O ofertă de job pe LinkedIn poate ascunde un atac: hackerii trimit teste false programatorilor

Cauți un loc de muncă în IT și primești pe LinkedIn un mesaj de la un recrutor care spune că are exact poziția potrivită pentru tine. Discuția pare normală, compania există, iar următorul pas este un test tehnic pe care trebuie să-l rezolvi acasă. Într-o campanie descoperită recent, însă, tocmai acest test este arma folosită de atacatori pentru a intra în calculatorul candidatului.

Cercetătorii Kaspersky au identificat o operațiune atribuită grupării Mirage Kitten, în care recrutarea este folosită ca punct de plecare pentru un atac de spionaj cibernetic. Țintele sunt în special ingineri software din domeniile aviației și fintech, iar atacatorii nu se bazează pe mesaje evident suspecte. Din contră, construiesc un proces de angajare suficient de credibil încât victima să descarce și să ruleze singură programul malițios.

Totul începe cu un recrutor care nu există

Mirage Kitten își caută victimele pe LinkedIn și se prezintă drept reprezentanți ai unor companii de tehnologie. După primul contact urmează o ofertă de angajare și, aparent firesc pentru un programator, o probă tehnică. Candidatul primește un proiect pe care trebuie să-l descarce și să-l ruleze pentru a demonstra că are cunoștințele necesare pentru postul respectiv.

Unul dintre detaliile care fac schema mai convingătoare este locul de unde este descărcat proiectul. Fișierele au fost găzduite pe infrastructură cloud legitimă Amazon, astfel că simplul fapt că linkul duce către un serviciu cunoscut nu este suficient pentru a demonstra că fișierul este sigur. În plus, victima primește un termen foarte scurt, de una până la trei ore, ceea ce reduce timpul pe care îl mai are la dispoziție pentru verificări.

Atacatorii au introdus chiar și o regulă care, la prima vedere, pare legată de evaluarea candidatului: acesta nu trebuie să folosească asistenți AI pentru rezolvarea exercițiului. În realitate, restricția poate împiedica tocmai verificarea codului suspect ascuns în proiect.

Odată ce testul este pornit, candidatul își vede de treabă, în timp ce componentele malițioase pot începe să ruleze în fundal. Aici este diferența importantă față de o tentativă clasică de phishing: victima nu este neapărat păcălită să introducă o parolă pe un site fals. Este convinsă să instaleze și să execute software pentru că asta face parte dintr-un presupus proces de recrutare.

NodeRabbit și PollCat transformă testul tehnic într-un instrument de spionaj

Kaspersky a identificat două familii de malware folosite în această campanie, numite NodeRabbit și PollCat. Ambele sunt troieni de acces de la distanță, dar atacatorii au schimbat și modul în care își construiesc instrumentele. În loc să se limiteze la programe compilate pentru Windows, Mirage Kitten folosește acum Node.js și JavaScript, ceea ce permite acoperirea Windows, macOS și Linux.

Vezi și:

Hackerii pot intra în frigiderul, alarma sau camerele tale. Cum devin dispozitivele inteligente poarta de acces în casă

Hackerii au furat datele a peste 3 milioane de persoane din sistemele Pentagonului

NodeRabbit este ascuns în componente software care pot părea perfect normale într-un proiect de programare. Odată activat, oferă atacatorilor un control extins asupra sistemului. Mai mult, mecanismele de persistență au fost adaptate special pentru mediul în care lucrează dezvoltatorii. Cercetătorii au observat inclusiv folosirea unor extensii false pentru Visual Studio Code și modificarea unor fișiere din proiectele locale, astfel încât amenințarea să poată reveni în funcțiune în anumite situații.

PollCat urmărește o altă cale. În scenariul analizat de Kaspersky, candidatul primește o parolă de unică folosință de la presupusul recrutor pentru a putea deschide testul. După introducerea codului, malware-ul începe să colecteze informații despre sistem și să verifice fișierele și directoarele disponibile, după care trimite datele către infrastructura controlată de atacatori.

Alegerea programatorilor nu este întâmplătoare. Un dezvoltator poate avea acces la codul sursă al companiei, proiecte interne, instrumente de dezvoltare și alte resurse care ar fi extrem de valoroase pentru o operațiune de spionaj. În plus, instalarea unor pachete și rularea unor proiecte primite din exterior fac parte din activitatea obișnuită a multor ingineri software, astfel că atacul poate trece mai ușor neobservat.

De ce trebuie să fii atent chiar dacă oferta pare reală

Campania este un exemplu bun despre cât de mult s-a schimbat phishingul. Nu mai este obligatoriu să primești un e-mail plin de greșeli și să fii trimis către un site evident fals. Atacatorii pot construi o situație completă în jurul victimei, pornind de la o conversație pe LinkedIn și ajungând la un test tehnic care seamănă cu cele folosite în mod obișnuit la angajare.

Kaspersky spune că primele ținte identificate în această operațiune au fost organizații din Egipt, Etiopia și Afganistan, în special din aviație și fintech. Indicatori asociați campaniei au apărut însă și în Germania, Turcia, Israel, India și Irlanda.

Pentru cine își caută un job, cea mai importantă regulă este să nu confunde un proces de recrutare bine construit cu unul verificat. Dacă un recrutor te contactează din senin, verifică existența lui și a poziției prin canalele oficiale ale companiei înainte să descarci un proiect. Un link găzduit pe Amazon sau pe o altă platformă cunoscută nu garantează că fișierul din spatele lui este legitim.

La fel de important este să fii atent când ți se cere să rulezi cod primit de la o persoană pe care nu o cunoști. Pentru un test tehnic, un mediu izolat poate fi mult mai sigur decât calculatorul pe care ai proiectele de serviciu, parolele și accesul la infrastructura companiei. Iar o regulă de tipul „ai trei ore la dispoziție și nu ai voie să verifici codul cu instrumente externe” ar trebui să ridice mai degrabă semne de întrebare decât să te grăbească.

EXPERIENȚĂ Sony ULT TOWER 5 versus Sony ULT TOWER 7 – ce înseamnă o boxă de petrecere portabilă în 2026 și care este cea mai potrivită pentru amatorul de bass din tine