كشفت CERT-UA عن تفاصيل حملة جديدة يقودها مجموعة التهديد الروسية UAC-0145 المرتبطة بـ Sandworm (المعروفة أيضًا بـ APT44 وSeashell Blizzard)، حيث يتم استهداف موظفي تكنولوجيا المعلومات في أوكرانيا عبر انتحال هوية شركات توظيف وهمية. هذه الحملة، المستمرة منذ مايو 2026، تعتمد على أسلوب خداعي متطور يقوم على محاكاة مقابلات عمل حقيقية لإقناع الضحايا بتنزيل برمجيات خبيثة.
آلية الاستهداف عبر مقابلات العمل
يبدأ الهجوم عبر مواقع البحث عن الوظائف، حيث يتواصل المهاجمون مع المرشحين – غالبًا من مسؤولي الأنظمة أو خبراء تكنولوجيا المعلومات – باسم شركات مثل ATLAS Business Group. بعد محادثة أولية عبر الدردشة المدمجة، يتم الانتقال إلى تطبيقات مثل Telegram، حيث يتواصل “مدير موارد بشرية” مزعوم من شركة Sopra Steria Bulgaria، وهي شركة استشارات وتطوير برمجيات أوروبية شرعية. يُدعى الضحايا لاحقًا إلى مقابلة عبر Zoom مع شخص يتحدث الإنجليزية يبدو في الثلاثينيات من عمره، لكن من غير المؤكد إن كان شخصًا حقيقيًا أو شخصية اصطناعية مولدة بالذكاء الاصطناعي.
استغلال VPN مزيف لتنفيذ الأوامر
بعد المقابلة، يتلقى الضحايا تعليمات تقنية عبر البريد الإلكتروني، تتضمن ملفات إعداد للاتصال بشبكة VPN باستخدام WireGuard. عند مواجهة أخطاء في الاتصال، يقترح المهاجمون تنزيل عميل VPN مزيف باسم SopraVPN عبر روابط على SourceForge، تحاكي موقع الشركة الأصلي “soprasteria-bg[.]com”. النسخة المعدلة من WireGuard تحتوي على خيار غير قياسي باسم SymmetricKey، حيث يتم استخدام بيانات مشفرة بـ AES-256-GCM لتمرير أوامر PowerShell عبر آلية runScriptCommand، ما يسمح بتنفيذ أوامر عشوائية على جهاز الضحية دون علمه. إضافة إلى ذلك، يقوم عميل Windows بإنشاء مهمة مجدولة لتنزيل حمولة إضافية من خادم خارجي، بينما يستخدم إصدار Linux أداة cURL لجلب الملف التنفيذي من بنية المهاجمين.
خلفيات استراتيجية وتحذيرات أمنية
تأتي هذه الحملة بعد أقل من شهر من كشف CERT-UA عن حملة أخرى مرتبطة بنفس المجموعة استخدمت أسلوب ClickFix لنشر برمجيات سرقة بيانات. ومع هذا التطور، ينضم المهاجمون الروس إلى نظرائهم من الصين وإيران وكوريا الشمالية الذين يستخدمون حملات توظيف وهمية كوسيلة لاختراق الأنظمة المستهدفة. تحذر CERT-UA المؤسسات من السماح بالوصول إلى الموارد إلا عبر أجهزة مُدارة مزودة ببرمجيات أمنية مناسبة، مع فرض سياسات صارمة ومراقبة مستمرة. كما دعت خبراء تكنولوجيا المعلومات إلى الحذر من أساليب الهندسة الاجتماعية التي تستغل الثقة في عمليات التوظيف.
