ReversingLabs есть интересный отчет, который вышел еще в феврале. В этом отчете описана вредоносная компания "Veltrix Capital" с фейковыми собеседованиями, направленная на программистов. Речь пойдет о продуманной и очень хорошо подготовленной схеме, когда жертве предлагают пройти собеседование и направляют тестовое задание, содержащее вредоносный код.• Атакующие реализовали собственный веб-сайт, регулярно обновляли аккаунты в соцсетях, а также собственный репозиторий в GitHub. Все "вакансии" от имени несуществующей компании публиковались на LinkedIn и в профильных сообществах на Reddit. Некоторым жертвам предложения рассылались лично, причем, вероятно, для этого нанимались настоящие рекрутеры-фрилансеры. Сами вакансии выглядели максимально правдоподобно, с щедрыми, но реалистичными окладами.
• В случае отклика кандидата ему присылали ссылку на тестовое задание, размещенное на GitHub фейковой компании. Там были выложены варианты кода на Python и JavaScript. Они не содержали собственно вредоносного кода, но он подключался в виде зависимости (библиотеки в репозиторий npm или PyPI). От кандидатов требовалось "запустить, отладить и улучшить" предложенный код...
• Реальной целью атакующих было выполнение вредоносного кода на компьютере жертвы. На скриншоте выше показано, что в качестве одной из зависимостей используется пакет
graphnetworkx, который мимикрирует сразу под две популярных библиотеки - graphlib и networkx в репозитории PyPI. Выполнение этого кода приводило к загрузке троянской программы, которая на регулярной основе обращалась к командному серверу и выполняла полученные оттуда команды. Набор вредоносных фич был стандартный: создание и отправка списка запущенных программ и информации о системе, отправка атакующим произвольных файлов, загрузка файлов с командного сервера и так далее.➡ https://www.reversinglabs.com/fake-recruiter
#Исследование