LONDON (IT BOLTWISE) – CERT-UA beschreibt eine neue Social-Engineering-Kampagne, die IT-Mitarbeiter mit gefälschten Job-Interviews in die Falle locken soll. Die Angreifer tarnen sich als Recruiter, wechseln nach der ersten Kontaktaufnahme über Online-Chats zu Telegram und führen danach Zoom-Gespräche. Kern der Attacke ist ein manipuliertes WireGuard-Setup, das beim Zugriff auf interne Ressourcen willkürliche Befehle ausführt und anschließend weitere Payloads nachlädt. Seit Mai 2026 läuft die Kampagne laut Sicherheitsbehörde weiter, während IT-Teams vor allem auf den Missbrauch von VPN-Konfigurationen und Interview-E-Mails achten sollen.
Eine neue Social-Engineering-Kampagne zeigt, wie weit sich VPN-Umgebungen inzwischen als Angriffsmittel missbrauchen lassen. Laut CERT-UA zielt ein russischer staatlich unterstützter Bedrohungscluster, den die Behörde unter UAC-0145 führt, auf IT-Fachkräfte ab, indem er sich als Recruiting-Team tarnt und Opfer zur Installation von Schadsoftware über den Umweg „Bewerbungsgespräch“ bewegt. Auffällig ist dabei nicht nur die Inszenierung über mehrere Kanäle, sondern auch der technische Kern: Die Täter nutzen ein „vergiftetes“ VPN-Setup, das auf WireGuard basiert und beim späteren Verbindungsversuch nicht nur die Verbindung herstellen soll, sondern aktiv Befehle auf dem Zielsystem ausführt. Das ist ein Paradigmenwechsel gegenüber klassischen Phishing-Varianten, bei denen Dateien oder Links im Vordergrund stehen.
Der Ablauf beginnt laut CERT-UA auf Job-Such-Websites: Nach dem Blick auf den Lebenslauf kontaktieren die Angreifer das potenzielle Opfer typischerweise als „IT-Repräsentant“ einer Firma. Die erste Kommunikation läuft zunächst über den in solchen Portalen integrierten Chat, anschließend wechseln die Angreifer laut Beschreibung in Messaging-Apps wie Telegram. In der folgenden Konversation behauptet ein vermeintlicher HR-Verantwortlicher, den Screening-Prozess für ein europäisches Beratungs- und Softwareunternehmen (genannt wird Sopra Steria Bulgaria) zu steuern. Konkrete Rückfragen zur Arbeit und zur englischen Sprache sollen das Gespräch realistisch wirken lassen, bevor die Kandidaten zu einem Zoom-Video-Call eingeladen werden.
Technisch interessant wird es dann in zwei Schichten: Erstens, weil die Behörde darauf hinweist, dass beim Zoom-Interview unklar bleibt, ob das auftauchende Gegenüber ein echter Teilnehmer ist oder eine synthetische Persona, die mit KI erzeugt wurde. Zweitens, weil parallel zum Video-Call in einer E-Mail technische Interviewanweisungen verschickt werden. Dazu gehören Konfigurationsdateien, mit denen ein „corporate VPN“ über WireGuard eingerichtet werden soll, sowie ein Link zu einem zweiten Zoom-Meeting, bei dem der Test „überwacht“ werden soll. Diese Kombination aus zeitlich getakteter Kommunikationsspur und scheinbar legitimer Technik reduziert die Wahrscheinlichkeit, dass Opfer frühzeitig misstrauisch werden – gerade dann, wenn sie selbst in IT-Kontexten agieren.
Der eigentliche Angriff startet laut CERT-UA jedoch beim Versuch, die bereitgestellten WireGuard-Konfigurationen zu verwenden. Das Opfer sieht dann Fehlermeldungen, woraufhin die Angreifer zum Download einer benutzerdefinierten VPN-Lösung mit dem Namen „SopraVPN“ raten. Der Download-Mechanismus ist dabei nach den Angaben so gestaltet, dass ein Link eine Seite imitieren soll, die wie die Domain eines genannten Unternehmens wirkt (genannt werden fiktive/imitierte URLs). CERT-UA und eine weitere Analyse identifizierten zusätzlich ein drittes SourceForge-Projekt, das als „Open-Source“-Corporate-VPN beschrieben wird; in der Praxis seien jedoch alle genannten Projekte nicht verfügbar. Für die Bedrohung ist das dennoch weniger relevant als der nächste Punkt: Die „Poisoned“-WireGuard-Komponente ist laut Behörde aus dem WireGuard-Quellcode kompiliert, aber mit gezielten Modifikationen versehen.
Konkret beschreibt CERT-UA eine zusätzliche Unterstützung für eine nicht standardisierte Konfigurationsoption namens „SymmetricKey“. Der Wert dieser Option enthält den Angaben zufolge BASE64-kodierte Daten für AES-256-GCM – darunter ein Nonce, Ciphertext und ein Authentifizierungs-Tag. Außerdem wird ein 32-Byte-Wert, der nach dem Dekodieren aus „PrivateKey“ entsteht, als AES-256-Schlüssel verwendet. Der so entschlüsselte Inhalt wird als PowerShell-Code behandelt und dann über WireGuards Standardmechanismus „runScriptCommand“ in die Ausführungsschicht eingebracht; genau dieser Mechanismus sei bei WireGuard unter anderem dafür gedacht, Befehle zu verarbeiten, die in Optionen wie „PostUp“ spezifiziert werden. Übersetzt in eine Sicherheitsbrille bedeutet das: Die manipulierte VPN-Implementierung kann ohne Wissen des Anwenders beliebige Befehle auf dem Host ausführen.
Die zweite Stufe folgt laut CERT-UA je nach Betriebssystem unterschiedlich. Auf Windows nutze der VPN-Client PowerShell, um eine geplante Aufgabe (scheduled task) zu erstellen, die anschließend eine zweite Payload von einer Remote-Adresse lädt. Auf Linux hingegen greift die Angreifer-Variante zu cURL, um ein ausführbares Artefakt über die Angreifer-Infrastruktur per VPN nachzuladen. Was genau diese nächste Payload tut, bleibt in der Meldung ausdrücklich unklar. Für IT-Sicherheitsverantwortliche ist das trotzdem bereits ausreichend, um die Prioritäten zu verschieben: In diesem Szenario ist „VPN verbinden“ kein rein netzwerkseitiger Schritt mehr, sondern ein Ausführungshebel, wenn die Client-Software manipuliert oder die Konfigurationskette kompromittiert wurde.
Aus Marktsicht passt das in eine breitere Entwicklung, bei der sich Bedrohungsakteure zunehmend professionell in IT-Workflows einklinken. CERT-UA ordnet die Aktivität als laufende Kampagne seit Mai 2026 ein und verweist außerdem auf einen zeitnahen Vorgang: Weniger als einen Monat zuvor wurde ein weiterer Ansatz genannt, der mit dem ClickFix-Taktikmuster Maschinen in der Ukraine mit datendiebender Schadsoftware infizieren sollte. Daneben wird betont, dass gefälschte Recruiting-Kampagnen inzwischen nicht mehr nur ein einzelnes Akteursprofil sind, sondern auch von anderen Gegnergruppen genutzt werden. Das unterstreicht, dass die Angriffsfläche nicht allein „E-Mail“ oder „Browser“ ist, sondern der gesamte Prozess, in dem Personal- und Technikthemen vermischt werden.
Praktische Schutzmaßnahmen sollten sich daher an zwei Hebeln orientieren: zum einen die Abschirmung vor Social Engineering, zum anderen die Verhinderung, dass VPN-Zugang auf unverwalteten Endgeräten blind vertraut wird. CERT-UA empfiehlt Organisationen, den Zugriff auf Unternehmensressourcen nur von gemanagten Geräten zu erlauben, auf denen passende Sicherheitssoftware installiert ist, und die relevanten Richtlinien so zu konfigurieren, dass sie zu dieser Zugriffssituation passen. Außerdem fordert die Behörde kontinuierliches Monitoring, damit ungewöhnliche Ereignisse – etwa unerwartete Client-Installationen, abweichende VPN-Client-Versionen oder automatisierte Task-Erstellungen – früh sichtbar werden. Für IT-Teams heißt das im Alltag: Jede „VPN-Konfigurationsdatei aus dem Interview“-Kette sollte als potenzielles Angriffsartefakt behandelt werden, bis sie über ein internes, abgesichertes Verfahren verifiziert ist.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Sandworm: UAC-0145 nutzt Fake-Interviews, um WireGuard mit Payload zu infizieren" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Sandworm: UAC-0145 nutzt Fake-Interviews, um WireGuard mit Payload zu infizieren" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Sandworm: UAC-0145 nutzt Fake-Interviews, um WireGuard mit Payload zu infizieren« bei Google Deutschland suchen, bei Bing oder Google News!