Sandworm Targetkan Profesional IT dengan WireGuard VPN yang Telah Disisipi Malware

Kelompok peretas yang terkait dengan Sandworm, kelompok ancaman asal Rusia, menargetkan system administrator dan profesional IT melalui tawaran pekerjaan palsu sejak setidaknya Mei 2026.

Kampanye social engineering tersebut diungkap oleh Computer Emergency Response Team Ukraina (CERT-UA) dan dikaitkan dengan UAC-0145, yang diyakini merupakan sub-cluster dari Sandworm atau APT44.

Dalam kampanye ini, pelaku menyamar sebagai perusahaan IT dan recruiter untuk mendapatkan kepercayaan calon korban. Target kemudian diarahkan untuk menjalankan technical assignment yang sebenarnya menjadi bagian dari rangkaian serangan.

Lowongan Kerja Palsu Menjadi Awal Serangan

Pelaku terlebih dahulu mempelajari resume system administrator dan profesional IT yang dipublikasikan di situs pencarian kerja.

Setelah menentukan target, attacker menghubungi korban secara langsung dengan menyamar sebagai perusahaan teknologi atau recruiter.

Percakapan kemudian dipindahkan ke Telegram untuk mengatur video interview melalui Zoom. Wawancara dilakukan dalam bahasa Inggris dan korban diberikan technical assignment yang diklaim sebagai bagian dari proses rekrutmen.

Tugas tersebut mengharuskan calon karyawan terhubung ke corporate VPN untuk melakukan pekerjaan pengujian.

Di sinilah proses rekrutmen palsu mulai berubah menjadi jalur distribusi malware.

Pelaku Menyamar sebagai Sopra Steria

Dalam salah satu kasus yang diamati CERT-UA, attacker menyamar sebagai perusahaan IT internasional Sopra Steria.

Pelaku menggunakan alamat email yang dibuat menyerupai alamat perusahaan tersebut, termasuk menggunakan identitas yang seolah-olah berkaitan dengan kantor Sopra Steria di Bulgaria.

Setelah komunikasi berlangsung, korban menerima instruksi tambahan melalui email untuk mengikuti technical interview.

Instruksi tersebut menyertakan configuration files yang digunakan untuk terhubung ke “corporate” VPN berbasis WireGuard pada sistem Linux maupun Windows.

VPN tersebut disebut diperlukan untuk mengerjakan test task yang diberikan selama proses rekrutmen.

Namun, file dan konfigurasi tersebut sebenarnya menjadi bagian dari mekanisme untuk mengirimkan malware ke perangkat korban.

Korban Diarahkan Mengunduh WireGuard yang Dimodifikasi

Ketika korban menjalankan file yang diberikan, program tersebut dikonfigurasi untuk menghasilkan error palsu.

Pelaku kemudian mengarahkan korban untuk mengunduh client VPN berbasis WireGuard yang telah dimodifikasi dan diberi nama SopraVPN.

Client tersebut didistribusikan melalui SourceForge agar terlihat lebih meyakinkan.

Halaman download juga mencantumkan tautan menuju domain soprasteria-bg[.]com, yang dirancang untuk meningkatkan kredibilitas aplikasi.

Namun, domain tersebut tidak memiliki hubungan dengan perusahaan Sopra Steria yang sebenarnya.

Penggunaan nama perusahaan, alamat email yang menyerupai organisasi asli, proses interview, technical assignment, hingga aplikasi VPN palsu membuat serangan ini terlihat seperti bagian normal dari proses perekrutan tenaga IT.

SopraVPN Memiliki Fungsi Berbahaya

CERT-UA menemukan bahwa versi WireGuard yang telah dimodifikasi tersebut memiliki configuration option tidak standar bernama “SymmetricKey”.

Option tersebut digunakan untuk mendekripsi dan mengeksekusi PowerShell code yang disisipkan ke dalam aplikasi.

Dengan demikian, aplikasi yang terlihat seperti VPN client sebenarnya dapat digunakan sebagai malware loader.

Pada Windows, command berbahaya yang dijalankan oleh aplikasi akan membuat scheduled task dan mengunduh payload tambahan dari internet.

Scheduled task memungkinkan payload tetap dijalankan melalui mekanisme otomatis pada sistem korban.

Sementara itu, pada Linux, aplikasi menggunakan cURL untuk mengambil executable tambahan dari infrastructure yang dikendalikan attacker melalui koneksi VPN.

Artinya, kampanye tersebut tidak hanya menargetkan pengguna Windows. Infrastruktur Linux yang digunakan oleh system administrator dan profesional IT juga menjadi sasaran.

Pelaku Menyamarkan Base64 untuk Menghindari Analisis

Trojanized WireGuard client tersebut juga memiliki perubahan pada mekanisme encoding yang digunakan WireGuard.

Dalam versi standar, WireGuard menggunakan Base64 untuk sejumlah data konfigurasi. Namun, versi yang telah dimodifikasi oleh attacker mengganti mekanisme Base64 tersebut dengan custom dynamically generated Base64 alphabet.

Perubahan tersebut membuat key strings tidak dapat dibaca menggunakan standard Base64 decoder.

Teknik ini juga membantu menyamarkan PowerShell code yang digunakan oleh malware sehingga lebih sulit dianalisis menggunakan metode pemeriksaan sederhana.

Modifikasi tersebut menunjukkan bahwa pelaku tidak sekadar menyisipkan payload ke dalam aplikasi legitimate, tetapi juga melakukan perubahan terhadap bagian tertentu dari software untuk menyembunyikan aktivitas berbahaya.

Profesional IT Menjadi Target yang Bernilai Tinggi

Pemilihan system administrator dan profesional IT sebagai target memberikan keuntungan besar bagi attacker.

Profesional IT biasanya memiliki akses ke berbagai sistem internal perusahaan, termasuk VPN, server, cloud infrastructure, network devices, development environments, dan sistem administrasi lainnya.

Jika perangkat seorang administrator berhasil dikompromikan, akses tersebut berpotensi memberikan jalan menuju resource perusahaan yang lebih sensitif.

Dalam kasus ini, social engineering juga memanfaatkan konteks yang sangat relevan dengan pekerjaan korban. Penggunaan technical interview dan kebutuhan mengakses corporate VPN membuat permintaan untuk menginstal software jaringan terlihat masuk akal.

Hal tersebut meningkatkan kemungkinan korban menjalankan aplikasi berbahaya tanpa menyadari bahwa proses rekrutmen tersebut sebenarnya merupakan bagian dari serangan.

CERT-UA Sarankan Akses Internal Dibatasi

CERT-UA merekomendasikan perusahaan telekomunikasi dan perusahaan IT yang karyawannya menjadi target kampanye tersebut untuk membatasi akses ke corporate resources.

Akses sebaiknya hanya diberikan melalui perangkat yang dikelola organisasi dan berada di bawah monitoring secara berkelanjutan.

Perangkat tersebut juga disarankan dilindungi menggunakan Endpoint Detection and Response (EDR).

Rekomendasi ini tetap berlaku ketika karyawan menggunakan perangkat pribadi untuk bekerja.

Jika personal device digunakan untuk mengakses resource perusahaan tanpa kontrol keamanan yang memadai, kompromi pada perangkat tersebut dapat menjadi jalur masuk menuju infrastruktur internal.

Karena itu, organisasi perlu memastikan bahwa akses ke sistem penting tidak hanya bergantung pada keberadaan VPN atau kredensial yang benar, tetapi juga mempertimbangkan security posture dari endpoint yang digunakan.

Sandworm Memiliki Rekam Jejak Menargetkan Infrastruktur Kritis

APT44 atau Sandworm dikenal sebagai kelompok ancaman yang menargetkan critical infrastructure dan government entities.

Aktivitas kelompok tersebut sebelumnya telah dikaitkan dengan berbagai operasi siber terhadap organisasi di Ukraina maupun negara lainnya.

Dengan menggunakan pendekatan social engineering berbasis lowongan kerja, kampanye terbaru menunjukkan bahwa kelompok yang terkait dengan Sandworm juga dapat menggunakan metode yang lebih langsung untuk memperoleh akses ke perangkat individu yang memiliki keahlian dan hak akses tinggi.

Serangan melalui aplikasi VPN yang telah ditrojanisasi juga memperlihatkan bagaimana software yang terlihat legitimate dapat dimanfaatkan sebagai initial access dan payload delivery mechanism.

Bagi perusahaan yang merekrut tenaga IT secara remote, proses verifikasi software menjadi sama pentingnya dengan verifikasi identitas recruiter dan perusahaan. Aplikasi yang diminta untuk dipasang selama technical interview sebaiknya diperiksa terlebih dahulu, terutama jika aplikasi tersebut berasal dari sumber yang tidak secara resmi terafiliasi dengan perusahaan yang melakukan perekrutan.

Sumber: CERT-UA