Il colloquio di lavoro che infetta: finti recruiter, test di codice e comandi da incollare
Lo schema si ripete negli anni e da vittima a vittima: un recruiter plausibile prende contatto, arriva un test di codice e, eseguendo il progetto, si installa il malware. Kaspersky, Microsoft, ESET e ReversingLabs ne hanno documentato varianti rivolte a personale della difesa, dipendenti di un'organizzazione nucleare, sviluppatori crypto e comuni cercatori di lavoro. L'inquadratura del reclutamento funziona perché chiede al bersaglio di fare qualcosa che sembra lavoro — eseguire un progetto, partecipare a una call, correggere un errore della webcam — e perché rifiutare sembra costoso a chi vuole quel posto.
Operation DreamJob: il ramo spionaggio
Il rapporto di Kaspersky di dicembre 2024 descrive come Lazarus contattasse dipendenti tramite finti profili di recruiter su LinkedIn, Telegram e WhatsApp, proponendo valutazioni tecniche per posizioni IT in note aziende aerospaziali e della difesa. I bersagli — in un caso almeno due dipendenti di un'organizzazione legata al nucleare — ricevevano archivi ISO con utility VNC troianizzate e l'istruzione di collegarsi a un indirizzo IP per il finto test. A eseguirsi era invece un insieme di strumenti a più stadi che i ricercatori seguono come MISTPEN, CookieTime e il downloader a plugin CookiePlus, quest'ultimo travestito da plugin di Notepad++. Kaspersky osserva che questa campagna è nota anche come Operation DreamJob.Finti colloqui tecnici per sviluppatori
Il ramo meglio documentato mira agli sviluppatori, soprattutto nel crypto e nel Web3. Il team Threat Intelligence di Microsoft, in un articolo di marzo 2026, descrive la campagna Contagious Interview — attiva almeno da dicembre 2022 —, in cui gli attaccanti si fingono recruiter di società di trading crypto o fornitori di soluzioni IA e chiedono ai candidati di clonare ed eseguire un pacchetto npm da GitHub, GitLab o Bitbucket. Una variante più recente sfrutta Visual Studio Code: all'apertura del repository compare la richiesta di 'fidarsi dell'autore del repository', che esegue automaticamente la configurazione dei task del progetto e va a recuperare la backdoor. ESET segue lo stesso gruppo come DeceptiveDevelopment e documenta come i falsi siti di colloquio rendono efficace il trucco della webcam. Il sito guida il candidato attraverso un lungo modulo e poi chiede di registrare un video. L'accesso alla webcam viene richiesto ma mai realmente usato; invece un errore dichiara che microfono e webcam sono bloccati e offre un comodo link 'How to fix' — che istruisce la vittima a incollare nel terminale un comando che scarica ed esegue malware. Le famiglie di payload dietro queste esche sono multipiattaforma: BeaverTail, un infostealer JavaScript per portafogli e dati del browser; InvisibleFerret, uno strumento di accesso remoto in Python con modulo AnyDesk; OtterCookie; e il WeaselStore in Go, consegnato come codice sorgente che la vittima deve compilare.Test di codice su npm e PyPI
I ricercatori della supply chain vedono la stessa economia dal lato opposto. A febbraio 2026 BleepingComputer riportava i risultati di ReversingLabs su un set di pacchetti soprannominato Graphalgo: 192 librerie malevole npm e PyPI che imitavano pacchetti 'graph' legittimi, seminate in repository di test di codice per il resto puliti su GitHub. I pacchetti restavano innocui finché un aggiornamento di versione non aggiungeva un trojan di accesso remoto, per poi essere presto deprecati per nascondere la sostituzione — un esempio, bigmathutils, aveva accumulato circa 10.000 download prima della sua versione malevola. Il RAT controlla la presenza dell'estensione browser MetaMask, esfiltra file ed esegue comandi dal proprio server di controllo, protetto da token secondo ReversingLabs. I ricercatori attribuiscono la campagna a Lazarus con confidenza medio-alta, citando timestamp dei commit nel fuso GMT+9.'Threat actors simply need to take a legitimate bare-bone project and fix it up with a malicious dependency and it is ready to be served to targets.' — ReversingLabs, via BleepingComputer
Lo schema si allarga
Non si ferma più agli ingegneri. A luglio 2026 l'analista di Team Cymru Will Thomas ha documentato una campagna che impersonava oltre 30 marchi di consumo — Adobe, Netflix, Coca-Cola, OpenAI, compagnie aeree e gruppi alberghieri — con false email di recruiter rivolte a professionisti del marketing. Le pagine chiedono al candidato di accedere con Google per fissare il colloquio, poi mostrano dentro la pagina un falso accesso Google convincente — una tecnica browser-in-the-browser — per catturare le credenziali. La meccanica differisce dai casi malware, perché qui il premio è un account e non una postazione di lavoro, ma il copione è quello delle truffe dei finti link di tracciamento: costruire un piccolo ostacolo plausibile e dare al bersaglio un motivo per cliccare.Segnali d'allarme
Alcuni dettagli ricompaiono in quasi tutti i casi documentati:- Un recruiter che spinge in fretta verso un compito di codice e fornisce un repository da eseguire in locale, invece di una sandbox ospitata o di una sessione dal vivo di pair programming.
- Un progetto npm o PyPI le cui dipendenze non si sanno nominare né valutare, o un pacchetto pulito fino all'ultima versione.
- Un sito di colloquio che richiede l'accesso a webcam o microfono, segnala un dispositivo bloccato e offre una 'correzione' che consiste nell'incollare un comando nel terminale.
- La richiesta dell'editor di 'fidarsi dell'autore' di un repository clonato, o istruzioni di installazione che finiscono con 'incolla questo nella tua shell'.
- Un profilo di recruiter che non torna con la vera pagina carriere dell'azienda né con un secondo canale indipendente.