Un test tehnic primit în timpul recrutării poate conține mai mult decât cod care trebuie corectat. Kaspersky a documentat NodeRabbit și PollCat, două familii de malware multiplatformă livrate în arhive prezentate drept coding challenges. Cercetătorii spun că persoanele vizate erau abordate prin identități de recrutor pe LinkedIn și alte platforme de joburi, apoi convinse să ruleze proiectul pe propriul calculator.
Ce au observat cercetătorii
Kaspersky spune că a identificat prima mostră NodeRabbit pe un sistem din Afganistan și variante în Egipt și Etiopia. Arhiva analizată imita un proiect de management al activităților și îi cerea candidatului să repare interfața într-un termen scurt, fără să modifice componenta de server. Codul rău intenționat se afla tocmai în acea zonă, într-un pachet inclus local în proiect. PollCat a fost distribuit printr-un alt test limitat în timp, însoțit de instrucțiuni și de un cod OTP furnizat de atacator.
Ambele instrumente sunt descrise drept troieni de acces la distanță care pot funcționa pe Windows, Linux și macOS. Cercetarea arată capabilități de executare a comenzilor, manipulare și transfer de fișiere, colectare de informații despre sistem și persistență. Unele variante încearcă inclusiv să imite o extensie Visual Studio Code sau să introducă un mecanism de lansare în hook-urile Git. Aceste detalii contează pentru apărare: un proiect compromis poate continua să afecteze stația și alte depozite după închiderea evaluării.
De ce scenariul trece de reflexele obișnuite anti-phishing
Fișierul nu pretinde că este o factură sau un document aleatoriu. El se potrivește cu activitatea normală a unui dezvoltator: descărcarea unui proiect, instalarea dependențelor și pornirea aplicației. Presiunea vine din termenul scurt, din promisiunea jobului și din instrucțiunea de a nu inspecta ori modifica anumite componente. Un antivirus poate ajuta, dar decizia de a rula cod necunoscut pe o stație cu credențiale, chei și depozite locale rămâne o frontieră importantă.
- Un recrutor nou cere descărcarea unei arhive sau a unui depozit dintr-o sursă care nu aparține companiei declarate.
- Evaluarea trebuie pornită urgent, iar verificarea identității ori folosirea unui mediu controlat este descurajată.
- Instrucțiunile interzic inspectarea serverului, a scripturilor de pornire, a dependențelor sau a altor zone care execută cod.
- Proiectul conține pachete deja incluse, extensii, scripturi sau binare care nu sunt explicate de cerința exercițiului.
- Candidatul trebuie să introducă un cod furnizat de recrutor pentru a continua, deși codul nu dovedește că proiectul este sigur.
- Persoana insistă ca testul să fie rulat pe calculatorul curent și evită o platformă de evaluare cunoscută ori un mediu oferit de companie.
Protocol sigur pentru candidați și angajați
- Verifică postul pe site-ul oficial și contactează compania folosind o adresă sau un număr găsit independent, nu datele din conversația inițială.
- Întreabă în scris ce trebuie executat, ce acces la rețea este necesar și dacă organizația oferă un browser lab, un repository propriu sau o mașină virtuală de unică folosință.
- Nu folosi dispozitivul de serviciu fără aprobarea IT. Pe un dispozitiv personal, nu improviza un mediu dacă nu știi să îi limitezi rețeaua, clipboardul, folderele partajate și credențialele.
- Nu copia în proiect tokenuri, chei SSH, fișiere de configurare, date reale, cod al angajatorului actual sau credențiale pentru registre de pachete.
- Oprește-te și raportează dacă instrucțiunile cer dezactivarea protecției, privilegii administrative, rularea unui script neclar sau ignorarea unei alerte.
Ce trebuie să schimbe HR, recrutarea și managerii tehnici
Awareness-ul nu poate pune întreaga povară pe candidat. Companiile legitime trebuie să facă propriul proces ușor de recunoscut și greu de imitat. O pagină oficială cu etapele recrutării, domeniile folosite, politica pentru testele tehnice și un canal de verificare reduce spațiul în care un atacator poate inventa reguli credibile.
- HR publică domeniile și platformele autorizate și explică faptul că nu cere coduri MFA, chei, software de control la distanță sau acces la proiectele candidatului.
- Managerii tehnici furnizează o evaluare minimă, revizuită și semnată ori o rulează într-un sandbox controlat de organizație.
- IT definește o cale rapidă prin care un angajat poate cere analiza unui proiect primit în afara companiei fără a-l executa.
- SOC-ul corelează raportul uman cu procese Node.js neobișnuite, mecanisme noi de persistență și modificări neașteptate ale extensiilor ori hook-urilor Git.
- Comunicarea păstrează un mesaj verificabil pentru candidați când apare o identitate falsă care folosește marca organizației.
Dacă proiectul a fost deja rulat
Nu încerca să demonstrezi singur că fișierul este malware și nu șterge proiectul înainte de a primi instrucțiuni. O acțiune improvizată poate distruge dovezi sau poate lăsa persistența activă. Răspunsul trebuie adaptat dispozitivului și autorității pe care organizația o are asupra lui.
- Oprește activitatea și contactează imediat echipa de securitate printr-un dispozitiv sau canal cunoscut ca sigur.
- Urmează instrucțiunile pentru izolarea de rețea; nu reporni și nu șterge fișiere fără acordul echipei de răspuns.
- Păstrează conversația cu recrutorul, adresa profilului, arhiva originală și cronologia acțiunilor fără a le redistribui altor colegi.
- Identifică ce credențiale, depozite și servicii erau accesibile. Revocarea sesiunilor și rotația secretelor se fac dintr-un sistem curat și coordonat cu ownerii lor.
- Verifică și alte dispozitive sau conturi numai pe baza dovezilor și a procedurii de incident, nu prin presupunerea că toate au fost compromise.
Tabletop: o oră până la expirarea testului
Exercițiul trebuie să includă recrutare, HR, dezvoltatori, IT, SOC, juridic și comunicare. Pentru fiecare etapă cere o decizie, un owner, un termen și dovada care justifică acțiunea.
- Inject 1 — un dezvoltator primește pe LinkedIn un test tehnic cu termen de o oră și întreabă dacă îl poate rula pe laptopul de serviciu. Cine răspunde și prin ce regulă?
- Inject 2 — arhiva conține dependențe locale și instrucțiunea de a nu atinge serverul. Cum este analizată fără execuție pe stația utilizatorului?
- Inject 3 — candidatul spune că a pornit deja proiectul și a introdus codul primit. Ce izolezi, ce dovezi păstrezi și ce sesiuni revoci?
- Inject 4 — profilul folosește numele unei companii partenere, iar alți colegi au primit mesaje similare. Cine verifică identitatea și cine avertizează publicul țintă?
- Inject 5 — nu există încă o detecție antivirus. Ce alte dovezi sunt suficiente pentru escaladare și când poate reveni dispozitivul în utilizare?
Ce măsori după exercițiu
- Timpul până la verificarea recrutorului printr-un canal independent.
- Procentul participanților care refuză să execute proiectul pe dispozitivul personal sau de serviciu.
- Timpul până la izolarea stației și revocarea sesiunilor după raportarea execuției.
- Procentul echipelor de recrutare care publică o politică verificabilă pentru evaluările tehnice.
- Numărul depozitelor, tokenurilor și cheilor expuse indirect pe stațiile de dezvoltare și planul de reducere a lor.
- Calitatea raportului: profil, canal, fișier, moment, acțiuni efectuate și persoane care au primit același mesaj.
Acest caz nu cere eliminarea testelor tehnice și nici suspiciune față de orice recrutor. Cere o frontieră clară între evaluarea competenței și execuția de cod necunoscut. Când procesul oficial, mediul izolat și canalul de raportare sunt ușor de folosit, urgența și autoritatea falsă pierd mare parte din putere.