ロシア系サイバー攻撃グループ「UAC-0145」、偽の採用面接を悪用してコマンド実行が可能な改造VPNを配布

要点

• ウクライナのCERT-UAが、ロシア国家支援の攻撃グループ「UAC-0145」によるIT従事者を標的とした新たなサイバー攻撃キャンペーンを公表した。

• 攻撃者は実在する欧州企業の採用担当者を装って求職者に接触し、オンライン面談や技術試験を通じて信頼関係を築いていた。

• 配布したVPN設定ファイルで意図的にエラーを起こさせ、SourceForgeで公開されていた改造版VPNクライアント「SopraVPN」をダウンロードさせていた。

• 導入されたVPNクライアントはオープンソースのWireGuardを改変したもので、設定ファイルから悪意あるコードを復号して任意のコマンドを実行する仕組みだった。

• ウクライナのコンピュータ緊急対応チーム（CERT-UA）は、ロシアの国家支援を受けたとされる脅威グループ「UAC-0145」が、ウクライナ国内のIT従事者を標的にした新たなソーシャルエンジニアリング攻撃を展開していることを明らかにした。このキャンペーンは2026年5月頃から継続して行われているとみられている。

• UAC-0145は、ロシア連邦軍参謀本部情報総局（GRU）との関係が指摘されている高度なサイバー攻撃グループ「Sandworm（別名：APT44、Seashell Blizzard、UAC-0002など）」の傘下組織と位置づけられている。今回の攻撃では、企業の採用選考を偽装してシステム管理者やITスペシャリストに接近し、端末をマルウェアに感染させる手口が確認された。

求人サイトを起点とした精巧な採用プロセスの偽装

CERT-UAの発表によると、攻撃者はまず求人情報サイト上で標的となる求職者の履歴書を確認し、「ATLAS Business Group」などのIT企業を名乗って接触を図る。最初のやり取りは求人サイト内のメッセージ機能で行われるが、その後Telegramなどのメッセージングアプリへと誘導される。

メッセージアプリ上では、実在する欧州の大手コンサルティング・ソフトウェア企業「Sopra Steria」のブルガリア法人（Sopra Steria Bulgaria）の採用プロセスを担当していると称する人事マネージャーが登場する。一般的な業務内容の確認や英語の習熟度に関する面談が行われた後、候補者はZoomを用いた一次ビデオ面談へと招待される。

実際のビデオ面談には30歳から35歳前後の英語を話す男性が登場するが、CERT-UAによれば、この面談相手が本物の人間であるか、あるいはAIによって生成された合成アバターであるかは現時点で特定されていないという。

エラーを仕組んだ設定ファイルと「SopraVPN」への誘導

一次面談の完了後、候補者には技術試験に関する追加の指示が電子メールで届く。メールには、試験用の社内ネットワークへ接続するためのオープンソースVPNプロトコル「WireGuard」の設定ファイルと、試験の様子を監視するための2回目のZoomミーティングリンクが含まれている。

被害者が送られてきた設定ファイルを使って社内VPNへの接続を試みると、必ずエラーメッセージが表示されて接続に失敗するように仕組まれている。接続できない旨を伝えると、攻撃者はSopra Steria Bulgariaの正規サイトを模倣した偽のドメイン（soprasteria-bg[.]com）を案内し、オープンソース開発プラットフォーム「SourceForge」上にホストされている独自VPNクライアント「SopraVPN」をダウンロードするよう促す。

実際にSourceForge上には「soprabulgariavpn」や「sopravpn」といったプロジェクトが設置されていた。さらに、「ライセンス料を抑えてセキュアなリモートアクセスを実現するオープンソースVPN」と称する別のプロジェクト「soprasteriavpn」の存在も検索キャッシュから確認されたが、現在はいずれのプロジェクトもダウンロードできない状態になっている。

WireGuardのソースコードを改変したコマンド実行の仕組み

被害者がダウンロードさせられるVPNクライアントは、WireGuardの正規のソースコードをベースに攻撃者が改変を加えてコンパイルした悪意あるソフトウェアだった。

CERT-UAの解析によると、このクライアントの設定処理には、非標準の独自オプション「SymmetricKey」が追加されていた。このオプションの値には、暗号化アルゴリズム「AES-256-GCM」で使用される暗号文、ノンス（暗号化で使い捨てされるランダムな値）、認証タグがBase64形式で埋め込まれている。

VPNクライアントは、設定ファイル内の「PrivateKey」をデコードして得られる32バイトの値を復号キーとして使用し、埋め込まれたPowerShellコードを復号する。復号されたスクリプトは、WireGuardがVPN接続確立時などにコマンドを実行するために備えている正規の機能「runScriptCommand」に渡され、実行される仕組みとなっていた。これにより、攻撃者は被害者に気づかれることなく、端末上で任意のコマンドを実行することが可能になる。

プラットフォーム別の挙動とCERT-UAによる推奨対策

このマルウェアはWindows環境とLinux環境の双方に対応した処理を備えている。Windows版のクライアントでは、PowerShellを用いてタスクスケジューラにスケジュールされたタスクを登録し、外部のサーバーから第2段階のペイロード（悪意ある実行ファイル）をダウンロードする。一方のLinux版では、VPN経由でcURLコマンドを実行し、攻撃者のインフラから実行ファイルをダウンロードする設計になっていた。なお、次段階でダウンロードされるペイロードの具体的な詳細については明らかにされていない。

CERT-UAはIT従事者に対し、求人や面接を装ったソーシャルエンジニアリングの手口に十分警戒するよう強く呼びかけている。また企業や組織に対しては、適切なセキュリティ対策ソフトが導入され、セキュリティポリシーが適用された管理対象デバイスからのみ社内リソースへのアクセスを許可すること、および継続的な監視体制を維持することを推奨している。

なお、UAC-0145は今回の発表の1か月前にも、偽のCAPTCHA認証画面を使ってユーザーに悪意あるコードを実行させる「ClickFix」と呼ばれる手口を用い、ウクライナ国内の端末から情報を窃取するマルウェアを拡散させていたことが報告されている。