Sandworm-Spionage: Hackergruppe nutzt gefälschte VPN gegen Admins

Das ukrainische Computer Emergency Response Team (CERT-UA) warnt vor einer neuen, gezielten Cyber-Spionagekampagne, die sich gegen Systemadministratoren in der Ukraine richtet. Hinter den Angriffen wird die staatlich gestützte Hackergruppe Sandworm vermutet, die auch unter der Bezeichnung APT44 bekannt ist. Die Angreifer nutzen dabei eine raffinierte Kombination aus Social Engineering und modifizierter Open-Source-Software, um tiefgreifenden Zugriff auf die Infrastruktur ihrer Ziele zu erhalten.

Infiltration über gefälschte Stellenangebote

Nach Erkenntnissen der Sicherheitsbehörden setzt die Gruppe Sandworm auf eine Strategie, die bereits in der Vergangenheit bei anderen staatlichen Akteuren beobachtet wurde. Im Zentrum der Kampagne stehen gefälschte Jobangebote, die gezielt auf die berufliche Identität von IT-Fachkräften zugeschnitten sind. Über diese Lockangebote werden die potenziellen Opfer dazu verleitet, eine vermeintlich notwendige VPN-Software herunterzuladen und zu installieren.

Diese Software wird unter dem Namen SopraVPN verbreitet. Um den Anschein von Seriosität zu wahren, nutzen die Angreifer für den Vertrieb die bekannte Entwicklerplattform SourceForge. Durch die Platzierung der Schadsoftware auf einer etablierten Plattform versuchen die Akteure, gängige Sicherheitsmechanismen und das Misstrauen der Administratoren zu umgehen.

Technische Details der modifizierten WireGuard-Lösung

Wer sich mit der Abwehr professioneller Infiltrationsversuche befasst, muss die psychologischen Tricks der Angreifer kennen. Dieses kostenlose Anti-Phishing-Paket enthüllt, wie Cyberkriminelle gezielt Schwachstellen ausnutzen und wie Sie Ihr Unternehmen in vier Schritten schützen. Anti-Phishing-Paket für Unternehmen jetzt gratis herunterladen

Bei SopraVPN handelt es sich technisch gesehen um eine modifizierte Version der rechtmäßigen VPN-Software WireGuard. Die Angreifer haben den Quellcode der Anwendung so manipuliert, dass sie für verdeckte Operationen genutzt werden kann. Ein zentrales Element dieser Modifikation ist die Ausnutzung sogenannter PostUp-Hooks innerhalb der WireGuard-Konfiguration.

Diese Hooks ermöglichen es, unmittelbar nach dem Aufbau einer VPN-Verbindung automatisierte Befehle auszuführen. Im Fall von SopraVPN werden diese Befehle mit Root-Rechten ausgeführt, was den Angreifern die vollständige Kontrolle über das betroffene System ermöglicht. CERT-UA wies darauf hin, dass diese Funktionalität gezielt für die verdeckte Ausführung von Befehlen und die anschließende Spionage innerhalb der Netzwerke genutzt wird.

Langfristig angelegte Spionageaktivitäten

Die Untersuchungen der ukrainischen Cybersicherheits-Experten deuten darauf hin, dass diese Kampagne kein kurzfristiges Ereignis ist. Die Aktivitäten konnten bis in den Mai 2026 zurückverfolgt werden, was auf eine über Monate hinweg geplante und durchgeführte Operation schließen lässt. Das primäre Ziel der Gruppe Sandworm ist dabei die Spionage. Durch den Zugriff auf die Rechner von Systemadministratoren erlangen die Angreifer potenziell weitreichende Berechtigungen für das gesamte Unternehmens- oder Behördennetzwerk, in dem die Administratoren tätig sind.

Angesichts immer komplexerer Bedrohungsszenarien und neuer Gesetze stehen IT-Verantwortliche vor der Herausforderung, ihre Infrastruktur kosteneffizient abzusichern. Erfahren Sie in diesem kostenlosen E-Book, wie Sie aktuelle Sicherheitslücken proaktiv schließen und Ihr Unternehmen langfristig schützen. Gratis-E-Book zu Cyber Security Trends sichern

Fachleute betonen, dass die gezielte Ansprache von technischem Personal eine besonders gefährliche Eskalationsstufe darstellt, da Administratoren oft über die höchsten Privilegien in einer IT-Umgebung verfügen. Die Verwendung von modifizierter Standardsoftware wie WireGuard erschwert zudem die Entdeckung, da der Netzwerkverkehr einer VPN-Verbindung zunächst legitim erscheinen kann.

Die Sicherheitsbehörden raten IT-Verantwortlichen zu erhöhter Wachsamkeit bei unaufgeforderten Jobangeboten und der Installation von Software aus nicht verifizierten Quellen, auch wenn diese auf seriös wirkenden Plattformen wie SourceForge gehostet werden. Die Analyse der Kampagne durch CERT-UA verdeutlicht die fortlaufende Bedrohung der ukrainischen IT-Infrastruktur durch hochspezialisierte staatliche Akteure.

de | wissenschaft | 69937862 |