Fraudă prin interviul de angajare. Hackerii se dau mai nou recrutori și trimit teste care fură date

O ofertă de angajare primită pe LinkedIn poate ascunde mai mult decât o oportunitate profesională. O grupare de hackeri a început să contacteze ingineri software din domeniul aviației și al tehnologiei financiare, prezentându-se drept recrutori ai unor companii mari.

CITEȘTE ȘI Dacă mori prea devreme, statul ia o parte din banii de pensie GRAFIC

Candidații sunt invitați să rezolve un test de programare, dar fișierul pe care îl descarcă ascunde un program care le poate oferi atacatorilor acces la calculator, arată Adevărul.

Hackerii își construiesc profiluri care par să aparțină unor specialiști în recrutare și contactează ingineri software care lucrează în special în aviație și tehnologie financiară, arată un raport al unor specialiști în securitate cibernetică. Mesajul este unul familiar: există o oportunitate de angajare, iar candidatul este invitat să treacă printr-o evaluare tehnică. La prima vedere, nimic nu pare neobișnuit.

Candidatul primește apoi un link pentru a descărca un test de programare.

Fișierul este găzduit pe un serviciu legitim de stocare online al Amazon, ceea ce poate contribui la impresia că este vorba despre un material trimis în cadrul unui proces normal de recrutare.

Apoi apare un element menit să grăbească lucrurile: candidatul are la dispoziție între una și trei ore pentru a finaliza testul.

Presiunea timpului face parte din înșelătorie

Graba nu este întâmplătoare. Candidatul este avertizat și să nu folosească asistenți de programare bazați pe inteligență artificială.

Într-un proces real de recrutare, o astfel de cerință poate părea perfect plauzibilă. În acest caz însă, are un rol suplimentar: împiedică victima să folosească un instrument care ar putea identifica elementele suspecte ascunse în fișierele testului.

CITEȘTE ȘI Concedieri la cel mai mare producător auto britanic. Jaguar Land Rover, decizie pe fondul scăderii vânzărilor

Astfel, persoana care primește testul este pusă într-o situație foarte simplă: are puțin timp la dispoziție și trebuie să se concentreze asupra exercițiului.

Descarcă fișierul, îl deschide și începe să lucreze.

În acel moment începe, de fapt, atacul.

CITEȘTE ȘI 800 butoaie bere furate după cel mai mare jaf de bere din istorie

În timp ce candidatul rezolvă exercițiile, programul ascuns poate începe să funcționeze pe calculator fără ca acesta să-și dea seama.

„Testul de programare” deschide ușa către calculator

Gruparea din spatele atacurilor, Mirage Kitten, și-a schimbat în același timp și instrumentele folosite pentru a infecta calculatoarele.

Cercetătorii au identificat două programe noi, numite NodeRabbit și PollCat. Ambele pot permite accesul de la distanță la calculatorul victimei.

În termeni simpli, atacatorii pot ajunge să controleze anumite funcții ale sistemului, să caute informații și să transmită date către exterior.

NodeRabbit este ascuns în pachete de software care pot părea normale pentru un programator. După instalare, încearcă să rămână pe calculator și după ce victima închide sau repornește sistemul.

Pentru asta, atacatorii folosesc inclusiv instrumentele pe care dezvoltatorii le utilizează în mod obișnuit pentru a scrie cod.

De exemplu, pot instala extensii false în Visual Studio Code, unul dintre cele mai populare programe folosite de programatori. În alte situații, pot modifica fișierele locale ale proiectelor la care lucrează dezvoltatorul, astfel încât programul malițios să pornească din nou atunci când acesta își salvează sau actualizează codul.

CITEȘTE ȘI Nou serviciu în Gmail. Google lansează o funcție de comunicare vocală cu AI-ul pentru Gmail

Cu alte cuvinte, atacatorii încearcă să ascundă programul printre activitățile obișnuite ale victimei.

O parolă trimisă de „recrutor” declanșează atacul

PollCat folosește o altă metodă. Candidatul primește o parolă de unică folosință de la presupusul recrutor și este rugat să o introducă pentru a putea deschide testul.

Și aici totul pare să facă parte din procesul de recrutare.

În realitate, după introducerea parolei, programul începe să caute informații despre calculator și fișierele de pe acesta. Verifică directoare și transmite date către atacatori.

Este o abordare care exploatează un comportament foarte obișnuit: atunci când cineva participă la un proces de angajare, este tentat să urmeze instrucțiunile primite pentru a nu pierde oportunitatea.

De ce sunt vizați programatorii

Alegerea victimelor este legată și de tipul de acces pe care îl au dezvoltatorii în cadrul companiilor.

Un inginer software poate avea acces la proiecte, cod, instrumente interne și alte resurse importante pentru organizația în care lucrează.

În plus, instalarea unor programe și pachete noi face parte din activitatea lor obișnuită. Un test de programare pare, prin urmare, mai puțin suspect decât un fișier complet necunoscut trimis prin e-mail.

CITEȘTE ȘI VIDEO Un avion a ieșit de pe pistă și a lovit mai multe mașini la aterizarea pe aeroportul din Miami. Cel puțin cinci persoane au murit

„Dezvoltatorii dețin de obicei privilegii de acces ridicate în rețelele companiilor, ceea ce îi face o țintă extrem de valoroasă pentru operațiunile avansate de spionaj cibernetic”, spune Omar Amin, expert în securitate în cadrul GReAT.

Hackerii nu mai țintesc doar Windows

Un alt detaliu important al noii campanii este schimbarea instrumentelor folosite de grupare.

Până acum, Mirage Kitten folosea în principal programe concepute pentru calculatoare cu Windows. Noile instrumente sunt construite astfel încât să poată funcționa și pe macOS și Linux.

Pentru victime, acest lucru înseamnă că sistemul de operare nu mai reprezintă aceeași barieră pentru atacatori.

Cercetătorii au identificat programele malițioase în atacuri care au vizat în principal sectoarele aviației și tehnologiei financiare din Egipt, Etiopia și Afganistan. Au fost găsite însă și în Germania, Turcia, Israel, India și Irlanda.

O înșelătorie construită să pară cât mai normală

Povestea este construită din elemente pe care un profesionist le poate întâlni în mod normal.

CITEȘTE ȘI Wizz Air gândește în România reducerea flotei, până la 172 de posturi pot fi afectate. Scenariu aflat în analiză - surse

Un mesaj pe LinkedIn. Un recrutor. O companie cunoscută. Un test de programare. Un termen-limită. O parolă pentru accesarea testului.

Niciunul dintre aceste lucruri nu este, în sine, neobișnuit.

Problema apare atunci când toate sunt folosite pentru a determina victima să descarce și să deschidă un fișier compromis.

„Este un exemplu clar al modului în care atacatorii se adaptează la rutina profesională a victimelor”, arată analiza Kaspersky asupra campaniei.

În cazul de față, nu curiozitatea sau promisiunea unor bani rapizi este exploatată, ci dorința unei persoane de a obține un loc de muncă. Iar tocmai pentru că scenariul seamănă atât de mult cu un proces real de recrutare, capcana poate fi mai greu de observat.

Cele mai frecvente tipuri de fraudă 

Metoda WhatsApp „Telefonul stricat” - presupune trimiterea unui mesaj de pe un număr necunoscut de către cineva care pretinde că este un membru al familiei și că și-a stricat telefonul. Victima este rugată să salveze noul număr și, sub presiunea urgenței, să trimită bani pe contul unui „prieten”, deoarece ruda respectivă nu mai are acces nici la propriul cont bancar. Totul se desfășoară prin mesaje scrise, fără apel vocal, tocmai pentru a evita recunoașterea vocii.

Metoda Vishing - oportunitate de investiții Hidroelectrica începe, de cele mai multe ori, după ce o persoană își introduce datele într-un formular online care promite câștiguri rapide. Ulterior, aceasta este contactată telefonic de așa-ziși „consultanți” care o conving să transfere bani pentru investiții fictive, iar sumele ajung direct în conturile atacatorilor.

Metoda BNR - începe cu un apel telefonic al cărui număr pare să provină chiar de la banca victimei, în care aceasta este anunțată că un credit a fost solicitat fraudulos în numele ei. Victima este transferată succesiv către un „ofițer bancar”, un „polițist” și un „reprezentant BNR”, fiecare confirmat de un număr de telefon falsificat prin spoofing. Sub presiunea urgenței, persoana vizată este convinsă să își mute economiile într-un cont pretins „sigur”, însă sumele ajung direct la escroci.

CITEȘTE ȘI VIDEO INEDIT Comună din România asaltată brusc de turiști după un fakenews ChatGPT. Primarul povestește: Incredibil, nu-i așa?

Metoda Creditul - schema complexă cu autorități este o variantă extinsă a spoofingului, în care victima este contactată simultan de reprezentanți falși ai băncii, poliției și BNR, care o conving că identitatea sa este folosită într-o fraudă activă. Escrocii trimit documente false de legitimație și acorduri de confidențialitate prin WhatsApp pentru a părea credibili, apoi îi cer victimei să contracteze ea însăși un credit și să depună suma la un bancomat de criptomonede, folosind coduri QR furnizate de ei. Conversația este ștearsă imediat după transferul banilor.

Metoda „Accidentul” - vocea clonată cu Inteligența Artificială presupune un apel telefonic în care escrocii folosesc inteligența artificială pentru a imita vocea unui membru al familiei, anunțând că a fost implicat într-un accident grav sau că se află în pericol legal iminent. Victima aude vocea familiară a copilului sau nepotului și, sub presiunea emoțională intensă, nu mai verifică identitatea apelantului.

Metoda „Nepotul la ananghie” - vocea clonată cu Inteligența Artificială funcționează identic cu metoda accidentul, dar vizează în special persoanele în vârstă, mizând pe relația bunici-nepoți. Escrocul, folosind o voce generată de AI, pretinde că a fost jefuit și că are nevoie urgentă de bani pentru a ajunge acasă. La fel ca și în cazul metodei clasice „Accidentul”, cel vizat nu mai verifică identitatea reală a celui care sună.