乌克兰计算机应急响应小组（CERT-UA）在 2026 年 8 月 8 日披露了一起针对 IT 从业者的社会工程攻击。攻击者冒充招聘方，借“技术面试”之名，诱使受害者安装一个名为 SopraVPN 的恶意 VPN 客户端。该客户端由 WireGuard 源码改编而成，可在受害者电脑上悄悄执行攻击者指定的命令。
幕后是谁
CERT-UA 将这一活动归于威胁组织 UAC-0145，并评估它是 Sandworm（又称 APT44、Seashell Blizzard、UAC-0002）的一个子集群，Sandworm 与俄罗斯军事情报机构 GRU 有关。据报道，该活动至少从 2026 年 5 月开始持续进行，目标主要是乌克兰的系统管理员和 IT 专家。
攻击流程：一步步建立信任
- 锁定目标：攻击者在求职网站上查看候选人的简历，然后以某家 IT 公司（例如 ATLAS Business Group）的名义主动联系。
- 转移平台：聊天很快转到 Telegram，并安排英语的 Zoom 视频面试。CERT-UA 表示无法判断面试官是真人还是 AI 生成的虚拟形象。
- 冒用名义：在一个案例中，攻击者冒充国际 IT 公司 Sopra Steria，使用与其保加利亚办公室相似的邮箱地址。
- 布置“测试任务”：通过邮件发送连接“公司 VPN”的 WireGuard 配置文件。
- 制造故障：配置文件被设计成必然报错，随后“招聘方”提供解决办法，让受害者从 SourceForge 下载名为 SopraVPN 的客户端。
SopraVPN 为什么危险
CERT-UA 指出，这个客户端是在 WireGuard 源码基础上经过多处修改编译而成，因此大部分行为与正常 WireGuard 一致，不易察觉。修改包括：用自定义、动态生成的 Base64 字母表替换标准解码，使关键字符串无法被常规工具读取，并借此保护其中的 PowerShell 代码不被分析。最终效果是，攻击者可以在受害者主机上执行任意命令。据现有公开信息，CERT-UA 尚未公开后续阶段所投放的具体载荷。
如何防范
- 面试环节中要求你安装不明软件或导入来源不明的配置文件，应当立即提高警惕；正规招聘很少在早期阶段就要求安装陌生程序。
- 通过招聘方官网等独立渠道核实对方身份，而不是只相信对方给出的联系方式。
- 企业应限制个人或未受管设备访问公司系统，并监控异常的计划任务、命令行和 PowerShell 活动。
- 如果怀疑已经安装 SopraVPN，应立即断开该设备的网络连接，更换可能暴露的 VPN 及其他账号凭据，并全面检查设备中是否有残留的恶意文件或后门。
VPN 设备本身也是常见的攻击入口，另一个案例见：日本数字厅披露 VPN 漏洞致政府共用系统被入侵。