O CERT-UA, time de resposta a incidentes cibernéticos da Ucrânia, detalhou uma campanha de engenharia social que mira administradores de sistemas e profissionais de TI por meio de propostas falsas de emprego. A atividade é atribuída ao agrupamento UAC-0145, avaliado como subcluster do Sandworm — também conhecido como APT44 e Seashell Blizzard, associado ao serviço de inteligência militar russo.
A campanha está ativa desde pelo menos maio de 2026 e foi divulgada em 11 de agosto de 2026. O elemento técnico central é um cliente WireGuard adulterado, distribuído como se fosse a VPN corporativa de uma empresa real de tecnologia, que executa código malicioso escondido em arquivos de configuração.
O ponto que torna o caso relevante muito além da Ucrânia: o alvo não é o usuário final desatento, e sim o profissional que administra a infraestrutura. Quem cai nessa armadilha entrega ao atacante uma conta com privilégios elevados e conhecimento do ambiente.
O Sandworm é um dos agrupamentos de ameaça persistente avançada mais documentados da última década, ligado a operações contra infraestrutura crítica e entidades governamentais na Ucrânia e em outros países. O Plugged Ninja já acompanhou sanções coordenadas contra estruturas russas de inteligência ligadas a ataques a infraestrutura crítica europeia.
O uso de falsas ofertas de emprego como vetor não é novidade no repertório de grupos estatais — o padrão é conhecido desde as campanhas norte-coreanas contra profissionais de tecnologia. A novidade aqui está na sofisticação da cadeia de confiança montada e no artefato técnico escolhido.
A operação segue uma sequência bem definida, e cada etapa tem função específica na construção de credibilidade.
Em um dos casos observados pelo CERT-UA, o atacante se passou pela empresa internacional de TI Sopra Steria, usando endereços de e-mail semelhantes aos do escritório da companhia na Bulgária.
Aqui está o detalhe mais engenhoso da cadeia. O arquivo de configuração inicial é deliberadamente construído para produzir um erro. Quando a conexão falha, os atacantes oferecem a solução: baixar um cliente WireGuard modificado, chamado SopraVPN, hospedado no SourceForge.
A página no SourceForge inclui link para um domínio criado para imitar a Sopra Steria, sem qualquer relação com a empresa legítima. A combinação é notável do ponto de vista de engenharia social: nome de empresa real, plataforma de distribuição real e protocolo subjacente real, sem que nenhuma dessas entidades tenha sido comprometida. A vítima verifica cada elemento isoladamente e cada um passa no teste.
O cliente modificado mantém a funcionalidade de VPN, mas adiciona suporte a uma opção de configuração não padronizada chamada SymmetricKey. O WireGuard legítimo não possui esse parâmetro.
Quando presente, essa opção faz o cliente descriptografar e executar código PowerShell embutido no próprio arquivo de configuração. A escolha arquitetural é sofisticada por um motivo específico: a carga maliciosa não está no binário, está no arquivo de configuração. Um executável submetido a análise estática ou a sandbox sem o arquivo de configuração correspondente pode não revelar comportamento malicioso algum.
| Plataforma | Comportamento após a execução |
|---|---|
| Windows | Cria uma tarefa agendada e baixa carga adicional da internet |
| Linux | Usa cURL para obter um executável de infraestrutura controlada pelo atacante, através do próprio túnel VPN |
Repare no detalhe do lado Linux: o download ocorre por dentro do túnel VPN que a própria vítima acabou de estabelecer. Isso significa que o tráfego de segundo estágio não passa pelos controles de saída da rede corporativa — ele viaja encapsulado dentro de uma conexão que a vítima autorizou.
O CERT-UA observou ainda que a decodificação Base64 padrão do WireGuard foi substituída, na versão adulterada, por um alfabeto Base64 personalizado e gerado dinamicamente.
Base64 é um esquema de codificação que representa dados binários usando 64 caracteres imprimíveis, em ordem convencionada. Ao trocar essa ordem por uma sequência própria, os atacantes fazem com que qualquer decodificador padrão — de uma ferramenta de análise a um mecanismo de inspeção de conteúdo — produza lixo em vez do texto real. As chaves ficam ilegíveis e o código PowerShell fica protegido de análise automatizada.
O impacto potencial é desproporcional ao número de vítimas. Comprometer um administrador de sistemas de uma operadora de telecomunicações ou de uma empresa de TI dá ao atacante credenciais privilegiadas, mapa mental da infraestrutura e, com frequência, acesso a ambientes de clientes. É o mesmo raciocínio do ataque à cadeia de suprimentos, mas pela via humana.
Há também uma dimensão que merece atenção no Brasil. O setor de TI brasileiro tem alto volume de profissionais em processos seletivos internacionais remotos, muitos deles envolvendo entrevistas em inglês, uso de Telegram e execução de testes técnicos em ambientes fornecidos pelo contratante. Esse é exatamente o fluxo que a campanha imita. Não há, até o momento, indicação pública de que profissionais brasileiros tenham sido alvo desta campanha específica — mas o padrão de ataque é reproduzível em qualquer mercado com essas características.
Do lado das limitações, a operação exige investimento humano significativo: pesquisa de currículos, condução de conversas prolongadas e entrevistas ao vivo em inglês. Isso limita o volume de alvos e favorece a seletividade — o que é ruim para quem está na mira, mas significa que não se trata de campanha de massa.
Há incertezas relevantes que devem ser declaradas. A atribuição ao Sandworm parte do CERT-UA e classifica o UAC-0145 como subcluster, não como o grupo principal. O número de vítimas efetivamente comprometidas não foi divulgado, e o conteúdo da carga de segundo estágio não foi descrito publicamente em detalhe. Também não há informação sobre o objetivo final da campanha — se espionagem, acesso persistente ou preparação para operação destrutiva.
A orientação do CERT-UA a operadoras de telecomunicações e empresas de TI é direta: restringir o acesso a recursos corporativos a dispositivos gerenciados e continuamente monitorados, protegidos por EDR — inclusive quando o funcionário usa equipamento pessoal. Além disso:
.conf pode carregar carga ativa. Revise o conteúdo antes de usar e desconfie de parâmetros que não constam da documentação oficial.A campanha do UAC-0145 é um bom exemplo de que engenharia social sofisticada não depende de falsificar nada. Empresa real, plataforma de distribuição real, protocolo real, entrevista real — o único elemento fabricado é a relação entre eles. Cada verificação isolada que a vítima faz retorna resultado legítimo.
Para as equipes de segurança, a lição prática é que o profissional de TI precisa estar dentro do escopo de proteção, não apenas responsável por ele. E, no plano técnico, o caso reforça um princípio que costuma ser esquecido: arquivo de configuração é superfície de ataque. Quando o software aceita parâmetros não documentados que disparam execução de código, a separação entre dados e código deixa de existir.
O que acompanhar a seguir: a eventual publicação, pelo CERT-UA, de detalhes sobre a carga de segundo estágio e sobre o objetivo final da operação — informação que permitiria avaliar se o alvo era espionagem de longo prazo ou preparação de acesso para ação posterior.
Framework criado por pesquisadores europeus e asiáticos executa ciclos completos de campanha em plataforma simulada,…
Pesquisa do Stanford RegLab e do Stanford HAI analisou 522 empresas registradas no estado e…
Nova versão analisada pela Unit 42 forja impressões digitais do Chrome em ataques HTTP/2 e…
A Cisco Talos contabiliza 421 falhas corrigidas pela Microsoft neste mês, 62 delas críticas. Uma…
O gerador de vídeo com áudio nativo tem 33 bilhões de parâmetros e roda em…
O framework ABBEL faz o agente manter uma descrição explícita do que sabe e decidir…