收到陌生”招聘方”的面试邀请，对方让您先装个公司 VPN 才能做技术测试，您会装吗？乌克兰计算机应急响应小组（CERT-UA）最近就在警告这样一类骗局：与俄罗斯 Sandworm 组织有关的黑客，冒充招聘人员接触 IT 从业者，最终目标是让对方装上一个伪造的 VPN 客户端 SopraVPN。先说结论：面试环节要求安装来路不明的软件，本身就是危险信号。
骗局是怎么运作的
据 CERT-UA 披露，这个攻击集群编号为 UAC-0145，被认为是 Sandworm（也叫 APT44、Seashell Blizzard）的一个分支，CERT-UA 将 Sandworm 与俄罗斯军事情报机构联系在一起。该行动据称自 2026 年 5 月起持续进行。
攻击者不群发钓鱼邮件，而是在求职网站上先看简历，再直接联系系统管理员等技术人员。有的还假冒真实的 IT 公司，例如一家名为 ATLAS Business Group 的企业。聊天起初在求职网站内进行，很快转到 Telegram，由”HR”询问岗位、工作时间和英语水平；有时还会有真人参加 Zoom 面试，英语流利，让人更容易放下戒心。
建立信任后，对方会让候选人完成一个”技术任务”：连接看起来像公司内网的 VPN，并发来 WireGuard 配置文件。
为什么容易中招
这个连接从一开始就被设计成会失败。报错之后，”招聘方”马上给出解决办法：下载一个叫 SopraVPN 的程序，链接指向知名软件托管站 SourceForge。因为 SourceForge 本身可信，不少安全工具不会把这次下载标为风险。
攻击者还做了一个仿冒网站，样式模仿保加利亚的 Sopra Steria（一家真实的欧洲科技公司）。CERT-UA 说明，该 VPN 客户端基于开源的 WireGuard 代码修改而来，并在里面藏了恶意功能。
| 环节 | 技术细节（据 CERT-UA） |
|---|---|
| 可疑配置项 | 多出一个正常 WireGuard 没有的 “SymmetricKey” 设置 |
| 隐藏方式 | 命令经 AES-256-GCM 加密，并用改造过的 Base64 编码，躲避安全扫描 |
| Windows | 可创建计划任务，悄悄下载更多恶意文件 |
| Linux | 通过 curl 拉取并运行第二阶段恶意文件 |
简单讲，一个看着像普通 VPN 的程序，实际是后续攻击的入口。
怎么防
- 面试时被要求安装来路不明的软件或配置文件，先停下，通过官网等独立渠道核实公司和招聘人员身份，而不是只信对方给的联系方式。
- 企业应限制个人或未受管设备接入公司系统，并留意异常的计划任务、命令行活动和 PowerShell 使用。
- 如果怀疑已装了 SopraVPN：立刻断开该设备的网络，作废可能泄露的登录凭据，再仔细检查设备上是否残留额外的恶意文件或后门。
想了解站内此前相关的报道，可以看看这两篇：站内关于 SopraVPN 的早前报道、相关的 Sandworm 与 VPN 攻击报道。
常见问题（FAQ）
SourceForge 上的软件就一定安全吗？不一定。平台可信不等于上面每个文件可信，这次的假 VPN 正是利用了这一点。
WireGuard 本身有问题吗？没有。按 CERT-UA 的说法，问题出在攻击者改过的客户端，不是原版 WireGuard。
普通用户需要担心吗？这次的目标主要是 IT 从业者，但”借求职骗您装软件”的手法对谁都适用，下载任何 VPN 客户端都应认准官方渠道。
来源：CERT-UA 公告及相关媒体报道，信息查询于 2026 年 11 月 9 日。归因结论来自 CERT-UA，本文不构成法律或安全审计意见。