A entrevista de emprego que infecta: recrutadores falsos, testes de código e comandos colados
O padrão se repete ao longo dos anos e das vítimas: um recrutador verossímil entra em contato, segue-se um teste de código e, ao executar o projeto, o malware é instalado. Kaspersky, Microsoft, ESET e ReversingLabs documentaram variantes voltadas a funcionários do setor de defesa, empregados de uma organização nuclear, desenvolvedores de cripto e candidatos de emprego comuns. A moldura do recrutamento funciona porque pede ao alvo que faça algo que parece trabalho — executar um projeto, entrar em uma chamada, corrigir um erro de câmera — e porque recusar parece caro para quem quer a vaga.
Operation DreamJob: o ramo de espionagem
O relatório da Kaspersky de dezembro de 2024 descreve como o Lazarus contatava funcionários por meio de perfis falsos de recrutador no LinkedIn, Telegram e WhatsApp, oferecendo avaliações técnicas para vagas de TI em conhecidas empresas aeroespaciais e de defesa. Os alvos — em um caso, pelo menos dois funcionários de uma organização ligada ao setor nuclear — recebiam arquivos ISO com utilitários VNC trojanizados e a instrução de se conectar a um endereço IP para o suposto teste. O que rodava, em vez disso, era um conjunto de ferramentas em estágios que os pesquisadores acompanham como MISTPEN, CookieTime e o downloader baseado em plugins CookiePlus, este último disfarçado de plugin do Notepad++. A Kaspersky observa que a campanha também é chamada de Operation DreamJob.Entrevistas técnicas falsas para desenvolvedores
O ramo mais bem documentado mira desenvolvedores de software, sobretudo em cripto e Web3. A equipe de Threat Intelligence da Microsoft, em texto de março de 2026, descreve a campanha Contagious Interview — ativa pelo menos desde dezembro de 2022 —, na qual invasores se passam por recrutadores de empresas de trading de cripto ou provedoras de soluções de IA e pedem que os candidatos clonem e executem um pacote npm do GitHub, GitLab ou Bitbucket. Uma variante mais recente abusa do Visual Studio Code: abrir o repositório dispara um convite para 'confiar no autor do repositório', que executa automaticamente a configuração de tarefas do projeto e busca a porta dos fundos. A ESET acompanha o mesmo grupo como DeceptiveDevelopment e documenta como os sites de entrevista falsos fazem o truque da câmera funcionar. O site guia o candidato por um formulário longo e depois pede que ele grave um vídeo. O acesso à câmera é solicitado, mas nunca é realmente usado; em vez disso, um erro alega que microfone e câmera estão bloqueados e oferece um link útil de 'How to fix' — que instrui a vítima a colar um comando de terminal que baixa e executa malware. As famílias de payload por trás dessas iscas são multiplataforma: BeaverTail, um infostealer em JavaScript para carteiras e dados do navegador; InvisibleFerret, uma ferramenta de acesso remoto em Python com módulo AnyDesk; OtterCookie; e o WeaselStore, em Go, entregue como código-fonte que a vítima deve compilar.Testes de código no npm e no PyPI
Pesquisadores de cadeia de suprimentos veem a mesma economia pelo outro lado. Em fevereiro de 2026, o BleepingComputer noticiou as constatações da ReversingLabs sobre um conjunto de pacotes apelidado de Graphalgo: 192 bibliotecas maliciosas de npm e PyPI que imitavam pacotes legítimos com 'graph' no nome, semeadas em repositórios de testes de código que, fora isso, eram limpos no GitHub. Os pacotes permaneceram inofensivos até que uma atualização de versão acrescentasse um trojan de acesso remoto, e então eram rapidamente descontinuados para esconder a troca — um exemplo, bigmathutils, acumulou cerca de 10.000 downloads antes de seu lançamento malicioso. O RAT verifica a extensão de navegador MetaMask, exfiltra arquivos e executa comandos de seu servidor de controle, protegido por token segundo a ReversingLabs. Os pesquisadores atribuem a campanha ao Lazarus com confiança média a alta, citando carimbos de data/hora de commits no fuso GMT+9.'Threat actors simply need to take a legitimate bare-bone project and fix it up with a malicious dependency and it is ready to be served to targets.' — ReversingLabs, via BleepingComputer
O molde se espalha
Ele já não para nos engenheiros. Em julho de 2026, o analista da Team Cymru Will Thomas documentou uma campanha que personificava mais de 30 marcas de consumo — Adobe, Netflix, Coca-Cola, OpenAI, companhias aéreas e redes hoteleiras entre elas —, com e-mails falsos de recrutador voltados a profissionais de marketing. As páginas de destino pedem ao candidato entrar com o Google para agendar a entrevista e depois exibem, dentro da própria página, uma tela falsa de login do Google convincente — uma técnica browser-in-the-browser — para capturar credenciais. A mecânica difere dos casos de malware, porque aqui o prêmio é uma conta e não uma estação de trabalho, mas o roteiro é o mesmo das golpes de link de rastreamento falso: fabricar um obstáculo pequeno e plausível e dar ao alvo um motivo para clicar.Sinais de alerta
Alguns detalhes voltam em quase todos os casos documentados:- Um recrutador que empurra rápido para uma tarefa de código e fornece um repositório para rodar localmente, em vez de uma sandbox hospedada ou uma sessão ao vivo de programação em par.
- Um projeto npm ou PyPI cujas dependências não se consegue nomear ou auditar, ou um pacote que estava limpo até a última versão.
- Um site de entrevista que pede acesso à câmera ou ao microfone, informa dispositivo bloqueado e oferece um 'conserto' que consiste em colar um comando no terminal.
- Um aviso do editor para 'confiar no autor' de um repositório clonado, ou passos de instalação que terminam em 'cole isto no seu shell'.
- Um perfil de recrutador que não confere com a página de carreiras real da empresa nem com um segundo canal independente.