Malware fra falske rekrutteringskonsulenter

Falske rekrutteringsbureauer jagter CV'er – og dine legitimationsoplysninger. Der er dukket rapporter op om, at malware bruges i jobopgaver, der angiveligt tester en kandidats tekniske færdigheder.

Rekrutteringsbureauer kæmper konstant med at finde matchende stillinger til deres jobåbninger, hvad enten det er gennem klassiske online jobopslag eller via direkte beskeder på platforme som LinkedIn.

Vi har opdagede for nylig en rapport fra flere brugere på Reddit hvem siger til de er blevet kontaktet af en rekrutterer og har fået til opgave at udarbejde en arbejdsprøve. Denne praksis er ikke ualmindelig, selvom det tidligere er blevet påstået, at nogle virksomheder bruger denne taktik til at udnytte ansøgere og få produktionsarbejde udført gratis. Men generelt vil virksomheder gerne se, at du er i stand til at gøre, hvad dit CV siger. Denne case var dog interessant. I betragtning af at du læser dette indlæg på bloggen tilhørende en virksomheder, der bekæmper skadelige kode kan du sikkert gætte, hvor det fører hen. Men lad os ikke gå for langt.

Lyssky arkiv, mærkelige advarsler

Reddit-brugeren huggesh_nair rapporterede at han fik adgang til et privat arkiv Github, hvor de skulle downloade programdata til opgaven. Installationen mislykkedes, og derefter bad systemet om tilladelse til at installere en Python-pakke (Python er et scriptsprog, der almindeligvis bruges af udviklere til at automatisere og lette bestemte opgaver). Uden at kunne huske nogen grund til, hvorfor dette ville ske, blev brugeren forsigtig og henvendte sig til Reddit for at få råd. De fik at vide, at dette virkede ekstremt mistænkeligt, og at den bedste fremgangsmåde sandsynligvis var at gendanne systemet. Dette var ikke et dårligt råd, for det viste sig, at denne opgave kom med et lille ekstra.

Især er der nogle stærkt forvrængede scripts blandt de downloadede oplysningerne fra arkivet. Det viser sig, at disse stjæler data fra en række forskellige browsere. Det er sessionstokens, gemte adgangskoder og kryptowallets, som disse ondsindede scripts er ude efter.

En velkendt taktik

Denne taktik lyder bekendt – det er ret almindeligt at stjæle denne type data, og vi har set tilfælde med direkte beskeder på sociale medieplatforme før. Og denne type angreb koster ofrene ikke kun deres konti, men potentielt også mange penge. I tilfælde af disse falske jobannoncer/arbejdsprøver eller "tekniske tests", som de nogle gange kaldes, forventes det, at jobsøgende (vi bruger anførselstegn her, fordi de teknisk set ikke aktivt søgte et job, men blev kontaktet af en formodet "rekrutterer") indsender et CV. Igen, almindelig praksis for enhver ansættelsesproces, og derfor ikke umiddelbart mistænkeligt. Men i dette tilfælde sendes et legitimt CV, hvor vi kan antage, at oplysningerne er nøjagtige, fuldstændige og opdaterede, til en kriminel organisation. Du kan bruge din egen fantasi til at tænke over, hvad kriminelle kan gøre med sådanne oplysninger. Et scenarie, der kommer til at tænke på, er at oprette falske jobansøgninger til stillinger, der involverer fjernarbejde. Dette er noget, der også er sket før – Nordkoreanske aktører er kendt for at have succesfuldt infiltreret virksomheder og foregive at være rigtige ansøgere, der udfører rigtigt arbejde. Og selvom nogle falske ansøgninger er lette at få øje på, bruges AI-teknologi aktivt til at skabe meget overbevisende forfalskninger, der endda holder mål under et videoopkald.

Hvem gjorde det?

Nordkoreansk gruppe Lazarus står bag dette. Det ville give mening, da denne gruppe er kendt for at stjæle data fra computere og tømme bankkonti og krypto-tegnebøger for at – der er en teori om, at det er for at fylde det nordkoreanske regimes kasser. Chainalysis har estimeret at Nordkorea har konfiskeret over 1 milliard USB-drev alene fra kryptovalutatyveri.

Sådan beskytter du dig mod kriminelle, der udgiver sig for at være rekrutterere

Så hvis du i øjeblikket er åben for et nyt job og bliver kontaktet af en person, der hævder at søge en person med dine kvalifikationer, er der et par ting, du skal være opmærksom på:

1. Sørg for, at der er en anden måde at kontakte dem på, enten via post eller telefon.
   Ingen legitim rekrutterer bør nægte dig at kontakte dem via en anden kanal.
2. Når du får til opgave at give en arbejdsprøve eller tage en "teknisk test", skal du være opmærksom på kilden til de oplysninger, du får.
3. Et Github-repo med et noget tilfældigt brugernavn, der på ingen måde er forbundet med den virksomhed, du sandsynligvis arbejder for, er et stort rødt flag.
4. Tjek hjemmesiden for den virksomhed, som den person, der kontakter dig, hævder at arbejde for. Hvis du ikke finder et jobopslag der, der matcher din kompetenceprofil (eller slet ingen ledige stillinger), kan det være en god idé at være lidt forsigtig.
5. Vær forsigtig med e-maildomæner. Hvis du får en e-mailadresse, skal du sørge for, at den matcher virksomhedens hjemmeside. Vær særlig opmærksom på ting som tegnudskiftninger, såsom l og I (lille "L" som i Lima sammenlignet med store "I", som i Indien).