Enfekte eden iş görüşmesi: sahte işe alım uzmanları, kod testleri ve yapıştırılan komutlar
Örüntü yıllar ve kurbanlar boyunca tekrarlanıyor: inandırıcı bir işe alım uzmanı temas kuruyor, bir kod testi geliyor ve projeyi çalıştırmak zararlı yazılımı kuruyor. Kaspersky, Microsoft, ESET ve ReversingLabs bu örüntünün savunma sektörü çalışanlarını, nükleer alanla ilgili bir kurumun personelini, kripto geliştiricilerini ve sıradan iş arayanları hedefleyen çeşitlerini belgeledi. İşe alım çerçevesi, hedefe iş gibi görünen bir şey yaptırdığı için — bir proje çalıştırmak, bir görüşmeye katılmak, kamera hatasını düzeltmek — işi isteyen birine reddetmek pahalı geldiği için işliyor.
Operation DreamJob: casusluk kolu
Kaspersky'nin Aralık 2024 raporu, Lazarus'un LinkedIn, Telegram ve WhatsApp'taki sahte işe alım uzmanı profilleri üzerinden çalışanlara ulaştığını, tanınmış havacılık-uzay ve savunma şirketlerindeki BT pozisyonları için yetkinlik değerlendirmeleri teklif ettiğini anlatıyor. Hedefler — bir durumda nükleer alanla ilgili bir kurumun en az iki çalışanı — trojenleştirilmiş VNC araçları içeren ISO arşivleri alıyor ve sözde test için bir IP adresine bağlanmaları söyleniyordu. Onun yerine çalışan, araştırmacıların MISTPEN, CookieTime ve eklenti tabanlı indirici CookiePlus olarak izlediği aşamalı araç setiydi; CookiePlus bir Notepad++ eklentisi kılığında. Kaspersky bu kampanyanın Operation DreamJob olarak da anıldığını belirtiyor.Geliştiricilere yönelik sahte teknik görüşmeler
Daha iyi belgelenmiş kol yazılım geliştiricileri, özellikle kripto ve Web3 alanını hedefliyor. Microsoft'un Threat Intelligence ekibi Mart 2026'da yayımladığı yazıda, Contagious Interview kampanyasını — en az Aralık 2022'den beri etkin — tanımlıyor: saldırganlar kripto ticaret firmalarının veya yapay zekâ çözüm sağlayıcılarının işe alım uzmanı kılığına girip adaylardan GitHub, GitLab veya Bitbucket'tan bir npm paketi klonlayıp çalıştırmalarını istiyor. Daha yeni bir varyant Visual Studio Code'u kötüye kullanıyor: depoyu açmak, 'depo yazarına güven' istemini tetikliyor; bu da projenin görev yapılandırmasını otomatik çalıştırıp arka kapıyı indiriyor. ESET aynı kümeyi DeceptiveDevelopment olarak izliyor ve sahte görüşme sitelerinin kamera hilesini nasıl işlettğini belgelendiriyor. Site adayı uzun bir başvuru formundan geçiriyor, sonra video kaydı istiyor. Kamera erişimi isteniyor ama hiç gerçekten kullanılmıyor; bunun yerine bir hata, mikrofon ve kameranın engellendiğini bildirip faydalı bir 'How to fix' bağlantısı sunuyor — bağlantı, kurbanı zararlı yazılımı indirip çalıştıran bir terminal komutu yapıştırmaya yönlendiriyor. Bu yemlerin ardındaki payload aileleri çapraz platform: cüzdanları ve tarayıcı verilerini hedefleyen JavaScript tabanlı infostealer BeaverTail; AnyDesk modüllü Python uzaktan erişim aracı InvisibleFerret; OtterCookie; ve kurbanın derlemesi istenen kaynak kod olarak teslim edilen Go tabanlı WeaselStore.npm ve PyPI'da kod testleri
Tedarik zinciri araştırmacıları aynı ekonomiyi öbür taraftan görüyor. BleepingComputer Şubat 2026'da ReversingLabs'ın Graphalgo adlı paket setine dair bulgularını aktardı: meşru 'graph' paketlerini taklit eden ve GitHub'daki diğer yönüyle temiz kod testi depolarına ekilen 192 kötü amaçlı npm ve PyPI kütüphanesi. Paketler, bir sürüm güncellemesi uzaktan erişimli bir trojen ekleyene dek zararsız kaldı, sonra değişimi gizlemek için çabucak kullanımdan kaldırıldı — bigmathutils adlı örnek, kötü amaçlı sürümünden önce 10.000 civarı indirme toplamıştı. RAT, MetaMask tarayıcı eklentisini kontrol ediyor, dosya sızdırıyor ve kontrol sunucusundan komut çalıştırıyor; ReversingLabs bu sunucunun token ile korunduğunu belirtiyor. Araştırmacılar kampanyayı GMT+9 saat dilimindeki commit zaman damgalarına dayanarak orta-yüksek güvenle Lazarus'a atfediyor.'Threat actors simply need to take a legitimate bare-bone project and fix it up with a malicious dependency and it is ready to be served to targets.' — ReversingLabs, via BleepingComputer
Kalıp yayılıyor
Artık mühendislerde durmuyor. Temmuz 2026'da Team Cymru analisti Will Thomas, 30'dan fazla tüketici markasını taklit eden bir kampanyayı belgeledi — Adobe, Netflix, Coca-Cola, OpenAI, havayolları ve otel grupları aralarında —, pazarlama profesyonellerini hedefleyen sahte işe alım uzmanı e-postalarıyla. Açılış sayfaları adaydan görüşme ayarlamak için Google ile oturum açmasını istiyor, sonra sayfanın içinde ikna edici sahte bir Google oturum açma ekranı çiziyor — browser-in-the-browser tekniği — kimlik bilgilerini ele geçirmek için. Mekanik malware vakalarından farklı, çünkü burada ödül bir iş istasyonu değil bir hesap; ama senaryo sahte takip bağlantısı dolandırıcılıkları ile aynı: küçük, inandırıcı bir engel uydurup hedefe tıklamak için bir neden vermek.Kırmızı bayraklar
Birkaç ayrıntı neredeyse her belgelenmiş vakada yeniden karşımıza çıkıyor:- Hızla bir kod görevine iten ve barındırılan bir kum havuzu ya da canlı bir çift programlama oturumu yerine yerel çalıştırılacak bir depo veren işe alım uzmanı.
- Bağımlılıklarını adlandıramadığınız veya denetleyemediğiniz bir npm ya da PyPI projesi; ya da son sürümüne dek temiz olan bir paket.
- Kamera veya mikrofon erişimi isteyen, cihazın engellendiğini bildiren ve terminale bir komut yapıştırmaktan ibaret bir 'çözüm' sunan görüşme sitesi.
- Klonlanmış bir deponun 'yazarına güvenme' istemi veya 'bunu kabuğunuza yapıştırın' diye biten kurulum adımları.
- Şirketin gerçek kariyer sayfasıyla ya da ikinci bağımsız bir kanalla doğrulanamayan işe alım uzmanı profili.