Hackere har siden i hvert fald maj haft systemadministratorer og it-fagfolk på sigtekornet i en ny og udspekuleret cyberkampagne.
Og det er nogle af klodens skarpeste hackere, som menes at stå bag. Nemlig den militære efterretningstjeneste GRU's Sandworm-hackere.
Social engineering-kampagnen henvender sig til de it-professionelle ved at udgive sig for it-virksomheder eller rekrutteringsfolk og komme med falske jobtilbud, advarer Bleeping Computer.
Ukraines sikkerhedsmyndigheder oplyser, at de russerne gennemgår målenes CV'er på jobportaler. For nærmest at tage direkte kontakt til det mulige offer.
Samtalen flyttes derefter til Telegram, hvor der aftales et videointerview via Zoom.
Sandworm er den samme gruppe, som stod bag det store cyberangreb mod Mærsk og vedholdende forstyrrelser af det ukrainske elnet.
Her er fremgangsmåden
I et tilfælde, som CERT-UA observerede, udgav angriberen sig for at være fra den internationale it-virksomhed Sopra Steria ved hjælp af tilsyneladende legitime e-mailadresser.
Adresserne lignede dem, som it-virksomhedens rigtige kontor i Bulgarien benytter.
"Samtidig sendes yderligere instruktioner til den tekniske samtale via e-mail, herunder konfigurationsfiler til oprettelse af forbindelse til et 'virksomheds-VPN' ved hjælp af Wireguard (Linux/Windows) med det formål angiveligt at udføre testopgaver," oplyser CERT-UA ifølge Bleeping Computer.
Den downloadede fil er konfigureret til at fremprovokere en falsk fejlmeddelelse. Angriberne opfordrer derefter offeret til at downloade en modificeret WireGuard-baseret klient ved navn "SopraVPN" fra SourceForge.
Den inficerede klient understøtter en skadelig, ikke-standardiseret konfigurationsmulighed, der dekrypterer og udfører indlejret PowerShell-kode.
På Windows opretter den skadelige kommando en planlagt opgave og downloader en yderligere fil fra internettet.
Det ukrainske digitale, beredskabsmyndighed anbefaler, at teleudbydere og it-virksomheder, hvis medarbejdere kan være mål for denne kampagne, begrænser adgangen til virksomhedens ressourcer til administrerede enheder, der overvåges løbende og er beskyttet af Endpoint Detection and Response (EDR).
Den anbefaling gælder også, når medarbejderne benytter privat udstyr.
