Atenție la ofertele de job de pe LinkedIn. Hackerii se dau recrutori și trimit teste care fură date

O ofertă de angajare primită pe LinkedIn poate ascunde mai mult decât o oportunitate profesională. O grupare de hackeri a început să contacteze ingineri software din domeniul aviației și al tehnologiei financiare, prezentându-se drept recrutori ai unor companii mari.

Un anunț de angajare pe LinkedIn poate ascunde o capcană întinsă de un hacker Foto: Profimedia

Potrivit celei mai recente analize realizată de specialiști în securitate cibernetică, candidații sunt invitați să rezolve un test de programare, dar fișierul pe care îl descarcă ascunde un program care le poate oferi atacatorilor acces la calculator.

Totul începe cu un mesaj de la un recrutor

Atacul începe într-un loc în care mulți profesioniști sunt obișnuiți să primească astfel de mesaje: LinkedIn.

Hackerii își construiesc profiluri care par să aparțină unor specialiști în recrutare și contactează ingineri software care lucrează în special în aviație și tehnologie financiară, se arată în raport. Mesajul este unul familiar: există o oportunitate de angajare, iar candidatul este invitat să treacă printr-o evaluare tehnică.

La prima vedere, nimic nu pare neobișnuit. Candidatul primește apoi un link pentru a descărca un test de programare. Fișierul este găzduit pe un serviciu legitim de stocare online al Amazon, ceea ce poate contribui la impresia că este vorba despre un material trimis în cadrul unui proces normal de recrutare.

Apoi apare un element menit să grăbească lucrurile: candidatul are la dispoziție între una și trei ore pentru a finaliza testul.

Presiunea timpului face parte din înșelătorie

Graba nu este întâmplătoare. Candidatul este avertizat și să nu folosească asistenți de programare bazați pe inteligență artificială.

Într-un proces real de recrutare, o astfel de cerință poate părea perfect plauzibilă. În acest caz însă, are un rol suplimentar: împiedică victima să folosească un instrument care ar putea identifica elementele suspecte ascunse în fișierele testului.

Astfel, persoana care primește testul este pusă într-o situație foarte simplă: are puțin timp la dispoziție și trebuie să se concentreze asupra exercițiului.

Descarcă fișierul, îl deschide și începe să lucreze.

În acel moment începe, de fapt, atacul.

În timp ce candidatul rezolvă exercițiile, programul ascuns poate începe să funcționeze pe calculator fără ca acesta să-și dea seama.

„Testul de programare” deschide ușa către calculator

Gruparea din spatele atacurilor, Mirage Kitten, și-a schimbat în același timp și instrumentele folosite pentru a infecta calculatoarele.

Cercetătorii au identificat două programe noi, numite NodeRabbit și PollCat. Ambele pot permite accesul de la distanță la calculatorul victimei.

În termeni simpli, atacatorii pot ajunge să controleze anumite funcții ale sistemului, să caute informații și să transmită date către exterior.

NodeRabbit este ascuns în pachete de software care pot părea normale pentru un programator. După instalare, încearcă să rămână pe calculator și după ce victima închide sau repornește sistemul.

Pentru asta, atacatorii folosesc inclusiv instrumentele pe care dezvoltatorii le utilizează în mod obișnuit pentru a scrie cod.

De exemplu, pot instala extensii false în Visual Studio Code, unul dintre cele mai populare programe folosite de programatori. În alte situații, pot modifica fișierele locale ale proiectelor la care lucrează dezvoltatorul, astfel încât programul malițios să pornească din nou atunci când acesta își salvează sau actualizează codul.

Cu alte cuvinte, atacatorii încearcă să ascundă programul printre activitățile obișnuite ale victimei.

O parolă trimisă de „recrutor” declanșează atacul

PollCat folosește o altă metodă. Candidatul primește o parolă de unică folosință de la presupusul recrutor și este rugat să o introducă pentru a putea deschide testul.

Și aici totul pare să facă parte din procesul de recrutare.

În realitate, după introducerea parolei, programul începe să caute informații despre calculator și fișierele de pe acesta. Verifică directoare și transmite date către atacatori.

Este o abordare care exploatează un comportament foarte obișnuit: atunci când cineva participă la un proces de angajare, este tentat să urmeze instrucțiunile primite pentru a nu pierde oportunitatea.

De ce sunt vizați programatorii

Alegerea victimelor este legată și de tipul de acces pe care îl au dezvoltatorii în cadrul companiilor.

Un inginer software poate avea acces la proiecte, cod, instrumente interne și alte resurse importante pentru organizația în care lucrează.

În plus, instalarea unor programe și pachete noi face parte din activitatea lor obișnuită. Un test de programare pare, prin urmare, mai puțin suspect decât un fișier complet necunoscut trimis prin e-mail.

„Dezvoltatorii dețin de obicei privilegii de acces ridicate în rețelele companiilor, ceea ce îi face o țintă extrem de valoroasă pentru operațiunile avansate de spionaj cibernetic”, spune Omar Amin, expert în securitate în cadrul GReAT.

Hackerii nu mai țintesc doar Windows

Un alt detaliu important al noii campanii este schimbarea instrumentelor folosite de grupare.

Până acum, Mirage Kitten folosea în principal programe concepute pentru calculatoare cu Windows. Noile instrumente sunt construite astfel încât să poată funcționa și pe macOS și Linux.

Pentru victime, acest lucru înseamnă că sistemul de operare nu mai reprezintă aceeași barieră pentru atacatori.

Cercetătorii au identificat programele malițioase în atacuri care au vizat în principal sectoarele aviației și tehnologiei financiare din Egipt, Etiopia și Afganistan. Au fost găsite însă și în Germania, Turcia, Israel, India și Irlanda.

O înșelătorie construită să pară cât mai normală

Povestea este construită din elemente pe care un profesionist le poate întâlni în mod normal.

Un mesaj pe LinkedIn. Un recrutor. O companie cunoscută. Un test de programare. Un termen-limită. O parolă pentru accesarea testului.

Niciunul dintre aceste lucruri nu este, în sine, neobișnuit.

Problema apare atunci când toate sunt folosite pentru a determina victima să descarce și să deschidă un fișier compromis.

„Este un exemplu clar al modului în care atacatorii se adaptează la rutina profesională a victimelor”, arată analiza Kaspersky asupra campaniei.

În cazul de față, nu curiozitatea sau promisiunea unor bani rapizi este exploatată, ci dorința unei persoane de a obține un loc de muncă. Iar tocmai pentru că scenariul seamănă atât de mult cu un proces real de recrutare, capcana poate fi mai greu de observat.