Das Stellenangebot, das infiziert: falsche Recruiter, Codierungstests und eingefügte Befehle
Das Muster wiederholt sich über Jahre und Opfer hinweg: Ein glaubwürdiger Recruiter meldet sich, ein Codierungstest folgt, und das Ausführen des Projekts installiert die Malware. Kaspersky, Microsoft, ESET und ReversingLabs haben alle Varianten davon dokumentiert, gerichtet auf Mitarbeiter in der Verteidigungsindustrie, Beschäftigte einer Nuklearorganisation, Krypto-Entwickler und gewöhnliche Jobsuchende. Der Recruiting-Rahmen funktioniert, weil er das Ziel etwas tun lässt, das wie Arbeit aussieht — ein Projekt ausführen, an einem Anruf teilnehmen, einen Kamerafehler beheben — und weil sich eine Ablehnung für jemanden, der den Job will, teuer anfühlt.
Operation DreamJob: der Spionage-Zweig
Kasperskys Bericht vom Dezember 2024 beschreibt, wie Lazarus Mitarbeiter über gefälschte Recruiter-Profile auf LinkedIn, Telegram und WhatsApp kontaktierte und Fertigkeitsbewertungen für IT-Positionen bei namhaften Luft-, Raumfahrt- und Verteidigungsunternehmen anbot. Die Ziele — in einem Fall mindestens zwei Mitarbeiter einer nuklearen Organisation — erhielten ISO-Archive mit trojanisierten VNC-Dienstprogrammen und wurden angewiesen, sich für den vermeintlichen Test mit einer IP-Adresse zu verbinden. Stattdessen lief ein mehrstufiges Toolkit, das die Forscher als MISTPEN, CookieTime und den Plugin-basierten Downloader CookiePlus verfolgen, letzterer getarnt als Notepad++-Plugin. Kaspersky merkt an, dass diese Kampagne auch als Operation DreamJob bezeichnet wird.Gefälschte technische Interviews für Entwickler
Der besser dokumentierte Zweig zielt auf Softwareentwickler, besonders im Krypto- und Web3-Bereich. Microsofts Threat-Intelligence-Team beschrieb im März 2026 die Kampagne Contagious Interview — seit mindestens Dezember 2022 aktiv —, bei der sich Angreifer als Recruiter von Krypto-Handelsfirmen oder KI-Dienstleistern ausgeben und Kandidaten bitten, ein npm-Paket aus GitHub, GitLab oder Bitbucket zu klonen und auszuführen. Eine neuere Variante missbraucht Visual Studio Code: Das Öffnen des Repositories löst eine Aufforderung aus, dem 'Repository-Autor zu vertrauen', was die Task-Konfiguration des Projekts automatisch ausführt und die Hintertür nachlädt. ESET verfolgt denselben Cluster als DeceptiveDevelopment und dokumentiert, wie die gefälschten Interviewseiten den Kamera-Trick umsetzen. Die Seite führt den Bewerber durch ein langes Bewerbungsformular und bittet ihn dann, ein Video aufzunehmen. Der Kamerazugriff wird angefordert, aber nie tatsächlich genutzt; stattdessen meldet ein Fehler, Mikrofon und Kamera seien blockiert, und bietet einen hilfreichen 'How to fix'-Link an — der das Opfer anweist, einen Terminalbefehl einzufügen, der Malware herunterlädt und ausführt. Die Payload-Familien hinter diesen Ködern sind plattformübergreifend: BeaverTail, ein JavaScript-Infostealer für Wallets und Browserdaten; InvisibleFerret, ein Python-Fernwartungstool mit AnyDesk-Modul; OtterCookie; und das auf Go basierende WeaselStore, das als Quellcode geliefert wird, den das Opfer kompilieren soll.Codierungstests auf npm und PyPI
Supply-Chain-Forscher sehen dieselbe Ökonomie von der anderen Seite. Im Februar 2026 berichtete BleepingComputer über ReversingLabs' Erkenntnisse zu einem Paketset namens Graphalgo: 192 böswillige npm- und PyPI-Bibliotheken, die legitime 'Graph'-Pakete imitieren und in ansonsten saubere Coding-Challenge-Repositories auf GitHub eingeschleust wurden. Die Pakete blieben harmlos, bis ein Versionsupdate einen Remote-Access-Trojaner hinzufügte, dann wurden sie rasch als veraltet markiert, um den Wechsel zu verbergen — ein Beispiel, bigmathutils, hatte rund 10.000 Downloads angesammelt, bevor seine bösartige Version erschien. Die RAT prüft auf die MetaMask-Browsererweiterung, exfiltriert Dateien und führt Befehle von ihrem Control-Server aus, der laut ReversingLabs token-geschützt ist. Die Forscher schreiben die Kampagne mit mittlerer bis hoher Konfidenz Lazarus zu, unter anderem wegen Commit-Zeitstempeln in der Zeitzone GMT+9.'Threat actors simply need to take a legitimate bare-bone project and fix it up with a malicious dependency and it is ready to be served to targets.' — ReversingLabs, via BleepingComputer
Die Vorlage greift um sich
Sie endet nicht mehr bei Ingenieuren. Im Juli 2026 dokumentierte der Team-Cymru-Analyst Will Thomas eine Kampagne, die mehr als 30 Verbrauchermarken imitierte — darunter Adobe, Netflix, Coca-Cola, OpenAI, Fluggesellschaften und Hotelgruppen —, mit gefälschten Recruiter-E-Mails an Marketingfachleute. Die Landingpages bitten den Bewerber, sich mit Google anzumelden, um ein Interview zu vereinbaren, und blenden dann einen täuschend echten gefälschten Google-Login direkt in der Seite ein — eine Browser-in-the-Browser-Technik —, um Zugangsdaten abzugreifen. Die Mechanik unterscheidet sich von den Malware-Fällen, denn hier ist der Preis ein Konto statt eines Arbeitsplatzes, aber das Spielbuch ist dasselbe wie bei gefälschten Sendungsverfolgungs-Scams: ein kleines, plausibles Hindernis erzeugen und dem Ziel einen Grund geben zu klicken.Warnsignale
Einige Details tauchen in fast jedem dokumentierten Fall erneut auf:- Ein Recruiter, der schnell zu einer Codieraufgabe drängt und ein Repository liefert, das lokal ausgeführt werden soll, statt einer gehosteten Sandbox oder einer Live-Pair-Programming-Session.
- Ein npm- oder PyPI-Projekt, dessen Abhängigkeiten man nicht benennen oder prüfen kann, oder ein Paket, das bis zur neuesten Version sauber war.
- Eine Interviewseite, die Kamera- oder Mikrofonzugriff anfordert, ein blockiertes Gerät meldet und eine 'Lösung' anbietet, die darin besteht, einen Befehl ins Terminal einzufügen.
- Eine Editor-Aufforderung, dem 'Autor' eines geklonten Repositories zu vertrauen, oder Installationsschritte, die mit 'Füge das in deine Shell ein' enden.
- Ein Recruiter-Profil, das sich nicht mit der echten Karriereseite des Unternehmens oder einem zweiten, unabhängigen Kanal abgleichen lässt.