Une campagne d'ingénierie sociale sophistiquée ciblant les profils IT

Le Computer Emergency Response Team d'Ukraine (CERT-UA) a révélé, samedi 10 août 2026, les détails d'une campagne d'hameçonnage humain particulièrement élaborée, attribuée au cluster de menaces UAC-0145, un sous-groupe opérant sous l'égide de Sandworm (également suivi sous les noms d'APT44, Seashell Blizzard ou UAC-0002), le groupe de hackers affilié au GRU, les services de renseignement militaire russes.

Active depuis au moins mai 2026, cette opération cible prioritairement les administrateurs système et les spécialistes IT ukrainiens. Le scénario repose sur une chaîne d'ingénierie sociale en plusieurs étapes, conçue pour bâtir la confiance avant de compromettre la machine de la victime.

Modus operandi : un parcours de recrutement factice mais crédible

Le cheminement est minutieusement mis en scène :

  1. Repérage sur les sites d'emploi — Les attaquants consultent les CV publiés sur des plateformes légitimes de recherche d'emploi ukrainiennes et contactent les candidats potentiels en se faisant passer pour des recruteurs d'une société IT nommée ATLAS Business Group.
  2. Basculer vers Telegram — Après un premier échange via le chat intégré du site d'emploi, la conversation est déplacée vers Telegram, où un faux responsable RH prétend superviser le processus de sélection pour le compte de Sopra Steria Bulgaria, une filiale légitime du groupe européen de conseil et de services informatiques Sopra Steria.
  3. Entretien préliminaire — Des questions professionnelles ordinaires sont posées, ainsi qu'une évaluation du niveau d'anglais du candidat.
  4. Visioconférence Zoom — Le candidat est invité à un appel vidéo avec un homme anglophone, décrit comme âgé de 30 à 35 ans. Le CERT-UA précise qu'il est impossible de déterminer si cette personne était un véritable opérateur ou une persona synthétique générée par intelligence artificielle.
  5. « Entretien technique » — Des instructions complémentaires sont envoyées par e-mail, incluant des fichiers de configuration pour se connecter à un VPN d'entreprise via WireGuard, afin soi-disant de réaliser un test technique. L'adresse e-mail de l'expéditeur est conçue pour ressembler à celle d'un bureau régional de Sopra Steria.

SopraVPN : un WireGuard trojanisé hébergé sur SourceForge

C'est à l'étape de la connexion VPN que le piège se referme. Lorsque la victime tente d'utiliser les fichiers de configuration WireGuard fournis, elle rencontre des messages d'erreur. Les faux recruteurs lui recommandent alors de télécharger un client VPN personnalisé appelé « SopraVPN », hébergé sur la plateforme SourceForge via des liens conçus pour imiter le site officiel de Sopra Steria Bulgaria (soprasteria-bg[.]com).

Trois projets SourceForge ont été identifiés par les chercheurs :

  • sourceforge[.]net/projects/soprabulgariavpn
  • sourceforge[.]net/projects/sopravpn
  • sourceforge[.]net/projects/soprasteriavpn

The Hacker News précise que ce dernier projet se présentait, d'après le cache Google, comme une « solution VPN open-source d'entreprise conçue pour un accès distant sécurisé ». Au moment de l'analyse, aucun de ces projets n'était disponible au téléchargement.

La technique : exécution de commandes via une option de configuration contrefaite

Le client SopraVPN a été compilé à partir du code source légitime de WireGuard, mais avec des modifications substantielles. Selon les explications du CERT-UA :

  • Une option non standard nommée SymmetricKey a été ajoutée au mécanisme de traitement des configurations. Sa valeur contient des données encodées en Base64 correspondant à un chiffrement AES-256-GCM (nonce, texte chiffré et tag d'authentification).
  • La clé AES-256 est dérivée du décodage de la valeur PrivateKey (32 octets).
  • Le code PowerShell ainsi déchiffré est ensuite transmis au mécanisme runScriptCommand de WireGuard — le même mécanisme utilisé légitimement pour exécuter les commandes spécifiées par l'option PostUp.

En d'autres termes, le VPN empoisonné permet à l'attaquant d'exécuter des commandes arbitraires sur la machine de la victime sans qu'elle en ait conscience. Les commandes malveillantes sont chiffrées et intégrées dans les fichiers de configuration, ce qui les rend difficiles à détecter lors d'une inspection superficielle.

Variantes Windows et Linux

  • Sous Windows, le client VPN utilise une commande PowerShell pour créer une tâche planifiée qui télécharge une charge utile secondaire depuis une URL distante.
  • Sous Linux, la variante emploie cURL pour télécharger un fichier exécutable depuis l'infrastructure des attaquants via le tunnel VPN.

La nature exacte de la charge utile de second stade n'a pas été précisée par le CERT-UA.

Un contexte de menace continue

Cette campagne s'inscrit dans une série d'opérations menées par Sandworm contre l'Ukraine. Moins d'un mois auparavant, le CERT-UA avait attribué à UAC-0145 une autre campagne employant la technique dite ClickFix — de fausses invites CAPTCHA sur des sites compromis incitant les victimes à copier-coller une commande PowerShell dans leur terminal Windows. Cette opération deployait le malware GhettoVibe (maintien d'accès), suivi de l'outil de reconnaissance ScoutCurl, ainsi que deux chargeurs baptisés FluidLeech et LoadLoop.

The Record rappelle par ailleurs que Sandworm a également, ces derniers mois :

  • Ciblé des appareils Android avec des malwares déguisés en applications de sécurité, distribués via des applications de messagerie, capables de collecter contacts, fichiers, informations système et localisation en temps réel.
  • Distribué des copies backdoorées de Windows et Office via des sites torrent — un vecteur qui a permis, dans au moins un cas, d'établir une tête de pont dans un réseau gouvernemental ukrainien avant une cyberattaque destructrice.
  • Exploité Signal pour convaincre des militaires ukrainiens d'installer de faux antivirus, parfois en proposant des paiements en espèces, après des semaines de mise en confiance.

Une tactique désormais globale

Si Sandworm est l'acteur le plus récent à adopter les faux recrutements, la technique est loin d'être nouvelle dans le paysage des menaces. Comme le souligne The Record :

  • Les services de renseignement chinois ont déjà utilisé de faux recruteurs et consultants sur des plateformes professionnelles pour approcher du personnel ayant accès à des informations sensibles.
  • Les hackers nord-coréens ont multiplié les campagnes d'usurpation de recruteurs pour voler des identifiants, des cryptomonnaies ou compromettre des employés d'entreprises technologiques — une opération parfois désignée sous le nom de « Contagious Interview ».
  • Les travailleurs IT nord-coréens cherchent eux-mêmes à se faire embaucher sous de fausses identités dans des entreprises étrangères pour générer des revenus au profit de Pyongyang.

Recommandations du CERT-UA

Le CERT-UA appelle les professionnels IT à une vigilance accrue face aux techniques d'ingénierie sociale et recommande aux organisations de :

  • Restreindre l'accès aux ressources d'entreprise aux seuls appareils gérés (managed devices) équipés d'un logiciel de sécurité approprié.
  • Configurer et appliquer des politiques de sécurité pertinentes.
  • Assurer une surveillance continue des systèmes.

L'agence n'a pas précisé le nombre de victimes identifiées ni l'objectif final des attaquants. Le compte Telegram utilisé par le faux recruteur d'ATLAS Business Group était toujours accessible au moment de la rédaction de l'article de The Record, bien que l'offre d'emploi associée ait été supprimée.

Sources :