La entrevista de trabajo que infecta: reclutadores falsos, pruebas de código y comandos pegados
El patrón se repite a lo largo de años y víctimas: un reclutador verosímil establece contacto, sigue una prueba de código y, al ejecutar el proyecto, se instala el malware. Kaspersky, Microsoft, ESET y ReversingLabs han documentado variantes dirigidas a personal de defensa, empleados de una organización nuclear, desarrolladores de cripto y buscadores de empleo corrientes. El marco de reclutamiento funciona porque pide al objetivo hacer algo que parece trabajo — ejecutar un proyecto, unirse a una llamada, arreglar un error de cámara — y porque negarse se siente caro para alguien que quiere el puesto.
Operation DreamJob: la rama de espionaje
El informe de Kaspersky de diciembre de 2024 describe cómo Lazarus contactaba a empleados mediante perfiles falsos de reclutador en LinkedIn, Telegram y WhatsApp, ofreciendo evaluaciones de habilidades para puestos de TI en destacadas empresas aeroespaciales y de defensa. Los objetivos — en un caso, al menos dos empleados de una organización relacionada con lo nuclear — recibieron archivos ISO con utilidades VNC troyanizadas y la instrucción de conectarse a una dirección IP para la supuesta prueba. Lo que se ejecutó en su lugar fue un conjunto de herramientas escalonadas que los investigadores siguen como MISTPEN, CookieTime y el descargador basado en plugins CookiePlus, este último disfrazado de plugin de Notepad++. Kaspersky señala que esta campaña también se conoce como Operation DreamJob.Entrevistas técnicas falsas para desarrolladores
La rama mejor documentada apunta a desarrolladores de software, sobre todo en cripto y Web3. El equipo de Threat Intelligence de Microsoft, en un texto de marzo de 2026, describe la campaña Contagious Interview — activa al menos desde diciembre de 2022 —, en la que los atacantes se hacen pasar por reclutadores de firmas de trading de cripto o proveedores de soluciones de IA y piden a los candidatos clonar y ejecutar un paquete npm desde GitHub, GitLab o Bitbucket. Una variante más reciente abusa de Visual Studio Code: al abrir el repositorio aparece un mensaje para 'confiar en el autor del repositorio', que ejecuta automáticamente la configuración de tareas del proyecto y descarga la puerta trasera. ESET sigue al mismo grupo como DeceptiveDevelopment y documenta cómo los sitios de entrevista falsos hacen funcionar el truco de la cámara. El sitio guía al solicitante por un formulario largo y luego le pide grabar un vídeo. Se solicita el acceso a la cámara pero nunca se usa; en su lugar, un error asegura que el micrófono y la cámara están bloqueados y ofrece un útil enlace de 'How to fix' — que instruye a la víctima para pegar un comando de terminal que descarga y ejecuta malware. Las familias de payloads tras estos señuelos son multiplataforma: BeaverTail, un infostealer en JavaScript para monederos y datos del navegador; InvisibleFerret, una herramienta de acceso remoto en Python con módulo AnyDesk; OtterCookie; y WeaselStore, basado en Go, entregado como código fuente que la víctima debe compilar.Pruebas de código en npm y PyPI
Los investigadores de cadena de suministro ven la misma economía desde el otro lado. En febrero de 2026, BleepingComputer recogía los hallazgos de ReversingLabs sobre un conjunto de paquetes apodado Graphalgo: 192 librerías maliciosas de npm y PyPI que imitaban paquetes legítimos 'graph', sembradas en repositorios de pruebas de código por lo demás limpios en GitHub. Los paquetes se mantuvieron inofensivos hasta que una actualización de versión añadió un troyano de acceso remoto, y luego fueron deprecados con rapidez para ocultar el cambio — un ejemplo, bigmathutils, acumuló alrededor de 10.000 descargas antes de su versión maliciosa. El RAT comprueba la extensión de navegador MetaMask, exfiltra archivos y ejecuta comandos desde su servidor de control, que según ReversingLabs está protegido con tokens. Los investigadores atribuyen la campaña a Lazarus con confianza media-alta, citando marcas de tiempo de commits en la zona horaria GMT+9.'Threat actors simply need to take a legitimate bare-bone project and fix it up with a malicious dependency and it is ready to be served to targets.' — ReversingLabs, via BleepingComputer
La plantilla se extiende
Ya no se detiene en los ingenieros. En julio de 2026, el analista de Team Cymru Will Thomas documentó una campaña que suplantaba a más de 30 marcas de consumo — Adobe, Netflix, Coca-Cola, OpenAI, aerolíneas y cadenas hoteleras entre ellas — con correos falsos de reclutador dirigidos a profesionales de marketing. Las páginas de destino piden al candidato iniciar sesión con Google para agendar la entrevista y luego muestran dentro de la propia página un falso inicio de sesión de Google convincente — una técnica browser-in-the-browser — para capturar credenciales. La mecánica difiere de los casos de malware, porque aquí el premio es una cuenta y no una estación de trabajo, pero el guion es el mismo que el de las estafas de enlaces de seguimiento falsos: fabricar un obstáculo pequeño y plausible y darle al objetivo una razón para hacer clic.Señales de alerta
Algunos detalles se repiten en casi todos los casos documentados:- Un reclutador que apura con una tarea de código y aporta un repositorio para ejecutar en local, en lugar de un entorno aislado alojado o una sesión en vivo de programación en pareja.
- Un proyecto npm o PyPI cuyas dependencias no se pueden nombrar ni auditar, o un paquete que estuvo limpio hasta su última versión.
- Un sitio de entrevista que pide acceso a cámara o micrófono, informa de un dispositivo bloqueado y ofrece un 'arreglo' que consiste en pegar un comando en la terminal.
- Un aviso del editor para 'confiar en el autor' de un repositorio clonado, o pasos de instalación que terminan en 'pega esto en tu shell'.
- Un perfil de reclutador que no cuadra con la página de empleo real de la empresa ni con un segundo canal independiente.