CERT-UA beschreibt den Ablauf als gezielte Social-Engineering-Operation gegen Personen mit IT-Bezug. Die Angreifer analysieren laut Bericht Lebensläufe, die auf Jobseiten hochgeladen wurden, und kontaktieren die Betroffenen anschließend direkt. Danach werde die Unterhaltung auf Telegram fortgesetzt, um ein Zoom-Interview zu vereinbaren.

Während des Gesprächs erhalten die Zielpersonen demnach fingierte technische Testaufgaben. Dafür schicken die Täter parallel per E-Mail zusätzliche Anweisungen, darunter Konfigurationsdateien für die Verbindung zu einem angeblichen Unternehmens-VPN mit WireGuard unter Linux oder Windows. In einem von CERT-UA beobachteten Fall gaben sich die Angreifer als das internationale IT-Unternehmen Sopra Steria aus und nutzten E-Mail-Adressen, die dem Büro des Unternehmens in Bulgarien täuschend ähnlich sahen.

Die zunächst heruntergeladene Datei ist laut CERT-UA so eingerichtet, dass sie eine gefälschte Fehlermeldung erzeugt. Anschließend drängen die Angreifer ihr Opfer dazu, einen modifizierten WireGuard-Client namens „SopraVPN“ von SourceForge herunterzuladen. Um die Glaubwürdigkeit zu erhöhen, enthielt die dortige Seite auch einen Verweis auf die Domain soprasteria-bg[.]com, die jedoch keine Verbindung zum echten Unternehmen hat.

Der trojanisierte Client unterstützt nach Angaben von CERT-UA eine bösartige, nicht standardisierte Konfigurationsoption mit der Bezeichnung „SymmetricKey“. Diese dient dazu, eingebetteten PowerShell-Code zu entschlüsseln und auszuführen. Unter Windows legt der schädliche Befehl eine geplante Aufgabe an und lädt eine weitere Nutzlast aus dem Internet nach.

Unter Linux ruft die Schadfunktion über cURL ein weiteres ausführbares Programm aus einer von den Angreifern kontrollierten Infrastruktur ab, und zwar über die VPN-Verbindung. CERT-UA weist außerdem darauf hin, dass in der manipulierten Version die übliche Base64-Dekodierung von WireGuard ersetzt wurde. Stattdessen kommt ein eigenes, dynamisch erzeugtes Base64-Alphabet zum Einsatz. Dadurch seien Schlüsselzeichenfolgen mit Standard-Dekodierern nicht lesbar, und zugleich werde der PowerShell-Code vor Analysen geschützt.

Die ukrainische Cyberbehörde rät Telekommunikationsanbietern und IT-Unternehmen, deren Beschäftigte Ziel dieser Kampagne sind, den Zugriff auf Unternehmensressourcen auf verwaltete und fortlaufend überwachte Geräte zu beschränken, die mit EDR abgesichert sind. Das gelte auch dann, wenn Beschäftigte private Geräte einsetzen.

APT44 ist dafür bekannt, kritische Infrastrukturen und Regierungsstellen in der Ukraine sowie in anderen Ländern ins Visier zu nehmen. Die nun von CERT-UA beschriebene Kampagne richtet sich jedoch konkret gegen Systemadministratoren und IT-Fachleute, die über vorgetäuschte Bewerbungsprozesse an einen präparierten VPN-Client herangeführt werden.