Una campaña de ingeniería social sofisticada dirigida a los administradores de sistemas
El grupo de amenazas persistentes avanzadas (APT) conocido como Sandworm (también identificado como APT44), vinculado a la inteligencia militar rusa, ha desplegado una nueva y astuta táctica para infiltrarse en organizaciones tecnológicas: ofertas de empleo falsas. Según informes recientes del Equipo de Respuesta a Emergencias Informáticas de Ucrania (CERT-UA), esta campaña está diseñada específicamente para engañar a profesionales de TI y administradores de sistemas.
El ‘Modus Operandi’: De LinkedIn a una entrevista técnica fatal
A diferencia de los ataques de phishing masivos, Sandworm utiliza un enfoque de ingeniería social dirigida. El proceso suele seguir estos pasos:
- Contacto inicial: Los atacantes estudian perfiles en sitios de empleo y contactan a los candidatos fingiendo ser reclutadores de empresas internacionales de renombre.
- Entrevista por video: La comunicación se traslada a Telegram y se organiza una entrevista técnica a través de Zoom, realizada íntegramente en inglés para aportar credibilidad.
- La trampa técnica: Durante la supuesta prueba técnica, se pide al candidato que se conecte a una VPN corporativa para realizar tareas en un entorno de prueba.
El Caballo de Troya: SopraVPN y WireGuard modificado
Para facilitar la conexión, los atacantes instan a las víctimas a descargar un cliente VPN basado en el protocolo de código abierto WireGuard, denominado maliciosamente como «SopraVPN». Este software, alojado en plataformas legítimas como SourceForge para evadir sospechas, es en realidad un troyano.
Desde una perspectiva técnica, el cliente ha sido modificado para incluir una opción de configuración no estándar llamada «SymmetricKey». Esta función permite al software descifrar y ejecutar código PowerShell en sistemas Windows o comandos cURL en entornos Linux. Además, los atacantes reemplazaron el alfabeto estándar de codificación Base64 por uno personalizado, lo que dificulta enormemente que las herramientas de seguridad tradicionales detecten el tráfico malicioso.
Implicaciones para la seguridad empresarial
Este ataque es particularmente peligroso porque no busca al empleado promedio, sino a aquellos que poseen las «llaves del reino»: los administradores de sistemas. Una vez que el dispositivo de un técnico de IT es comprometido, los atacantes pueden:
- Escalar privilegios dentro de la red corporativa.
- Desplegar malware adicional o ransomware.
- Exfiltrar datos críticos de la infraestructura de la empresa.
Recomendaciones de Intedya para proteger su organización
Ante la sofisticación de grupos como Sandworm, la confianza no puede ser la base de la seguridad. Desde Intedya, recomendamos a las organizaciones y profesionales IT las siguientes medidas preventivas:
- Uso de dispositivos gestionados: Restringir el acceso a recursos corporativos únicamente a dispositivos que cuenten con soluciones EDR (Endpoint Detection and Response) activas y monitorizadas.
- Verificación de identidad: Desconfiar de procesos de selección que soliciten la instalación de software específico desde enlaces externos antes de verificar formalmente la legitimidad de la empresa contratante.
- Implementación de Zero Trust: Adoptar un modelo de «Nunca confiar, siempre verificar», donde incluso las conexiones VPN sean sometidas a estrictos controles de identidad y postura del dispositivo.
- Formación continua: Mantener a los equipos técnicos informados sobre las últimas tácticas de grupos APT, ya que ellos mismos son objetivos de alto valor.
La ciberseguridad no es solo una barrera tecnológica, sino una cultura de vigilancia constante frente a amenazas que evolucionan cada día.
Fuentes
- Bleeping Computer — Sandworm hackers target IT pros with trojanized WireGuard VPN client
https://www.bleepingcomputer.com/news/security/sandworm-hackers-target-it-pros-with-trojanized-wireguard-vpn-client/