Sandworm usa falsa vaga de TI e cliente WireGuard adulterado

O CERT-UA, time de resposta a incidentes cibernéticos da Ucrânia, detalhou uma campanha de engenharia social que mira administradores de sistemas e profissionais de TI por meio de propostas falsas de emprego. A atividade é atribuída ao agrupamento UAC-0145, avaliado como subcluster do Sandworm — também conhecido como APT44 e Seashell Blizzard, associado ao serviço de inteligência militar russo.

A campanha está ativa desde pelo menos maio de 2026 e foi divulgada em 11 de agosto de 2026. O elemento técnico central é um cliente WireGuard adulterado, distribuído como se fosse a VPN corporativa de uma empresa real de tecnologia, que executa código malicioso escondido em arquivos de configuração.

O ponto que torna o caso relevante muito além da Ucrânia: o alvo não é o usuário final desatento, e sim o profissional que administra a infraestrutura. Quem cai nessa armadilha entrega ao atacante uma conta com privilégios elevados e conhecimento do ambiente.

Contexto: quem é o Sandworm

O Sandworm é um dos agrupamentos de ameaça persistente avançada mais documentados da última década, ligado a operações contra infraestrutura crítica e entidades governamentais na Ucrânia e em outros países. O Plugged Ninja já acompanhou sanções coordenadas contra estruturas russas de inteligência ligadas a ataques a infraestrutura crítica europeia.

O uso de falsas ofertas de emprego como vetor não é novidade no repertório de grupos estatais — o padrão é conhecido desde as campanhas norte-coreanas contra profissionais de tecnologia. A novidade aqui está na sofisticação da cadeia de confiança montada e no artefato técnico escolhido.

Como a campanha funciona

A operação segue uma sequência bem definida, e cada etapa tem função específica na construção de credibilidade.

1. Reconhecimento. O atacante estuda currículos publicados em sites de emprego e seleciona alvos com perfil técnico compatível.
2. Contato direto. A abordagem inicial se dá em nome de empresas de TI e recrutadores, com identidades verossímeis.
3. Migração para o Telegram. A conversa é levada para o Telegram, onde se agenda uma entrevista por vídeo via Zoom.
4. Entrevista real. A entrevista acontece de fato, conduzida em inglês. Essa etapa é decisiva: um processo seletivo com pessoa real do outro lado desarma boa parte da desconfiança do alvo.
5. Tarefa técnica. O candidato recebe um exercício que exige conexão a uma VPN corporativa — pretexto natural em qualquer teste técnico que envolva acesso a ambiente interno.
6. Entrega do artefato. Por e-mail, chegam instruções adicionais e arquivos de configuração WireGuard para Linux e Windows.

Em um dos casos observados pelo CERT-UA, o atacante se passou pela empresa internacional de TI Sopra Steria, usando endereços de e-mail semelhantes aos do escritório da companhia na Bulgária.

O falso erro que leva ao malware

Aqui está o detalhe mais engenhoso da cadeia. O arquivo de configuração inicial é deliberadamente construído para produzir um erro. Quando a conexão falha, os atacantes oferecem a solução: baixar um cliente WireGuard modificado, chamado SopraVPN, hospedado no SourceForge.

A página no SourceForge inclui link para um domínio criado para imitar a Sopra Steria, sem qualquer relação com a empresa legítima. A combinação é notável do ponto de vista de engenharia social: nome de empresa real, plataforma de distribuição real e protocolo subjacente real, sem que nenhuma dessas entidades tenha sido comprometida. A vítima verifica cada elemento isoladamente e cada um passa no teste.

Aspectos técnicos do cliente adulterado

O cliente modificado mantém a funcionalidade de VPN, mas adiciona suporte a uma opção de configuração não padronizada chamada SymmetricKey. O WireGuard legítimo não possui esse parâmetro.

Quando presente, essa opção faz o cliente descriptografar e executar código PowerShell embutido no próprio arquivo de configuração. A escolha arquitetural é sofisticada por um motivo específico: a carga maliciosa não está no binário, está no arquivo de configuração. Um executável submetido a análise estática ou a sandbox sem o arquivo de configuração correspondente pode não revelar comportamento malicioso algum.

Plataforma	Comportamento após a execução
Windows	Cria uma tarefa agendada e baixa carga adicional da internet
Linux	Usa cURL para obter um executável de infraestrutura controlada pelo atacante, através do próprio túnel VPN

Repare no detalhe do lado Linux: o download ocorre por dentro do túnel VPN que a própria vítima acabou de estabelecer. Isso significa que o tráfego de segundo estágio não passa pelos controles de saída da rede corporativa — ele viaja encapsulado dentro de uma conexão que a vítima autorizou.

Ofuscação por alfabeto Base64 personalizado

O CERT-UA observou ainda que a decodificação Base64 padrão do WireGuard foi substituída, na versão adulterada, por um alfabeto Base64 personalizado e gerado dinamicamente.

Base64 é um esquema de codificação que representa dados binários usando 64 caracteres imprimíveis, em ordem convencionada. Ao trocar essa ordem por uma sequência própria, os atacantes fazem com que qualquer decodificador padrão — de uma ferramenta de análise a um mecanismo de inspeção de conteúdo — produza lixo em vez do texto real. As chaves ficam ilegíveis e o código PowerShell fica protegido de análise automatizada.

Impactos, possibilidades e limitações

O impacto potencial é desproporcional ao número de vítimas. Comprometer um administrador de sistemas de uma operadora de telecomunicações ou de uma empresa de TI dá ao atacante credenciais privilegiadas, mapa mental da infraestrutura e, com frequência, acesso a ambientes de clientes. É o mesmo raciocínio do ataque à cadeia de suprimentos, mas pela via humana.

Há também uma dimensão que merece atenção no Brasil. O setor de TI brasileiro tem alto volume de profissionais em processos seletivos internacionais remotos, muitos deles envolvendo entrevistas em inglês, uso de Telegram e execução de testes técnicos em ambientes fornecidos pelo contratante. Esse é exatamente o fluxo que a campanha imita. Não há, até o momento, indicação pública de que profissionais brasileiros tenham sido alvo desta campanha específica — mas o padrão de ataque é reproduzível em qualquer mercado com essas características.

Do lado das limitações, a operação exige investimento humano significativo: pesquisa de currículos, condução de conversas prolongadas e entrevistas ao vivo em inglês. Isso limita o volume de alvos e favorece a seletividade — o que é ruim para quem está na mira, mas significa que não se trata de campanha de massa.

Há incertezas relevantes que devem ser declaradas. A atribuição ao Sandworm parte do CERT-UA e classifica o UAC-0145 como subcluster, não como o grupo principal. O número de vítimas efetivamente comprometidas não foi divulgado, e o conteúdo da carga de segundo estágio não foi descrito publicamente em detalhe. Também não há informação sobre o objetivo final da campanha — se espionagem, acesso persistente ou preparação para operação destrutiva.

Recomendações práticas

A orientação do CERT-UA a operadoras de telecomunicações e empresas de TI é direta: restringir o acesso a recursos corporativos a dispositivos gerenciados e continuamente monitorados, protegidos por EDR — inclusive quando o funcionário usa equipamento pessoal. Além disso:

• Nunca execute testes técnicos de processos seletivos em máquina com acesso corporativo. Use máquina virtual descartável e isolada, sem credenciais nem acesso à rede da empresa.
• Desconfie de instalador alternativo oferecido após falha de conexão. O padrão o arquivo padrão não funciona, baixe nosso cliente é o núcleo desta campanha e de várias outras.
• Instale clientes VPN apenas a partir do canal oficial do projeto ou do fornecedor. No caso do WireGuard, isso significa o site oficial do projeto ou o repositório da distribuição — não SourceForge, GitHub de terceiros ou link enviado por recrutador.
• Trate arquivos de configuração como código executável. Este caso demonstra que um .conf pode carregar carga ativa. Revise o conteúdo antes de usar e desconfie de parâmetros que não constam da documentação oficial.
• Monitore a criação de tarefas agendadas em estações de administradores, especialmente quando associadas a processos de rede recém-instalados.
• Habilite e centralize logs de execução do PowerShell — registro de blocos de script e transcrição — para detectar execução de código a partir de fontes inesperadas.
• Alerte para uso de cURL logo após estabelecimento de túnel VPN em hosts Linux administrados.
• Inclua o tema em treinamento de conscientização voltado à equipe técnica. Programas de segurança costumam focar usuários administrativos e negligenciar que o time de infraestrutura é alvo prioritário e de maior valor.
• Consulte o aviso oficial do CERT-UA para indicadores de comprometimento atualizados antes de montar regras de detecção.

Conclusão

A campanha do UAC-0145 é um bom exemplo de que engenharia social sofisticada não depende de falsificar nada. Empresa real, plataforma de distribuição real, protocolo real, entrevista real — o único elemento fabricado é a relação entre eles. Cada verificação isolada que a vítima faz retorna resultado legítimo.

Para as equipes de segurança, a lição prática é que o profissional de TI precisa estar dentro do escopo de proteção, não apenas responsável por ele. E, no plano técnico, o caso reforça um princípio que costuma ser esquecido: arquivo de configuração é superfície de ataque. Quando o software aceita parâmetros não documentados que disparam execução de código, a separação entre dados e código deixa de existir.

O que acompanhar a seguir: a eventual publicação, pelo CERT-UA, de detalhes sobre a carga de segundo estágio e sobre o objetivo final da operação — informação que permitiria avaliar se o alvo era espionagem de longo prazo ou preparação de acesso para ação posterior.

Fontes e referências

• BleepingComputer — Sandworm hackers target IT pros with trojanized WireGuard VPN client
• CERT-UA — Computer Emergency Response Team of Ukraine (avisos oficiais)
• The Hacker News — Sandworm-Linked UAC-0145 Uses Fake Job Interviews to Push VPN That Can Run Commands
• The Record (Recorded Future News) — Russian military hackers pose as recruiters to target Ukrainian IT workers
• Cybersecurity Help — Russian hackers target Ukrainian IT sector through fake job offers