Het sollicitatiegesprek dat infecteert: nep-recruiter, codeertesten en geplakte opdrachten
Het patroon herhaalt zich over jaren en slachtoffers heen: een geloofwaardige recruiter meldt zich, er volgt een codetest en het uitvoeren van het project installeert de malware. Kaspersky, Microsoft, ESET en ReversingLabs documenteerden er varianten van, gericht op defensiepersoneel, medewerkers van een kernorganisatie, crypto-ontwikkelaars en gewone werkzoekenden. Het rekruteringskader werkt omdat het het doelwit iets vraagt dat op werk lijkt — een project uitvoeren, aan een gesprek deelnemen, een camerafout oplossen — en omdat weigeren duur lijkt voor iemand die de baan wil.
Operation DreamJob: de spionagetak
Kaspersky's rapport van december 2024 beschrijft hoe Lazarus medewerkers benaderde via nep-recruiterprofielen op LinkedIn, Telegram en WhatsApp, met vaardigheidstesten voor IT-functies bij bekende lucht- en ruimtevaart- en defensiebedrijven. De doelwitten — in één geval ten minste twee medewerkers van een nucleaire organisatie — ontvingen ISO-archieven met getrojaniseerde VNC-hulpprogramma's en de opdracht om voor de zogenaamde test verbinding te maken met een IP-adres. Wat in plaats daarvan draaide, was een meertraps toolkit die de onderzoekers volgen als MISTPEN, CookieTime en de op plugins gebaseerde downloader CookiePlus, de laatste vermomd als Notepad++-plugin. Kaspersky merkt op dat deze campagne ook wordt aangeduid als Operation DreamJob.Nep-technische interviews voor ontwikkelaars
De beter gedocumenteerde tak richt zich op softwareontwikkelaars, vooral in crypto en Web3. Het Threat Intelligence-team van Microsoft beschreef in maart 2026 de campagne Contagious Interview — actief sinds minstens december 2022 —, waarin aanvallers zich voordoen als recruiters van cryptohandelsfirma's of aanbieders van AI-oplossingen en kandidaten vragen een npm-pakket van GitHub, GitLab of Bitbucket te klonen en uit te voeren. Een nieuwere variant misbruikt Visual Studio Code: bij het openen van de repository verschijnt de vraag om de 'repository-auteur te vertrouwen', waarmee de taskconfiguratie van het project automatisch wordt uitgevoerd en de backdoor wordt binnengehaald. ESET volgt dezelfde groep als DeceptiveDevelopment en beschrijft hoe de nep-interviewsites de cameratrick laten werken. De site loopt de sollicitant door een lang formulier heen en vraagt dan om een video op te nemen. Cameratoegang wordt gevraagd maar nooit echt gebruikt; in plaats daarvan meldt een foutmelding dat microfoon en camera geblokkeerd zijn en biedt een handige 'How to fix'-link — die het slachtoffer opdraagt een terminalopdracht te plakken die malware downloadt en uitvoert. De payloadfamilies achter deze lokmiddelen zijn platformoverstijgend: BeaverTail, een JavaScript-infostealer voor wallets en browsergegevens; InvisibleFerret, een Python-tool voor externe toegang met een AnyDesk-module; OtterCookie; en het op Go gebaseerde WeaselStore, geleverd als broncode die het slachtoffer moet compileren.Codetesten op npm en PyPI
Supplychainonderzoekers zien dezelfde economie vanaf de andere kant. In februari 2026 meldde BleepingComputer de bevindingen van ReversingLabs over een pakketset genaamd Graphalgo: 192 kwaadaardige npm- en PyPI-bibliotheken die legitieme 'graph'-pakketten imiteerden, gezaaid in verder schone coding-challenge-repository's op GitHub. De pakketten bleven onschuldig totdat een versie-update een trojan met externe toegang toevoegde, en werden daarna snel als verouderd gemarkeerd om de wissel te verbergen — één voorbeeld, bigmathutils, verzamelde zo'n 10.000 downloads vóór zijn kwaadaardige release. De RAT controleert op de MetaMask-browserextensie, exfiltreert bestanden en voert opdrachten uit vanaf zijn beheerserver, die volgens ReversingLabs met een token is beveiligd. De onderzoekers schrijven de campagne toe aan Lazarus met midden tot hoge zekerheid, onder meer vanwege commit-tijdstempels in de tijdzone GMT+9.'Threat actors simply need to take a legitimate bare-bone project and fix it up with a malicious dependency and it is ready to be served to targets.' — ReversingLabs, via BleepingComputer
Het sjabloon spreidt zich uit
Het stopt niet meer bij ingenieurs. In juli 2026 documenteerde Team Cymru-analist Will Thomas een campagne die meer dan 30 consumentenmerken imiteerde — Adobe, Netflix, Coca-Cola, OpenAI, luchtvaartmaatschappijen en hotelgroepen —, met nep-recruitermails gericht op marketingprofessionals. De landingspagina's vragen de sollicitant in te loggen met Google om een interview te plannen en tonen vervolgens in de pagina een overtuigende nep-Google-login — een browser-in-the-browser-techniek — om inloggegevens te vangen. De mechaniek verschilt van de malwaregevallen, want hier is de prijs een account in plaats van een werkplek, maar het draaiboek is dat van de oplichting met neppe trackinglinks: een klein, plausibel obstakel verzinnen en het doelwit een reden geven om te klikken.Alarmsignalen
Een paar details keren in bijna elk gedocumenteerd geval terug:- Een recruiter die snel doorpusht naar een codeeropdracht en een repository levert om lokaal uit te voeren, in plaats van een gehoste sandbox of een live pair-programming-sessie.
- Een npm- of PyPI-project waarvan je de dependencies niet kunt benoemen of beoordelen, of een pakket dat tot de nieuwste versie schoon was.
- Een interviewsite die cameratoegang of microfoontoegang vraagt, een geblokkeerd apparaat meldt en een 'oplossing' aanbiedt die bestaat uit een opdracht plakken in de terminal.
- Een editorprompt om de 'auteur te vertrouwen' van een gekloonde repository, of installatiestappen die eindigen op 'plak dit in je shell'.
- Een recruiterprofiel dat niet klopt met de echte vacaturepagina van het bedrijf of met een tweede, onafhankelijk kanaal.