Собеседование, которое заражает: фальшивые рекрутеры, тестовые задания и вставленные команды
Схема повторяется годами и от жертвы к жертве: на контакт выходит правдоподобный рекрутер, следует тестовое задание, а запуск проекта устанавливает вредоносное ПО. Kaspersky, Microsoft, ESET и ReversingLabs описали его варианты, нацеленные на сотрудников оборонной отрасли, работников организации ядерного профиля, крипторазработчиков и обычных соискателей. Рамка рекрутинга работает потому, что просит цель сделать нечто похожее на работу — запустить проект, подключиться к звонку, исправить ошибку камеры, — а отказ кажется дорогим тому, кто хочет получить должность.
Operation DreamJob: шпионское ответвление
В декабрьском отчёте 2024 года Kaspersky описывает, как Lazarus выходил на сотрудников через фальшивые профили рекрутеров в LinkedIn, Telegram и WhatsApp, предлагая оценочные задания на IT-позиции в известных аэрокосмических и оборонных компаниях. Цели — в одном случае как минимум два сотрудника организации, связанной с ядерной сферой, — получали ISO-архивы с троянизированными утилитами VNC и указание подключиться к IP-адресу для мнимого теста. Вместо него запускался многоступенчатый набор инструментов, который исследователи отслеживают как MISTPEN, CookieTime и плагинный загрузчик CookiePlus — последний замаскирован под плагин Notepad++. Kaspersky отмечает, что эта кампания также известна как Operation DreamJob.Фальшивые технические собеседования для разработчиков
Лучше задокументированная ветка нацелена на разработчиков ПО, особенно в крипто- и Web3-сфере. Команда Threat Intelligence Microsoft в материале марта 2026 года описывает кампанию Contagious Interview — активную как минимум с декабря 2022 года, — в которой атакующие выдают себя за рекрутеров криптотрейдинговых фирм или поставщиков ИИ-решений и просят кандидатов склонировать и запустить npm-пакет с GitHub, GitLab или Bitbucket. Более новый вариант злоупотребляет Visual Studio Code: при открытии репозитория появляется предложение «доверять автору репозитория», которое автоматически выполняет конфигурацию задач проекта и подтягивает бэкдор. ESET отслеживает тот же кластер под именем DeceptiveDevelopment и описывает, как устроен трюк с камерой на поддельных сайтах собеседований. Сайт проводит соискателя через длинную анкету, затем просит записать видео. Доступ к камере запрашивается, но на деле не используется; вместо этого ошибка сообщает, что микрофон и камера заблокированы, и предлагает полезную ссылку «How to fix» — которая велит жертве вставить в терминал команду, скачивающую и запускающую вредоносное ПО. Семейства полезной нагрузки за этими приманками кроссплатформенные: BeaverTail — JavaScript-инфостилер для кошельков и данных браузера; InvisibleFerret — Python-инструмент удалённого доступа с модулем AnyDesk; OtterCookie; и основанный на Go WeaselStore, который доставляется исходным кодом, жертву просят его скомпилировать.Тестовые задания на npm и PyPI
Исследователи программной цепочки поставки видят ту же экономику с другой стороны. В феврале 2026 года BleepingComputer рассказал о находках ReversingLabs в наборе пакетов по прозвищу Graphalgo: 192 вредоносные библиотеки npm и PyPI, имитировавшие легитимные пакеты с «graph» в имени и посеянные в чистые репозитории с тестовыми заданиями на GitHub. Пакеты оставались безобидными, пока очередная версия не добавляла троян удалённого доступа, после чего быстро помечались устаревшими, чтобы скрыть подмену — один пример, bigmathutils, набрал около 10 000 загрузок до своего вредоносного релиза. RAT проверяет наличие браузерного расширения MetaMask, выкачивает файлы и исполняет команды со своего управляющего сервера, который, по словам ReversingLabs, защищён токеном. Исследователи связывают кампанию с Lazarus со средней и выше уверенностью, ссылаясь на метки времени коммитов в часовом поясе GMT+9.'Threat actors simply need to take a legitimate bare-bone project and fix it up with a malicious dependency and it is ready to be served to targets.' — ReversingLabs, via BleepingComputer
Шаблон расползается
Инженерами он уже не ограничивается. В июле 2026 года аналитик Team Cymru Уилл Томас задокументировал кампанию, имитировавшую более 30 потребительских брендов — Adobe, Netflix, Coca-Cola, OpenAI, авиакомпании и гостиничные группы, — с фальшивыми письмами от рекрутеров, нацеленными на специалистов по маркетингу. Страницы призывают соискателя войти через Google, чтобы назначить собеседование, а затем отрисовывают прямо на странице убедительный поддельный экран входа Google — технику browser-in-the-browser — чтобы перехватить учётные данные. Механика отличается от случаев с вредоносным ПО: здесь приз — аккаунт, а не рабочая станция, но сценарий тот же, что в мошенничестве с фальшивыми ссылками отслеживания: придумать небольшое правдоподобное препятствие и дать цели повод нажать.Признаки
Несколько деталей повторяются почти в каждом задокументированном случае:- Рекрутер, который быстро подталкивает к заданию по коду и даёт репозиторий для локального запуска вместо размещённой песочницы или живой сессии парного программирования.
- Проект npm или PyPI, зависимости которого нельзя назвать и проверить, или пакет, бывший чистым до последней версии.
- Сайт собеседования, который запрашивает доступ к камере или микрофону, сообщает о блокировке устройства и предлагает «исправление» в виде вставки команды в терминал.
- Предложение редактора «доверять автору» склонированного репозитория или инструкции по установке, заканчивающиеся «вставьте это в вашу оболочку».
- Профиль рекрутера, который не сходится с настоящей карьерной страницей компании или вторым независимым каналом.