UA unklar.

Parallel dazu erhalten die Zielpersonen per E-Mail weitere Anweisungen für ein technisches Interview. Dazu gehören Konfigurationsdateien für eine angebliche Verbindung zum Unternehmens-VPN über WireGuard, mit der eine Aufgabe absolviert werden soll, sowie ein Link zu einem zweiten Zoom-Termin, bei dem der Test überwacht werde. Scheitert der Verbindungsaufbau mit den gelieferten Dateien und erscheinen Fehlermeldungen, empfehlen die Angreifer den Download einer eigenen VPN-Lösung namens SopraVPN.

Diese Software wurde über SourceForge bereitgestellt und über einen gefälschten Link verbreitet, der die Website von Sopra Steria Bulgaria nachahmen sollte: „soprasteria-bg[.]com“. The Hacker News identifizierte zudem ein drittes SourceForge-Projekt unter „sourceforge[.]net/projects/soprasteriavpn/“. Den zwischengespeicherten Google-Suchergebnissen zufolge wurde es als „Open-Source-VPN-Lösung für Unternehmen für sicheren Fernzugriff und Standort-zu-Standort-Konnektivität ohne teure Lizenzgebühren“ beschrieben. Keines dieser Projekte ist derzeit zum Download verfügbar.

Der technische Kern des Tricks liegt laut CERT-UA in einem aus dem WireGuard-Quellcode kompilierten VPN-Client mit mehreren Änderungen. Demnach wurde die Verarbeitung von Konfigurationsdateien um die nicht standardisierte Option „SymmetricKey“ erweitert. Ihr Wert enthalte BASE64-kodierte Daten für AES-256-GCM: eine Nonce, Geheimtext und ein Authentifizierungs-Tag.

Wie CERT-UA weiter erklärt, wird ein 32-Byte-Wert aus der Dekodierung von „PrivateKey“ als AES-256-Schlüssel verwendet. Der so entschlüsselte PowerShell-Code werde anschließend an den Standardmechanismus „runScriptCommand“ übergeben, den WireGuard unter anderem zur Ausführung von Befehlen aus der Option „PostUp“ nutzt. In der Praxis ermöglicht diese präparierte WireGuard-Version laut CERT-UA die unbemerkte Ausführung beliebiger Befehle auf dem Rechner des Opfers.

Der Windows-VPN-Client nutzt der Behörde zufolge zusätzlich einen PowerShell-Befehl, um eine geplante Aufgabe anzulegen, die eine zweite Nutzlast von einer entfernten URL nachlädt. Die Linux-Variante verwendet cURL, um die ausführbare Datei über die VPN-Verbindung aus der Infrastruktur der Angreifer herunterzuladen. Welche Funktion diese zweite Stufe genau hat, ist nicht bekannt.

CERT-UA verweist darauf, dass die neue Veröffentlichung weniger als einen Monat nach einer anderen Zuschreibung an dieselben Angreifer kommt. In jener Kampagne sei die Social-Engineering-Taktik ClickFix eingesetzt worden, um ukrainische Systeme mit datenstehlender Malware zu infizieren. Mit der aktuellen Entwicklung reihen sich russische Akteure laut Quelle neben chinesischen, iranischen und nordkoreanischen Gegnern ein, die gefälschte Recruiting-Kampagnen nutzen, um unbefugten Zugang zu Zielsystemen zu erhalten.