Falsk jobtilbud og fjerninterviewsvindel: Nordkoreanske Lazarus BeaverTail npm Repo Malware, falske udstyrstjek og identitetslåsning¶

At indse lige midt i en ekstern jobsamtale eller onboarding-proces, at "rekrutteren" eller "ansættelseschefen" kører en sofistikeret cyber- eller finansfælde, er en nødsituation med to fronter. Nutidens fjernjobsvindel opdeles i to meget destruktive operationer identificeret af FBI, CISA og globale cyberbureauer: (1) Softwareudvikler og Crypto "Coding Assessment" Malware (Contagious Interview / DPRK Lazarus Group BeaverTail & InvisibleFerret), hvor en rekrutterer på LinkedIn, Upwork eller Telegram beder en softwareingeniør eller Web3/AI-kandidat om at klone et GitHub-, GitLab- eller Bitbucket-lager og køre npm install && npm start (eller en Python/Docker-bygning) på deres primære bærbare computer for at "rette en fejl før live-interviewet," uden at udføre en info-tyver, der eksfiltrerer hver browsersessions-cookie, adgangskodehåndteringsboks, .ssh nøgle, .env fil og cryptocurrency tegnebog på under 5 sekunder; og (2) Falsk check "hjemmekontorudstyr" og genforsendelse af muldyrsvindel, hvor en efterlignet virksomhed udfører et sms-/teaminterview, sender en forfalskning via e-mail $2,500 to $5,000 se efter "MacBook Pro og hjemmekontoropsætning", og instruerer dig i at mobilindbetale checken og sende $2,200 via Zelle, Venmo, wire eller gavekort til deres "godkendte it-udstyrsleverandør", inden checken hopper dage senere. For onboarding af SSN/I-9 identitetstyveri og generel kontrolsvindel, se falsk jobtilbud-svindel, svindel med udstyrstjek og identitetstyveri ombord; for npm/PyPI-pakkenøglerotation og browser-cookietyveri, konsulter forsyningskæde npm/PyPI-pakkekompromis og nøglerotation til udviklerarbejdsstation og sessions-cookiekapring, infostealer-malware og tilbagekaldelse af adgangsnøgle. Hvis du står over for øjeblikkelig fysisk tvang, trusler eller en personlig kurerkonfrontation, skal du ringe til dit lokale alarmnummer (911 i USA og Canada, 112 i hele EU, 999 i Det Forenede Kongerige) eller tjek vores oversigt over alarmnumre.

Gør dette nu¶

1. HVIS DU LØB npm install, npm test, yarn, pip install, eller en falsk Zoom/Teams/Miro .dmg/.exe til en jobsamtale: AFBRYD DIN COMPUTER FRA WI-FI OG ETHERNET INDEN FOR 3 SEKUNDER:
2. Træk i Ethernet-kablet, eller sluk Wi-Fi OFF med det samme.
3. Den BeaverTail JavaScript/Node.js nyttelast downloader et bærbart Python-miljø (-/.npl eller %UserProfile%\.pyp) og starter InvisibleFerret bagdør, som forbinder til en kommando-og-kontrol (C2) server (:1224 / :1244) streamer dine tastetryk, udklipsholder og filsystem live.
4. Brug en separat, ren smartphone (iPhone eller Android på mobildata) for at evakuere alle cryptocurrency tegnebøger og tilbagekalde hver aktiv browsersession (Google, GitHub, AWS, Microsoft, Apple):
5. BeaverTail mål MetaMask, Phantom, Rabby, Coinbase Wallet, Trust Wallet, Exodus, Electrum og Solana CLI (-/.config/solana/id.json) vault-filer sammen med Login Data og Cookies fra Chrome, Brave, Edge, Arc og Firefox, plus din macOS login.keychain-db.
6. Fra en ren enhed, overfør eventuelle kryptoaktiver på hot wallets til et helt nyt hardware wallet-seed, tilbagekald alle aktive websessioner i Google (myaccount.google.com/security), GitHub (github.com/settings/sessions), og AWS/Cloud-konsoller, og slet dine kompromitterede SSH- og GPG-nøgler fra GitHub/GitLab.
7. HVIS DU HAR DEPOSERET EN KONTROL AF "HJEMMEKONTORUDSTYR" FRA EN ARBEJDSGIVER: SEND IKKE EN ENKEL DOLLAR TIL NOGEN "LEVERANDØR", OG RING DIN BANKS SVIG AFDELING STRAKS:
8. Også selvom din bankapp viser $3,500 tjek som "Tilgængelig saldo / frigivet midler," at pengene IKKE er udlignet. Under US Federal Reserve Regulation CC (Expedited Funds Availability Act), skal banker gøre checkindskud foreløbigt tilgængelige inden for 1 to 2 business days, hvorimod det tager ** at opdage, at checkens routing/kontonummer er forfalsket5 to 14 business days**.
9. Ring til nummeret på bagsiden af dit betalingskort og rapporter: "Jeg blev ramt af et svindelnummer med jobcheck og indsatte ubevidst en formodet falsk check. Marker venligst indbetalingen, så min konto ikke er lukket for bedrageri."
10. HVIS DU ALLEREDE SENDTE ZELLE-, VENMO-, WIRE- ELLER BITCOIN ATM-midler TIL "UDSTYRSLEJØREN": Ring straks til din banks svindel-/tilbagekaldelsesskranke (anmod om ledninger med det samme SWIFT / Fedwire Recall og FBI IC3 Recovery Asset Team fryse; for Zelle/Hurtigere betalinger, rapporter en Autoriseret Push-betaling (APP) beskæftigelsesefterligning scam under autoriseret push-betalingsappsvindel og refusionsrettigheder).
11. HVIS DU UPLOADDE DIT SSN, PAS, KØREKORT, W-4, I-9 ELLER DIREKTE DEPOSITUMSBANKS ROUTINGNUMMER: Sæt en kreditfrys på Equifax, Experian og TransUnion, frys ChexSystems, lås dit SSN på myE-Verifymyeverify.uscis.gov), og bed din bank om at lukke det synlige checkkontonummer og åbne et erstatningskontonummer.
12. HVIS DU ACCEPTEDE ET "PAKKEINSPEKTION / LOGISTIKKOORDINATOR" JOB MED MODTAGELSE OG GENAFSENDELSE AF PAKKER HJEMfra: STOP STRAKS FORSENDELSE AF PAKKER: Disse elektronik (iPhones, MacBooks, camera lenses) blev købt med stjålne kreditkort og sendt til din hjemmeadresse (Parcel Mule Scam). Gem alle forsendelsesetiketter og chatlogfiler, og kontakt det lokale politi eller US Postal Inspection Service (USPIS).

Beslutningstræ: fjernsamtale og falsk job-nødtriage¶

Brug dette rutediagram til at springe direkte til indeslutningsprotokollen, der matcher den nøjagtige jobsvindelvariant, du stødte på:

flowchart TD
    Start["Nødsituation: Mistænkt falsk jobsamtale, kodningstest eller onboarding-svindel"] --> ScamType{"Hvad bad 'Rekruttereren' eller 'Arbejdsgiveren' dig om at gøre?"}

    ScamType -->|"1. Klon en Git Repo & kør npm / Python / Docker ELLER installer en tilpasset videoopkaldsapp"| DevTrap["KRITISK: DPRK Contagious Interview (BeaverTail / InvisibleFerret) Info-Stealer"]

    ScamType -->|"2. Indbetal en check (PDF/Mail) og send penge til en 'godkendt udstyrsleverandør'"| CheckTrap["Falsk check-overbetalingssvindel: Foreløbigt krediteret check vil hoppe om 5-14 dage"]

    ScamType -->|"3. Udfyldte I-9 / W-4 / SSN / Pas / Direkte indbetalingsformular før opdagelse af fidus"| IdTrap["Onboarding Identity & Payroll Tyveri: Freeze Credit, ChexSystems, IRS IP PIN, & Bank Account"]

    ScamType -->|"4. Modtag pakker derhjemme, inspicér dem og send igen med medfølgende etiketter ELLER betal 'opgave'-krypto"| MuleOrTask["Genforsendelse af pakkemule ELLER 'App Optimization' Crypto Task Scam"]

    DevTrap --> CutNet["1. Sluk Wi-Fi / Tag Ethernet stikket ud med det samme på Developer Workstation"]
    CutNet --> EvacPhone["2. På ren telefon: Flyt kryptoaktiver + tilbagekald Google/GitHub/AWS-sessioner + Roter SSH-nøgler"]
    EvacPhone -->ForensicClean["3. Undersøg -/.npl, -/.pyp, package.json og browserprofiler -> Slet og geninstaller OS rent"]

    CheckTrap --> SentMoney{"Har du allerede sendt penge til 'udstyrsleverandøren'?"}
    SentMoney -->|"Nej: Check indbetalt, $0 sendt ud"| WarnBank["Rør IKKE ved midlerne -> Ring straks til banksvindelafdelingen for at markere uvidende dårlig checkindbetaling"]
    SentMoney -->|"Ja: Sendt via Zelle / Wire / Crypto / Gavekort"| RecallFunds["Ring straks til bankoverførsel/svindelskranke -> Dæk negativ kassekredit før check-afvisninger -> Fil IC3-rapport"]

    IdTrap --> LockCredit["Frys Equifax/Experian/TransUnion + ChexSystems -> Luk afsløret bankkontonummer -> Lock myE-Verify"]
    MuleOrTask --> StopShip["Stop genforsendelse af pakker og stop med at indbetale krypto -> Bevar fragtbreve og rapporter til USPIS / IC3"]

Fase 1: Sådan fungerer de to store fjernjob-fælder under motorhjelmen¶

Sammenlign den tekniske mekanik og rød-flag-indikatorer for de tre primære beskæftigelsesnødvektorer, der er aktive på verdensplan:

Fase 2: Nødberedskab for softwareudviklere (Contagious Interview / BeaverTail / InvisibleFerret)¶

Hvis du er en softwareudvikler, der klonede et lager fra en rekrutterer eller interviewer og løb npm install, npm start, yarn, pnpm, python, cargo, eller en eksekverbar på din Windows-, macOS- eller Linux-arbejdsstation, følg denne nøjagtige hændelsesreaktionssekvens baseret på Palo Alto Networks Unit 42, CrowdStrike og CISA/FBI trusselsefterretninger om den nordkoreanske Contagious Interview kampagne.

Trin 1: Forstå 2-stadiet BeaverTail -> InvisibleFerret Kill Chain på din disk¶

Hvordan inficerede et tilsyneladende normalt React/Node.js-lager din Mac eller pc uden at udløse en antivirus-popup?

+-------------------------------------------------------------------------+
| ANATOMY OF A CONTAGIOUS INTERVIEW (BEAVERTAIL) MALICIOUS REPO           |
|                                                                         |
| 1. The Decoy Repo (e.g., "mern-ecommerce-assessment" or "defi-dex-ui"): |
|    - 99% of the repo is real, working React/Express boilerplate code.   |
|    - Hidden at the very end of `server/routes/api/auth.js` or           |
|      `backend/controllers/userController.js` (often scrolled 300 spaces |
|      to the right on one line so you do not see it in VS Code) is an    |
|      obfuscated `eval(Buffer.from(...))` or `axios.get(...)` call.      |
|                                                                         |
| 2. Stage 1: BeaverTail (JavaScript Info-Stealer inside Node.js):        |
|    - Scans Chrome, Brave, Opera, Edge, Vivaldi (`Default` & `Profile N`)|
|      for `Login Data`, `Local Extension Settings` (MetaMask `nkbihfbeog`|
|      Phantom `bfnaelmome`, Rabby `acmacodkjb`), and Solana `id.json`.   |
|    - Uploads stolen vaults & cookies immediately to `http://<C2>:1224`. |
|                                                                         |
| 3. Stage 2: InvisibleFerret (Python Backdoor + AnyDesk Persistence):    |
|    - BeaverTail downloads a standalone portable Python 3.11 zip into    |
|      `~/.npl/` or `%UserProfile%\.pyp\` and runs `~/.npl/.pyp/python`   |
|      executing `~/.npl/main.py` (`InvisibleFerret`).                    |
|    - InvisibleFerret logs keystrokes, reads your clipboard, scans your  |
|      entire drive for `.env`, `.ssh`, `seed`, `mnemonic`, and silently  |
|      downloads/configures `AnyDesk` for full remote desktop control.    |
+-------------------------------------------------------------------------+

Trin 2: Tjek det nøjagtige BeaverTail og InvisibleFerret Indikatorer for kompromis (IoCs)¶

Mens din inficerede Mac-, Linux- eller Windows-computer er fuldstændig afbrudt fra Wi-Fi og Ethernet, skal du åbne en terminal (eller PowerShell) for at kontrollere, om Stage 2 (InvisibleFerret) blev tabt på din disk:

# On macOS or Linux (WITH WI-FI OFF):
ls -la ~/.npl ~/.pyp ~/.vscode
ps aux | grep -iE "npl|pyp|main\.py|anydesk|node"

# Search the cloned interview repository for hidden horizontal-scroll obfuscation or base64 evals:
grep -rnE "Buffer\.from|child_process|execSync|\.npl|\.pyp|:1224|:1244|nkbihfbeogaeaoehlefnkodbefgpgknn" /path/to/cloned/interview_repo/

# On Windows PowerShell (WITH WI-FI / ETHERNET OFF):
Get-ChildItem -Path $env:USERPROFILE -Force | Where-Object { $_.Name -match "^\.(npl|pyp)" }
Get-Process | Where-Object { $_.Path -match "npl|pyp|AnyDesk" }

Trin 3: Udfør 15-minutters udviklerlegitimations- og kryptoevakuering (fra en ren enhed)¶

Indtast ikke nye adgangskoder eller frøsætninger på den inficerede computer. Brug af en ren smartphone (iPhone / Android) eller en separat kompromisløs computer:

1. Evakuer alle Cryptocurrency Hot Wallets med det samme (Minutes 0 to 5):
2. Selvom din MetaMask, Phantom, Rabby eller Exodus tegnebog var låst med en adgangskode, BeaverTail uploadede din krypterede vault-fil (000003.log / LOCK / Local Extension Settings) og InvisibleFerret kører en keylogger/klippebordsskærm (og på macOS dukker en falsk indfødt op osascript adgangskodedialog, der beder om din Mac-systemadgangskode for at låse op login.keychain-db).
3. Opret en helt ny pung på din smartphone eller hardware-pung (Ledger / Trezor) med en splitterny 12/24-ords frøsætning og overfør 100 procent af dine tokens, NFT'er og indsatspositioner fra hver tegnebog, der nogensinde har rørt ved den computer.
4. Tilbagekald alle GitHub, GitLab, Bitbucket og Cloud (AWS / GCP / Azure / Vercel) legitimationsoplysninger (Minutes 5 to 10):
5. GitHub: Log ind på din telefon -> Indstillinger -> SSH- og GPG-nøgler -> Slet hver SSH-nøgle, der blev gemt i -/.ssh/ på den inficerede bærbare computer. Gå derefter til Indstillinger -> Udviklerindstillinger -> Personlige adgangstokens (tilbagekald alle tokens) og Indstillinger -> Sessioner -> Tilbagekald alle sessioner.
6. AWS / GCP / Cloud: Deaktiver øjeblikkeligt hver AWS_ACCESS_KEY_ID gemt i -/.aws/credentials eller inde i evt .env fil på den bærbare computer (InvisibleFerret gennemgår rekursivt hver projektmappe på dit drev for .env, .npmrc, .pypirc, kubeconfig, og id_rsa).
7. Hvis du havde arbejdsgiver- eller klientlager/nøgler på den bærbare computer: Giv besked til din arbejdsgivers sikkerhedsdriftscenter (SOC / CISO) med det samme, så de kan rotere virksomheden .env hemmeligheder og revisionsforpligtelser.
8. Tilbagekald alle browsersessioner (Google, Microsoft, Apple, Slack, Discord, Telegram) (Minutes 10 to 15):
9. Husk: Ændring af en adgangskode ugyldiggør ofte ikke stjålne sessionscookies, medmindre du udtrykkeligt klikker på "Log ud af alle enheder / Tilbagekald alle sessioner" i Google Security, Microsoft Account, Slack, Discord og X/Twitter.
10. Skift din Password Manager (1Password, Bitwarden, Keeper) hovedadgangskode og tilbagekald den inficerede bærbare computers autoriserede enhedstoken.
11. Slet og geninstaller operativsystemet på den inficerede arbejdsstation: Fordi InvisibleFerret installerer vedvarende baggrundsopgaver, ændrer browserbinære filer og dropper AnyDesk fjernadgang, blot at slette -/.npl og det klonede depot er utilstrækkeligt. Sikkerhedskopier kun almindelige dokument-/kildefiler (bekræftet rens med git status / git diff), udfør derefter en fuldstændig ren OS-sletning og geninstaller (macOS Erase All Content and Settings eller Windows USB ren partition sletning).

Fase 3: Nødberedskab for falsk "hjemmekontorudstyr" Tjek svindel¶

Hvis du blev tilbudt et fjernjob (Administrative Assistant, Data Entry, Customer Support, Project Coordinator, Graphic Designer), modtog en check (via e-mail PDF til udskrivning og mobil-indbetaling eller via FedEx/UPS natten over) for at købe en bærbar computer og hjemmekontorudstyr, og indsatte den på din bankkonto, er du i et kapløb mod Federal Reserve check clearing return window.

1. Hvorfor bankappen siger "Funds Tilgængelige" på en 100 % falsk check (The Regulation CC Float Trap)¶

+-------------------------------------------------------------------------+
| HOW THE FAKE "EQUIPMENT CHECK" FLOAT TRAP WORKS                         |
|                                                                         |
| Day 1 (Monday): You deposit the scammer's $3,500 "Equipment Check"      |
|                 using your bank's Mobile Deposit app.                   |
| Day 2 (Tuesday): Under US Federal Law (Regulation CC), your bank MUST   |
|                  release the funds within 1-2 business days. Your app   |
|                  now shows: "Available Balance: +$3,500.00".            |
| Day 2 (Tuesday PM): "Hiring Manager" tells you to Zelle/Wire $2,800     |
|                     immediately to their "Approved MacBook Vendor" so   |
|                     your laptop arrives by Friday.                      |
| Day 8 (Next Tuesday): The real corporate bank whose routing/account     |
|                       number was forged on the check rejects it as      |
|                       COUNTERFEIT / ALTERED (`Return Code R29 / Refer   |
|                       to Maker`).                                       |
| RESULT ON DAY 8:                                                        |
|   - Your bank claws back the full $3,500.00 from your balance.          |
|   - The $2,800 you sent via Zelle/Wire is gone forever.                 |
|   - Your account drops to -$2,800.00 overdraft, and your bank's risk    |
|     algorithm may freeze/close your account and report you to           |
|     ChexSystems as a check-fraud risk.                                  |
+-------------------------------------------------------------------------+

2. Trin-for-trin bankbeskyttelsesprotokol, hvis du indbetalte checken¶

Case A: Du indsatte checken, men du har IKKE sendt nogen penge til "leverandøren" endnu¶

Du har tabt $0 indtil videre, og du kan forhindre din bank i at lukke din konto, hvis du handler lige nu: 1. Undgå at hæve, bruge eller overføre en enkelt cent af de indbetalte checkmidler. Lad det fulde $3,500 sidder uberørt på kontoen, så når checken hopper i løbet af 5 til 10 hverdage, tilbagekræver banken sin egen foreløbige kredit rent med $0 overtræk. 2. Ring straks til din banks svindelafdeling (eller gå ind i en fysisk filial og tal med en filialleder): - Når en falsk check hopper lydløst uden forklaring, vil automatiserede bankrisikomotorer (Early Warning Services / ChexSystems) kan ikke fortælle, om du var svindleren eller et uskyldigt offer for jobsøgende. - Fortæl bankrepræsentanten tydeligt: "Jeg ansøgte om et fjernjob, og svindleren sendte mig en '$3.500'-udstyrscheck, som jeg har indbetalt på mobilen i dag. Jeg har lige indset, at det er et falsk jobtjek-svindel. Jeg har IKKE brugt eller overført en enkelt dollar af midlerne. Placer venligst en Svindel-seddel til offer for beskæftigelse på min profil, og tilbagefør/tilbagehold min konto, så min konto er ikke tilbagebetalt." - Bed banken om at give afkald på $15 to $35 Returnering af indbetalt varegebyr og bekræft, at din konto ikke vil blive markeret for lukning.

Case B: Du indsatte checken OG har allerede sendt penge (Zelle, Venmo, Wire, Cash App, Crypto, eller Gift Cards)¶

1. Ring til din banks svindelafdeling inden for 60 sekunder:
2. Rapportér begge sider af forbrydelsen: (a) den indgående checkindbetaling er en falsk ansættelsessvindelcheck, der vil afvise, og (b) den udgående Zelle/Venmo/Wire/ACH-overførsel blev fremkaldt af beskæftigelsessvindel.
3. Hvis du har sendt en bankoverførsel (Fedwire / SWIFT) inden for de sidste 24 til 72 timer: Kræv en øjeblikkelig tilbagekaldelse af svig (SWIFT MT192 / pacs.004) og indsend en hasterapport på ic3.gov så FBI's Recovery Asset Team (RAT) kan udstede en Financial Fraud Kill Chain (FFKC) fryse på den modtagende muldyrkonto.
4. Hvis du har sendt Zelle, Venmoeller Storbritannien Faster Payments: Indgiv en Autoriseret Push-betaling (APP) svindelkrav og anmod om den modtagende banks routing-/institutoplysninger (Zelle Network Fraud).
5. Hvis svindleren fortalte dig at købe Apple-, Razer Gold-, Steam- eller Target-gavekort: Ring straks til gavekortudstederens svindellinje med kvitteringens serienumre for at fryse enhver uindløst kortsaldo.
6. ** Forbered dig på $3,500 check clawback, så din konto ikke bliver negativ til ChexSystems charge-off**:
7. Når den falske $3,500 check afvisninger om 5 til 10 dage, vil din bank trække fra $3,500 fra din konto. Arbejd sammen med din banks svindelgenopretningsteam for at oprette en nulrente tilbagebetalingsplan for enhver negativ saldo inden dag 30, så banken ikke rapporterer en ufrivillig kontolukning til ChexSystems eller Early Warning Services (EWS).

Fase 4: Låsning af din identitet, hvis du har indsendt en I-9, W-4, SSN, pas eller direkte indbetalingsform¶

Falske rekrutterere sender næsten altid en "Onboarding-pakke" (Form W-4, Form I-9, Direct Deposit Authorization, og for-og-bagside-billeder af dit kørekort, pas eller socialsikringskort), før du springer ud af checken eller malware-fælden. Hvis du har sendt nogle af disse dokumenter, skal du udføre denne 5-trins identitetslåsning i dag:

1. Luk det synlige bankkontonummer (Direct Deposit formular): En formular til direkte indbetaling giver svindleren dit Bank Routing-nummer (ABA) og det fulde checkkontonummer plus en kopi af en annulleret check med din underskrift, som er alt det nødvendige for at udskrive falske papirchecks eller starte uautoriseret ACH Debit trækker fra din konto. Bed din bank om at lukke det kontonummer og flytte dine penge til et helt nyt internt kontonummer.
2. Placer en gratis kreditfrysning hos alle tre kreditbureauer:
3. Equifax (equifax.com/personal/credit-report-services/credit-freeze/ / 1-888-298-0045)
4. Experian (experian.com/freeze/ / 1-888-397-3742)
5. TransUnion (transunion.com/credit-freeze / 1-800-916-8800)
6. Frys ChexSystems (chexsystems.com) og NCTUE: Banker bruger ChexSystems (ikke Equifax/Experian), når nogen åbner en checkkonto i dit navn. Placer en gratis ChexSystems Security Freeze online, så svindlere ikke kan åbne mulebankkonti ved at bruge dit stjålne kørekort og I-9-pakke.
7. Lås dit CPR-nummer ind myE-Verify (USCIS): Gå til myeverify.uscis.gov og aktiver Self Lock, som blokerer for enhver fra at bruge dit SSN i det føderale E-Verify-ansættelsessystem.
8. Få en IRS Identity Protection PIN (IP PIN) (irs.gov/ippin): Undgå, at svindlere indsender en svigagtig skatterefusionsangivelse i dit navn ved at tilmelde dig en 6-cifret IRS IP PIN-kode med det samme.

Fase 5: Stop et "Parcel Reshipping Mule" eller "Crypto Task" fidus sikkert¶

Hvad hvis du blev ansat til et af disse to ikke-tjek fjernjob-svindel?

Scenarie 1: Du accepterede et "Kvalitetskontrol / Pakkevideresendelse" job og har pakker hjemme hos dig¶

Hvis du modtog MacBooks, iPhones eller elektronik på din hjemmeadresse og fik forudbetalte USPS/UPS/FedEx PDF-forsendelsesetiketter for at videresende dem: - STOP med det samme med at sende pakker. Hver pakke, der ankom til dit hus, blev købt med et stjålet kreditkort, hvor svindleren indtastede dit navn og hjemmeadresse som Ship To adresse. - Returner IKKE pakkerne til svindlerens adresse: Opbevar de uåbnede kasser, gem hver e-mail, Telegram-chat, PDF-forsendelsesetiket og ansættelseskontrakt som bevis, og kontakt det lokale politi og U.S. Postinspektionstjeneste (1-877-876-2455 / uspis.gov) (eller Action Fraud i Storbritannien) for at arrangere returnering af varen til de bedragede forhandlere.

Scenario 2: Du blev rekrutteret via WhatsApp/Telegram til et "App Optimization / Product Rating" Crypto Task Job¶

• Sådan fungerer fælden: "Arbejdsgiveren" betaler dig $50 to $150 i virkeligheden USDT på dag 1 for at klikke på knapper i en falsk webportal. På dag 2 eller dag 3 rammer din konto en "kombinationsopgave", der placerer din portalsaldo på -$400 og kræver, at du indbetaler $400 af din egen USDT at "fuldføre sættet med 40 opgaver." I det øjeblik du indbetaler $400, en anden opgave kræver $1,800, så $6,000, så $25,000 for "skatter".
• Øjeblikkelig handling: STOP med at deponere kryptovaluta med det samme. Tallene på opgavehjemmesiden er falske HTML-værdier, der kontrolleres af svindleren; at betale den negative saldo vil aldrig låse op for en udbetaling. Afbryd al kontakt og undgå "crypto recovery hackere" på Telegram eller Instagram.

Regionale alarmnumre og agenturprotokoller¶

Rapporter fjerninterview malware (Contagious Interview), svindel med ansættelsestjek og indregistrering af identitetstyveri til de officielle cyber- og finansielle myndigheder i din region:

• USA og Canada: Tast 911 for enhver fysisk sikkerhedsnødsituation. Rapporter udvikler malware (Lazarus / BeaverTail) og falsk jobcheck/opgavetab til FBI IC3 (ic3.gov), FTC (ReportFraud.ftc.gov og IdentityTheft.gov) og USPIS (1-877-876-2455). I Canada skal du kontakte Canadian Anti-Fraud Center (1-888-495-8501) og Canadian Center for Cyber Security (1-833-CYBER-88).
• Storbritannien: Ring 999 i nødstilfælde eller 101 for det lokale politi. Ring 159 for at oprette forbindelse til din banks svindelafdeling og rapportere falsk jobsvindel og udvikler-malware til Action Fraud (0300 123 2040 / actionfraud.police.uk) og NCSC (ncsc.gov.uk). Overvej CIFAS Protective Registration (cifas.org.uk).
• Den Europæiske Union: Opkald 112 På tværs af alle EU-medlemslande skal du straks underrette din banks svindelskranke og indsende en anmeldelse til din nationale politienhed for cyberkriminalitet og nationale CSIRT.
• Australien og New Zealand: Tast 000i Australien eller 111 i New Zealand. Rapportér beskæftigelses- og opgavesvindel til Scamwatch (scamwatch.gov.au), ReportCyber (cyber.gov.au, 1300 CYBER1), og kontakt IDCARE (1800 595 160 i AU / 0800 121 068 i NZ).
• Indien og Asien-Stillehavsområdet: Ring 112 i Indien i nødstilfælde og ring til National Cyber Crime Helpline (1930 / cybercrime.gov.in) øjeblikkeligt for at fastfryse svigagtige bankoverførsler. I Singapore skal du ringe til Anti-scam Helpline (1799).

Ofte stillede spørgsmål¶

Jeg klonede rekruttererens GitHub-lager (git clone ...), åbnede filerne i VS Code for at læse dem og kørte ALDRIG npm install eller npm start. Er jeg stadig smittet?¶

I modsætning til `npm install` (som kører `package.json` scripts), kører bare `git clone` og læser almindeligt `.js` filer udfører ikke kode af sig selv MEDmindre depotet indeholdt en skadelig `.vscode/tasks.json` fil med `"runOn": "folderOpen"` OG du klikkede på "Ja, jeg stoler på forfatterne", da VS Code åbnede mappen. Tjek om a `.vscode/tasks.json` fil findes inde i den klonede repo (`cat /path/to/repo/.vscode/tasks.json`) og tjek om `-/.npl` eller `-/.pyp` blev oprettet i din hjemmemappe. Hvis ingen af dem eksisterer, og du aldrig løb `npm`, `yarn`, `python`, eller `node`, dit system udførte ikke nyttelasten: slet blot den klonede mappe.

Hvad hvis jeg kørte interviewkodningstesten inde i en Docker-container (docker compose up) på min Mac eller Windows-pc? Beskyttede beholderen mig?¶

Det afhænger af, hvilke volumener der var monteret indeni `docker-compose.yml` eller den `Dockerfile`. Hvis du kørte containeren med et isoleret filsystem, kunne malwaren ikke se din værts-Chrome-cookies eller MetaMask-udvidelse. Dog mange `Contagious Interview` depoter omfatter en `docker-compose.yml` der hemmeligt bind-mounter din værts hjemmemappe (`volumes: - -/.ssh:/root/.ssh` eller `- -/:/host_home`) eller kører med `privileged: true`. Inspicere `docker-compose.yml` i repoen med det samme: hvis den monterede `-`, `$HOME`, eller `/Users`, behandle din værtsbærbare computer som kompromitteret.

Hvordan kunne en check være falsk, hvis det var en "kassecheck" leveret af FedEx Overnight med et vandmærke, og bankkassen accepterede den ved skranken?¶

Falske kassechecks er trykt på ægte kemisk checkbeholdning ved hjælp af det gyldige rutenummer og magnetisk `MICR` blækskrifttype fra en større bank. En menneskelig bankkasserer ved et filialvindue bekræfter kun, at routingnummeret er gyldigt, og checken ser fysisk autentisk ud; Tælleren kan ikke se inde i en anden banks interne hovedbog for at vide, om checkens serienummer faktisk blev udstedt. Kun når checkbilledet rejser gennem Federal Reserve clearinghouse (`5 to 10 business days later`) afviser den udstedende bank det som falsk.

Kan jeg komme i fængsel, hvis jeg ubevidst deponerede en falsk jobcheck og brugte nogle af pengene, før den hoppede?¶

At blive bedraget af et svindelnummer med jobcheck mangler kriminelt hensigt (`mens rea`), forudsat at du ikke lyver for banken og anmelder fidusen til bankens svindelafdeling og politi (`IC3` / lokal politianmeldelse) straks. Men i henhold til din banks indlånskontoaftale og **Uniform Commercial Code (`UCC § 4-207 / § 4-214`)**, er den kontohaver, der godkender og indsætter en check, borgerligt og kontraktligt forpligtet til at tilbagebetale banken for 100 procent af en eventuel negativ overtrækssaldo, når en deponeret check returnerer ubetalt.

Hvorfor gennemførte rekruttereren et rigtigt 30-minutters videoopkald med mig på Zoom/Google Meet, hvis de var nordkoreanske Lazarus-hackere?¶

DPRK **`Contagious Interview` (`UNC4899` / `Famous Chollima`)** Operatører ansætter flydende engelsktalende til at udføre overbevisende 20- til 45-minutters HR-screeningsopkald på Zoom, Google Meet eller Calendly. Fordi en enkelt udviklerarbejdsstation ofte holder `$50,000 to $2,000,000+` i DeFi-protokolnøgler, treasury-multisig-adgang eller virksomhedsoplysninger om cloud-produktion, og brug 30 minutter på et live videoopkald for at overbevise dig om at køre `npm install` på deres vurdering har repo et højt investeringsafkast for trusselsaktøren.

Hvad hvis "arbejdsgiveren" sendte penge ind på min bankkonto via ACH/Zelle og bad mig hæve kontanter eller købe Bitcoin for at sende til deres klient?¶

Det er et **Money Mule (`Layering`)** operation. I modsætning til en papircheck (som hopper inden afregning), hvis `$4,000` faktisk ankommet til din konto via `ACH`, `Zelle`, eller `Wire`,**det `$4,000` blev stjålet fra et uskyldigt hacking- eller romantik-svindeloffers bankkonto**. Hvis du trækker det tilbage eller konverterer det til Bitcoin for din "arbejdsgiver", sporer retshåndhævelsen og ofrets bank de stjålne midler direkte til din bankkonto. Træk eller videresend ikke en eneste cent; ring omgående til din banks svindelafdeling og bed dem om at returnere den uautoriserede overførsel til den oprindelige institution.

Relaterede guider¶

• Falsk jobtilbudssvindel, svindel med kontrol af udstyr og identitetstyveri ombord
• Supply chain npm/PyPI-pakkekompromis og nøglerotation til udviklerarbejdsstation
• Sessions-cookiekapring, infostealer-malware og tilbagekaldelse af adgangsnøgle
• Falsk CAPTCHA ClickFix PowerShell Win+R udklipsholder malware og Lumma Infostealer remediering
• Cryptocurrency tegnebogsdræn og seed phrase kompromis
• Autoriseret push-betaling (APP) app svindel: Zelle, Venmo og Faster Payments efterligning og refusionsrettigheder
• Svar på identitetstyveri
• Nødnumre efter land

Kilder og officiel vejledning¶

• Federal Bureau of Investigation (FBI), Cybersikkerheds- og Infrastruktursikkerhedsagentur (CISA), & DoD Cyber Crime Center (DC3) (USA): Fælles rådgivning: nordkoreansk (DPRK) Social Engineering-kampagner rettet mod softwareudviklere (Contagious Interview / BeaverTail / InvisibleFerret).
• Palo Alto Networks Unit 42 (unit42.paloaltonetworks.com): Nordkoreanske trusselskuespillere lokker tekniske jobsøgende som falske rekrutterere (Contagious Interview Analyse).
• Federal Trade Commission (FTC) & Federal Reserve Board (USA): Forbrugerrådgivning om falsk check-svindel, pakkemuldyr og Regulation CC (12 CFR Part 229) Regler.
• U.S.S. statsborgerskabs- og immigrationstjenester (USCIS): myE-Verify Selvlåsende identitetsbeskyttelsesvejledning.
• Nationalt Cybersikkerhedscenter (NCSC) & Action Fraud (Storbritannien): Afhjælpning af ondsindet kodelagre og rekrutteringssvig.