Співбесіда, яка заражає: фальшиві рекрутери, тестові завдання та вставлені команди
Схема повторюється роками і від жертви до жертви: на контакт виходить правдоподібний рекрутер, слід тестове завдання, а запуск проєкту встановлює шкідливе ПЗ. Kaspersky, Microsoft, ESET і ReversingLabs описали його варіанти, націлені на працівників оборонної галузі, персонал організації ядерного профілю, крипторозробників і звичайних шукачів роботи. Рамка рекрутингу працює тому, що просить ціль зробити щось схоже на роботу — запустити проєкт, приєднатися до дзвінка, виправити помилку камери, — а відмова видається дорогою тому, хто хоче отримати посаду.
Operation DreamJob: шпигунське відгалуження
У грудневому звіті 2024 року Kaspersky описує, як Lazarus виходив на працівників через фальшиві профілі рекрутерів у LinkedIn, Telegram і WhatsApp, пропонуючи оцінні завдання на IT-позиції в відомих аерокосмічних і оборонних компаніях. Цілі — в одному випадку щонайменше двоє співробітників організації, пов'язаної з ядерною сферою, — отримували ISO-архіви з троянізованими утилітами VNC та вказівку під'єднатися до IP-адреси для удаваного тесту. Замість нього запускався багатоступеневий набір інструментів, який дослідники відстежують як MISTPEN, CookieTime і плагінний завантажувач CookiePlus — останній замаскований під плагін Notepad++. Kaspersky зазначає, що цю кампанію також називають Operation DreamJob.Фальшиві технічні співбесіди для розробників
Краще задокументована гілка націлена на розробників ПЗ, особливо в крипто- та Web3-сфері. Команда Threat Intelligence Microsoft у матеріалі березня 2026 року описує кампанію Contagious Interview — активну щонайменше з грудня 2022 року, — у якій зловмисники видають себе за рекрутерів криптотрейдингових фірм або постачальників ШІ-рішень і просять кандидатів склонувати та запустити npm-пакет із GitHub, GitLab чи Bitbucket. Новіший варіант зловживає Visual Studio Code: відкриття репозиторію викликає запит «довіряти автору репозиторію», який автоматично виконує конфігурацію завдань проєкту й підтягує бекдор. ESET відстежує той самий кластер під іменем DeceptiveDevelopment і описує, як влаштований трюк із камерою на підроблених сайтах співбесід. Сайт проводить шукача крізь довгу анкету, потім просить записати відео. Доступ до камери запитується, але насправді не використовується; натомість помилка повідомляє, що мікрофон і камеру заблоковано, і пропонує корисне посилання «How to fix» — яке велить жертві вставити в термінал команду, що завантажує та запускає шкідливе ПЗ. Сімейства корисного навантаження за цими приманками кросплатформні: BeaverTail — JavaScript-інфостилер для гаманців і даних браузера; InvisibleFerret — Python-інструмент віддаленого доступу з модулем AnyDesk; OtterCookie; і заснований на Go WeaselStore, який доставляється вихідним кодом, жертву просять його скомпілювати.Тестові завдання на npm і PyPI
Дослідники програмного ланцюга постачання бачать ту саму економіку з іншого боку. У лютому 2026 року BleepingComputer розповів про знахідки ReversingLabs у наборі пакетів на прізвисько Graphalgo: 192 шкідливі бібліотеки npm і PyPI, що імітували легітимні пакети з «graph» в імені й були посіяні в чисті репозиторії з тестовими завданнями на GitHub. Пакети залишалися нешкідливими, доки чергова версія не додавала троян віддаленого доступу, після чого їх швидко позначали застарілими, щоб приховати підміну — один приклад, bigmathutils, набрав близько 10 000 завантажень до свого шкідливого релізу. RAT перевіряє наявність браузерного розширення MetaMask, викрадає файли та виконує команди зі свого керуючого сервера, який, за словами ReversingLabs, захищений токеном. Дослідники пов'язують кампанію з Lazarus із середньою та вище впевненістю, посилаючись на мітки часу комітів у часовому поясі GMT+9.'Threat actors simply need to take a legitimate bare-bone project and fix it up with a malicious dependency and it is ready to be served to targets.' — ReversingLabs, via BleepingComputer
Шаблон розповзається
Інженерами він уже не обмежується. У липні 2026 року аналітик Team Cymru Вілл Томас задокументував кампанію, що імітувала понад 30 споживчих брендів — Adobe, Netflix, Coca-Cola, OpenAI, авіакомпанії та готельні групи, — із фальшивими листами від рекрутерів, націленими на фахівців із маркетингу. Сторінки просять шукача увійти через Google, щоб призначити співбесіду, а потім відмальовують просто на сторінці переконливий підробний екран входу Google — техніку browser-in-the-browser — щоб перехопити облікові дані. Механіка відрізняється від випадків зі шкідливим ПЗ: тут приз — акаунт, а не робоча станція, але сценарій той самий, що й у шахрайстві з фальшивими посиланнями відстеження: придумати невелику правдоподібну перешкоду і дати цілі привід натиснути.Тривожні ознаки
Кілька деталей повторюються майже в кожному задокументованому випадку:- Рекрутер, який швидко підштовхує до завдання з кодом і дає репозиторій для локального запуску замість розміщеної пісочниці або живої сесії парного програмування.
- Проєкт npm чи PyPI, залежності якого не можна назвати й перевірити, або пакет, чистий аж до останньої версії.
- Сайт співбесіди, який запитує доступ до камери чи мікрофона, повідомляє про заблокований пристрій і пропонує «виправлення» у вигляді вставлення команди в термінал.
- Запит редактора «довіряти автору» склонованого репозиторію або інструкції зі встановлення, що закінчуються «вставте це у вашу оболонку».
- Профіль рекрутера, що не збігається зі справжньою кар'єрною сторінкою компанії чи другим незалежним каналом.