Rozmowa kwalifikacyjna, która infekuje: fałszywi rekruterzy, zadania z kodu i wklejane komendy
Schemat powtarza się od lat i od ofiary do ofiary: kontakt nawiązuje wiarygodny rekruter, pojawia się zadanie z kodu, a uruchomienie projektu instaluje malware. Kaspersky, Microsoft, ESET i ReversingLabs opisały jego warianty wymierzone w pracowników branży obronnej, personel organizacji z branży jądrowej, deweloperów krypto i zwykłych kandydatów do pracy. Rama rekrutacji działa dlatego, że każe celowi zrobić coś, co wygląda jak praca — uruchomić projekt, dołączyć do rozmowy, naprawić błąd kamery — a odmowa wydaje się droga temu, kto chce tę posadę.
Operation DreamJob: szpiegowska odnoga
Grudniowy raport Kaspersky z 2024 roku opisuje, jak Lazarus kontaktował się z pracownikami przez fałszywe profile rekruterów na LinkedIn, Telegramie i WhatsApp, oferując zadania kwalifikacyjne na stanowiska IT w znanych firmach lotniczo-kosmicznych i obronnych. Cele — w jednym przypadku co najmniej dwóch pracowników organizacji z branży jądrowej — otrzymywały archiwa ISO z trojanizowanymi narzędziami VNC i polecenie połączenia się z adresem IP dla rzekomego testu. Zamiast niego uruchamiał się wielostopniowy zestaw narzędzi, śledzony przez badaczy jako MISTPEN, CookieTime i ładowacz CookiePlus oparty na wtyczkach, ten ostatni przebrany za wtyczkę Notepad++. Kaspersky zauważa, że ta kampania jest też znana jako Operation DreamJob.Fałszywe rozmowy techniczne dla programistów
Lepiej udokumentowana odnoga celuje w programistów, zwłaszcza w krypto i Web3. Zespół Threat Intelligence Microsoftu, w tekście z marca 2026, opisuje kampanię Contagious Interview — aktywną co najmniej od grudnia 2022 —, w której atakujący podają się za rekruterów firm handlujących kryptowalutami lub dostawców rozwiązań AI i proszą kandydatów o sklonowanie i uruchomienie pakietu npm z GitHuba, GitLaba lub Bitbucketa. Nowszy wariant nadużywa Visual Studio Code: otwarcie repozytorium wywołuje monit o 'zaufaniu autorowi repozytorium', który automatycznie wykonuje konfigurację zadań projektu i pobiera backdoor. ESET śledzi ten sam klaster jako DeceptiveDevelopment i dokumentuje, jak podrobione strony rozmów kwalifikacyjnych uruchamiają sztuczkę z kamerą. Strona przeprowadza kandydata przez długi formularz, po czym prosi o nagranie wideo. Dostęp do kamery jest wymagany, ale nigdy naprawdę nie używany; zamiast tego błąd oznajmia, że mikrofon i kamera są zablokowane, i oferuje pomocny link 'How to fix' — który nakazuje ofierze wklejenie w terminal komendy pobierającej i uruchamiającej malware. Rodziny payloadów za tymi przynętami są wieloplatformowe: BeaverTail, JavaScriptowy infostealer kradnący dane z portfeli i przeglądarki; InvisibleFerret, narzędzie zdalnego dostępu w Pythonie z modułem AnyDesk; OtterCookie; i oparty na Go WeaselStore, dostarczany jako kod źródłowy, który ofiara ma skompilować.Zadania z kodu na npm i PyPI
Badacze łańcucha dostaw widzą tę samą gospodarkę z drugiej strony. W lutym 2026 BleepingComputer opisał ustalenia ReversingLabs o zestawie pakietów nazwanym Graphalgo: 192 złośliwych bibliotek npm i PyPI udających legalne pakiety 'graph', zasianych w repozytoriach z zadaniami kwalifikacyjnymi, poza tym czystych, na GitHubie. Pakiety pozostawały nieszkodliwe, dopóki aktualizacja wersji nie dodawała trojana zdalnego dostępu, po czym szybko oznaczano je jako przestarzałe, by ukryć podmianę — jeden przykład, bigmathutils, zebrał około 10 000 pobrań przed swoim złośliwym wydaniem. RAT sprawdza obecność rozszerzenia przeglądarki MetaMask, eksfiltruje pliki i wykonuje komendy ze swojego serwera sterowania, chronionego tokenem według ReversingLabs. Badacze przypisują kampanię Lazarusowi ze średnią do wysokiej pewnością, powołując się na znaczniki czasu commitów w strefie GMT+9.'Threat actors simply need to take a legitimate bare-bone project and fix it up with a malicious dependency and it is ready to be served to targets.' — ReversingLabs, via BleepingComputer
Szablon się rozprzestrzenia
Już nie kończy się na inżynierach. W lipcu 2026 analityk Team Cymru Will Thomas udokumentował kampanię podszywającą się pod ponad 30 konsumenckich marek — w tym Adobe, Netflix, Coca-Cola, OpenAI, linie lotnicze i grupy hotelowe —, z fałszywymi mailami od rekruterów wymierzonymi w specjalistów ds. marketingu. Strony docelowe proszą kandydata o zalogowanie przez Google, aby umówić rozmowę, po czym renderują wewnątrz strony przekonujący fałszywy ekran logowania Google — technikę browser-in-the-browser — aby przechwycić poświadczenia. Mechanika różni się od przypadków z malwarem, bo tutaj nagrodą jest konto, a nie stacja robocza, ale scenariusz jest ten sam, co w oszustwach z fałszywymi linkami śledzącymi: wymyślić małą, wiarygodną przeszkodę i dać celowi powód, by kliknąć.Sygnały ostrzegawcze
Kilka szczegółów powraca w prawie każdym udokumentowanym przypadku:- Rekruter, który szybko przepycha do zadania z kodu i dostarcza repozytorium do uruchomienia lokalnie, zamiast hostowanej piaskownicy lub sesji programowania w parze na żywo.
- Projekt npm lub PyPI, którego zależności nie sposób nazwać ani ocenić, albo pakiet czysty aż do ostatniej wersji.
- Strona rozmowy kwalifikacyjnej, która żąda dostępu do kamery lub mikrofonu, zgłasza zablokowane urządzenie i oferuje 'naprawę' polegającą na wklejeniu komendy w terminal.
- Monit edytora o 'zaufanie autorowi' sklonowanego repozytorium albo kroki instalacji kończące się 'wklej to do swojej powłoki'.
- Profil rekrutera, który nie zgadza się z prawdziwą stroną karier firmy ani z drugim, niezależnym kanałem.