Entrevista Falsa: VPN Maliciosa Executa Comandos no Seu PC

Imagine receber uma proposta de emprego dos sonhos. A entrevista parece legítima, o recrutador é simpático, e tudo o que você precisa fazer é baixar uma VPN para acessar a rede corporativa. Mas, em vez de um novo salário, você ganha um malware que executa comandos no seu PC. Essa é a realidade de uma campanha recente atribuída ao grupo russo Sandworm, que mira profissionais de TI com entrevistas falsas. Neste artigo, você vai entender como essa ameaça funciona e, mais importante, o que fazer para se proteger agora.

O Ataque: Entrevista de Emprego que Instala VPN Maliciosa

O CERT-UA (Computer Emergency Response Team of Ukraine) divulgou detalhes de uma campanha de engenharia social sofisticada, em andamento desde maio de 2026. O grupo, rastreado como UAC-0145, é um subgrupo do Sandworm (também conhecido como APT44), uma das gangues cibernéticas mais perigosas ligadas à inteligência militar russa. O alvo? Profissionais de TI e administradores de sistemas na Ucrânia, mas a tática pode ser replicada em qualquer lugar.

O golpe começa em sites de busca de emprego. Os atacantes revisam currículos e entram em contato com as vítimas, fingindo ser recrutadores de empresas legítimas, como a ATLAS Business Group. A conversa migra para o Telegram, onde um suposto gerente de RH conduz uma triagem inicial, incluindo perguntas sobre proficiência em inglês. Em seguida, a vítima é convidada para uma videoconferência no Zoom.

Durante a chamada, um homem de 30 a 35 anos aparece. Pode ser uma pessoa real ou uma persona sintética gerada por inteligência artificial. Após a entrevista, a vítima recebe um e-mail com instruções para uma entrevista técnica, incluindo arquivos de configuração para conectar-se a uma VPN corporativa usando WireGuard. Mas há um problema: ao tentar conectar, a vítima encontra erros.

É aí que os atacantes recomendam baixar uma VPN personalizada chamada SopraVPN, hospedada no SourceForge. O link leva a um site falso que imita o da empresa legítima Sopra Steria Bulgaria. A URL maliciosa é soprasteria-bg[.]com, e os projetos no SourceForge incluem nomes como soprabulgariavpn e sopravpn. Nenhum deles está mais disponível para download, mas o estrago já foi feito.

Como a VPN Maliciosa Funciona Tecnicamente

A VPN maliciosa foi compilada a partir do código-fonte do WireGuard, mas com modificações cruciais. Os atacantes adicionaram suporte para uma opção não padrão chamada SymmetricKey. O valor dessa chave contém dados codificados em BASE64 para o algoritmo AES-256-GCM: um nonce, texto cifrado e uma tag de autenticação.

A chave AES de 32 bytes é derivada da PrivateKey do WireGuard. O código PowerShell descriptografado é então passado para o mecanismo runScriptCommand, que o WireGuard usa para executar comandos especificados pela opção PostUp. Em outras palavras, o cliente VPN modificado permite que os atacantes executem comandos arbitrários no computador da vítima sem o seu conhecimento.

No Windows, o cliente VPN usa um comando PowerShell para criar uma tarefa agendada que baixa um payload secundário de uma URL remota. No Linux, a variante usa cURL para baixar o executável dos servidores dos atacantes através da VPN. A natureza exata do payload secundário ainda é desconhecida, mas o objetivo é claro: controle total do sistema.

Por que Profissionais de TI São Alvos Atraentes

Profissionais de TI são alvos valiosos porque têm acesso privilegiado a sistemas corporativos, redes e dados sensíveis. Um administrador de sistemas comprometido pode abrir as portas para ataques de ransomware, roubo de propriedade intelectual e espionagem em larga escala. Além disso, a promessa de uma oportunidade de emprego legítima reduz a desconfiança natural.

O Sandworm não é novato nesse jogo. O grupo é conhecido por ataques devastadores, como o BlackEnergy e o NotPetya, que causaram bilhões em prejuízos. A nova campanha mostra que eles estão evoluindo suas táticas, combinando engenharia social com malware personalizado.

O Perigo Oculto das Redes Wi-Fi Públicas

Enquanto a campanha do Sandworm usa uma VPN falsa para infectar dispositivos, há outro cenário cotidiano que expõe seus dados: redes Wi-Fi públicas. Cafeterias, aeroportos e hotéis oferecem conveniência, mas também são terreno fértil para ataques. Em uma rede aberta, qualquer pessoa com ferramentas básicas pode interceptar seu tráfego, capturar senhas e até injetar malware.

Os riscos incluem:

• Ataques Man-in-the-Middle (MitM): o atacante se posiciona entre você e o site que está acessando, podendo ler e modificar os dados em trânsito.
• Rogue Access Points: pontos de acesso falsos com nomes parecidos (ex: “Wi-FiCaféGratis”) que, uma vez conectados, dão ao atacante controle total sobre sua conexão.
• Sniffing de pacotes: ferramentas como Wireshark permitem capturar dados não criptografados, como senhas em sites HTTP.
• Malware injection: em redes comprometidas, o atacante pode redirecionar downloads ou explorar vulnerabilidades para instalar malware no seu dispositivo.

Para se proteger em Wi-Fi público:

• Use uma VPN legítima e confiável, mas cuidado: a campanha do Sandworm mostra que até VPNs podem ser armadilhas. Baixe apenas de fontes oficiais e verifique a reputação.
• Evite acessar contas sensíveis (bancos, e-mails corporativos) em redes abertas. Se precisar, use a rede móvel do celular (4G/5G) como hotspot.
• Verifique o nome da rede com um funcionário do estabelecimento antes de conectar. Desconfie de redes com nomes genéricos ou com erros de grafia.
• Mantenha o firewall ativado e o sistema operacional atualizado. Use HTTPS Everywhere para forçar conexões criptografadas.

Como se Proteger de Campanhas de Phishing e Malware

A campanha do Sandworm é um lembrete de que engenharia social é a porta de entrada preferida dos atacantes. Aqui estão medidas práticas para reduzir o risco:

• Desconfie de ofertas de emprego não solicitadas, especialmente se vierem de recrutadores que você não conhece. Pesquise a empresa e o recrutador em fontes independentes.
• Nunca baixe software de links enviados por e-mail ou chat, mesmo que pareçam legítimos. Acesse o site oficial da empresa digitando a URL manualmente.
• Verifique a URL cuidadosamente. No caso da campanha, o domínio falso era soprasteria-bg[.]com, enquanto o legítimo é soprasteria.com (ou variações regionais). Pequenas diferenças são um sinal de alerta.
• Use autenticação de dois fatores (2FA) em todas as contas importantes. Mesmo se sua senha for comprometida, a segunda camada pode impedir o acesso.
• Monitore seus dados. Se suas informações vazaram, os atacantes podem usá-las para personalizar ataques. A Kzarka oferece monitoramento contínuo de vazamentos e alertas em tempo real.

O Papel da Kzarka na Proteção da Sua Identidade Digital

Em um cenário onde ataques sofisticados se tornam cada vez mais comuns, a prevenção é sua melhor defesa. A Kzarka é uma plataforma de monitoramento de vazamentos de dados e proteção contra roubo de identidade digital. Com ela, você pode:

• Verificar se seus dados pessoais (e-mail, senhas, CPF, etc.) foram expostos em vazamentos conhecidos.
• Receber alertas em tempo real se suas informações aparecerem em novos vazamentos ou na dark web.
• Monitorar sua identidade digital de forma proativa, reduzindo o risco de fraudes e ataques direcionados.

Não espere se tornar a próxima vítima. Acesse a Kzarka agora e descubra se seus dados já estão comprometidos. A verificação é rápida e pode ser o primeiro passo para blindar sua vida digital.

Comparativo: VPN Legítima vs. VPN Maliciosa

Conclusão: Aja Antes que Seja Tarde

A campanha do Sandworm com entrevistas de emprego falsas é um alerta vermelho. Os atacantes estão usando táticas cada vez mais convincentes para enganar até profissionais experientes. A instalação de uma VPN maliciosa pode resultar em perda total de controle sobre seus dispositivos e dados. E, como vimos, redes Wi-Fi públicas ampliam ainda mais sua exposição.

O que fazer agora:

1. Revise seus hábitos de segurança: desconfie de ofertas não solicitadas, verifique URLs e use 2FA.
2. Proteja suas conexões: evite Wi-Fi público para dados sensíveis e use apenas VPNs de fontes confiáveis.
3. Monitore seus dados: use a Kzarka para saber se suas informações já vazaram e receba alertas em tempo real.

Não seja a próxima vítima. Visite a Kzarka hoje mesmo e assuma o controle da sua segurança digital. Seus dados são valiosos demais para ficarem desprotegidos.

Fonte: The Hacker News – Sandworm-Linked UAC-0145 Uses Fake Job Interviews to Push VPN That Can Run Commands