پیشنهاد شغلی جعلی و کلاهبرداری مصاحبه از راه دور: لازاروس کره شمالی BeaverTail بدافزار npm Repo، بررسی تجهیزات جعلی، و قفل هویت¶

درک درست در میانه یک مصاحبه شغلی از راه دور یا فرآیند پذیرش که "کارگزین کننده" یا "مدیر استخدام" یک تله سایبری یا مالی پیچیده را اداره می کند، یک وضعیت اضطراری دو طرفه است. کلاهبرداری های شغلی از راه دور امروزی به دو عملیات بسیار مخرب شناسایی شده توسط FBI، CISA و آژانس های سایبری جهانی تقسیم می شوند: (1) توسعه دهنده نرم افزار و بدافزار رمزگذاری "ارزیابی کدگذاری" (Contagious Interview / گروه لازاروس کره شمالی BeaverTail & InvisibleFerret)، جایی که یک استخدام کننده در LinkedIn، Upwork یا Telegram از یک مهندس نرم افزار یا کاندید Web3/AI می خواهد که مخزن GitHub، GitLab یا Bitbucket را شبیه سازی کند و اجرا کند. npm install && npm start (یا یک ساخت Python/Docker) روی لپ‌تاپ اصلی خود برای «رفع یک اشکال قبل از مصاحبه زنده»، با اجرای بی‌صدا یک دزد اطلاعاتی که هر کوکی جلسه مرورگر، صندوق مدیریت رمز عبور را استخراج می‌کند، .ssh کلید، .env فایل و کیف پول رمزنگاری شده در کمتر از 5 ثانیه؛ و (2) **چک جعلی "تجهیزات دفتر خانه" و ارسال مجدد کلاهبرداری های قاطر **، که در آن یک شرکت جعل هویت یک مصاحبه متنی/تیم انجام می دهد، ایمیلی تقلبی ارسال می کند. $2,500 to $5,000 "MacBook Pro and home office setup" را بررسی کنید و به شما دستور می دهد چک را با موبایل واریز کنید و ارسال کنید $2,200 از طریق Zelle، Venmo، سیم، یا کارت‌های هدیه به «فروشنده تأییدشده تجهیزات فناوری اطلاعات» آنها قبل از برگشت چک چند روز بعد. برای ورود به دزدی هویت SSN/I-9 و کلاهبرداری عمومی چک، نگاه کنید کلاهبرداری پیشنهاد شغلی جعلی، کلاهبرداری چک تجهیزات، و سرقت هویت داخلی; برای چرخش کلید بسته npm/PyPI و سرقت کوکی مرورگر، مشورت کنید به خطر انداختن بسته زنجیره تامین npm/PyPI و چرخش کلید ایستگاه کاری توسعه دهنده و ربودن کوکی جلسه، بدافزار infostealer و لغو کلید عبور. اگر با اجبار فیزیکی فوری، تهدید هجوم یا درگیری با پیک حضوری مواجه هستید، با شماره اورژانس محلی خود تماس بگیرید (911 در ایالات متحده و کانادا، 112 در سراسر اتحادیه اروپا، 999 در بریتانیا) یا دایرکتوری ما را بررسی کنید شماره های اضطراری.

همین الان این کار را بکن¶

1. ** اگر فرار کردی npm install، npm test، yarn، pip installیا یک Zoom/Teams/Miro جعلی .dmg/.exe برای مصاحبه شغلی: در عرض 3 ثانیه کامپیوتر خود را از Wi-Fi و Ethernet جدا کنید**:
2. کابل اترنت را بکشید یا فوراً وای فای را خاموش کنید.
3. BeaverTail بارگیری JavaScript/Node.js یک محیط Python قابل حمل را دانلود می کند (-/.npl یا %UserProfile%\.pyp) و ** را راه اندازی می کندInvisibleFerret** درب پشتی، که به یک فرمان و کنترل متصل می شود (C2) سرور (:1224 / :1244) پخش زنده کلیدها، کلیپ بورد و سیستم فایل شما.
4. از یک گوشی هوشمند تمیز و مجزا استفاده کنید (iPhone یا Android روی داده های سلولی) برای تخلیه تمام کیف پول های رمزنگاری و لغو هر جلسه مرورگر فعال (Google، GitHub، AWS، Microsoft، Apple):
5. BeaverTail اهداف MetaMask، Phantom، Rabby، Coinbase Wallet، Trust Wallet، Exodus، Electrum و Solana CLI (-/.config/solana/id.json) فایل های طاق، همراه با Login Data و Cookies از Chrome، Brave، Edge، Arc، و Firefox، به علاوه macOS شما login.keychain-db.
6. از یک دستگاه تمیز، هر دارایی رمزنگاری شده روی کیف پول داغ را به یک کیف پول سخت افزاری جدید منتقل کنید، تمام جلسات وب فعال در Google را لغو کنید (myaccount.google.com/security)، گیت هاب (github.com/settings/sessions) و کنسول های AWS/Cloud، و کلیدهای SSH و GPG به خطر افتاده خود را از GitHub/GitLab حذف کنید.
7. اگر "تجهیزات دفتر خانه" را واریز کرده اید، چک از یک کارفرما: یک دلار به هیچ فروشنده ای نفرستید و فوراً با بخش کلاهبرداری بانک خود تماس بگیرید:
8. حتی اگر برنامه بانکی شما این را نشان دهد $3,500 به عنوان "موجودی موجود / وجوه آزاد شده" بررسی کنید که پول تصویر نشده است. تحت قانون فدرال رزرو ایالات متحده ** مقررات CC (Expedited Funds Availability Act)**، بانک ها باید سپرده های چک را به طور موقت در دسترس قرار دهند 1 to 2 business days، در حالی که کشف جعلی بودن شماره حساب/ مسیریابی چک نیاز به 5 to 14 business days.
9. با شماره پشت کارت نقدی خود تماس بگیرید و گزارش دهید: "من هدف یک کلاهبرداری چک استخدامی قرار گرفتم و ناآگاهانه چک مشکوک به جعلی را واریز کردم؛ لطفا واریزی را علامت گذاری کنید تا حساب من به دلیل کلاهبرداری بسته نشود."
10. اگر قبلاً وجوه ZELLE، VENMO، WIRE یا BITCOIN ATM را برای "فروشنده تجهیزات" ارسال کرده اید: فوراً با میز کلاهبرداری / فراخوان سیم بانک خود تماس بگیرید (برای سیم، فوراً درخواست دهید **SWIFT / Fedwire Recall و FBI IC3 Recovery Asset Team انجماد **; برای پرداخت‌های Zelle/سریع‌تر، پرداخت فشاری مجاز (APP) کلاهبرداری جعل هویت استخدامی تحت حق تقلب و بازپرداخت برنامه پرداخت فشار مجاز).
11. اگر SSN، گذرنامه، گواهینامه رانندگی، W-4، I-9، یا شماره مسیریابی بانک سپرده مستقیم خود را آپلود کرده اید: در Equifax، Experian، و TransUnion مسدود کنید، ChexSystems خود را روی SS-V، مسدود کنیدmyeverify.uscis.gov)، و از بانک خود بخواهید شماره حساب جاری آشکار را ببندد و یک شماره حساب جایگزین باز کند.
12. **اگر کار دریافت و ارسال مجدد بسته ها از خانه را "بازرسی بسته / هماهنگ کننده تدارکات" پذیرفتید: فوراً ارسال بسته ها را متوقف کنید **: آن وسایل الکترونیکی (iPhones، MacBooks، camera lenses) با کارت های اعتباری سرقت شده خریداری شده و به آدرس منزل شما ارسال شده است (Parcel Mule Scam). تمام برچسب های حمل و نقل و گزارش های چت را نگه دارید و با پلیس محلی یا سرویس بازرسی پستی ایالات متحده (USPIS).

درخت تصمیم: مصاحبه از راه دور و تریاژ اضطراری شغلی جعلی¶

از این فلوچارت استفاده کنید تا مستقیماً به پروتکل مهار مطابق با نوع کلاهبرداری شغلی که با آن برخورد کرده اید بروید:

flowchart TD
    Start["اورژانس: مصاحبه شغلی جعلی مشکوک، تست کدنویسی، یا کلاهبرداری حضوری"] --> ScamType{"«استخدام کننده» یا «کارفرما» از شما چه خواسته است؟"}

    ScamType -->|"1. یک Git Repo را شبیه سازی کنید و npm / Python / Docker را اجرا کنید یا یک برنامه تماس ویدیویی سفارشی نصب کنید"| DevTrap["مهم: DPRK مصاحبه مسری (BeaverTail / InvisibleFerret) Info-Stealer"]

    ScamType -->|"2. واریز چک (PDF/Mail) و ارسال پول به یک فروشنده تجهیزات تایید شده"| CheckTrap["کلاهبرداری اضافه پرداخت چک جعلی: چک اعتباری موقت در عرض 5 تا 14 روز بازپرداخت می شود"]

    ScamType -->|"3. فرم I-9 / W-4 / SSN / پاسپورت / سپرده مستقیم را قبل از کشف کلاهبرداری پر کنید"| IdTrap["هویت ورودی و سرقت حقوق و دستمزد: اعتبار ثابت، ChexSystems، پین IP IRS، و حساب بانکی"]

    ScamType -->|"4. بسته‌ها را در خانه دریافت کنید، آن‌ها را بازرسی کنید و با برچسب‌های ارائه‌شده دوباره ارسال کنید یا کریپتو «Task» را پرداخت کنید"| MuleOrTask["ارسال مجدد بسته Mule یا 'بهینه سازی برنامه' Crypto Task Scam"]

    DevTrap --> CutNet["1. Wi-Fi را خاموش کنید / Ethernet را بلافاصله در Developer Workstation جدا کنید"]
    CutNet --> EvacPhone["2. در تلفن تمیز: انتقال دارایی های رمزنگاری + لغو جلسات Google/GitHub/AWS + چرخاندن کلیدهای SSH"]
    EvacPhone -->ForensicClean["3. -/.npl، -/.pyp، package.json، و نمایه های مرورگر را بررسی کنید -> پاک کردن و نصب مجدد سیستم عامل به طور تمیز"]

    CheckTrap --> SentMoney{"آیا قبلاً برای 'فروشنده تجهیزات' پول ارسال کرده اید؟"}
    SentMoney -->|"نه: چک واریز شد، 0 دلار ارسال شد"| WarnBank["وجوه را لمس نکنید -> فوراً با بخش کلاهبرداری بانکی تماس بگیرید تا واریز چک بد نادانسته را علامت بزنید"]
    SentMoney -->|"بله: ارسال از طریق Zelle / Wire / Crypto / Gift Cards"| RecallFunds["فوراً با بانک و میز کلاهبرداری تماس بگیرید -> قبل از بازپرداخت چک، اضافه برداشت منفی را پوشش دهید -> گزارش فایل IC3"]

    IdTrap --> LockCredit["Freeze Equifax/Experian/TransUnion + ChexSystems -> بستن شماره حساب بانکی در معرض دید -> Lock myE-Verify"]
    MuleOrTask --> StopShip["توقف ارسال مجدد بسته‌ها و توقف سپرده‌گذاری رمزنگاری -> حفظ بارنامه و گزارش به USPIS / IC3"]

فاز 1: نحوه عملکرد دو تله اصلی کار از راه دور در زیر کاپوت¶

مکانیک فنی و نشانگرهای پرچم قرمز سه بردار اولیه اضطراری اشتغال فعال در سراسر جهان را مقایسه کنید:

فاز 2: واکنش اضطراری برای توسعه دهندگان نرم افزار (Contagious Interview / BeaverTail / InvisibleFerret)¶

اگر یک توسعه دهنده نرم افزار هستید که یک مخزن را از یک استخدام کننده یا مصاحبه کننده شبیه سازی کرده و اجرا کرده اید npm install، npm start، yarn، pnpm، python، cargoیا یک فایل اجرایی در ایستگاه کاری Windows، macOS یا لینوکس خود، این توالی پاسخ حادثه را دقیقاً براساس Palo Alto Networks Unit 42، CrowdStrike و CISA/FBI اطلاعات تهدید در کره شمالی دنبال کنید Contagious Interview کمپین.

مرحله 1: مرحله 2 را درک کنید BeaverTail -> InvisibleFerret زنجیر را روی دیسک خود بکشید¶

چگونه یک مخزن به ظاهر عادی React/Node.js مک یا رایانه شخصی شما را بدون راه اندازی پاپ آپ آنتی ویروس آلوده کرد؟

+-------------------------------------------------------------------------+
| ANATOMY OF A CONTAGIOUS INTERVIEW (BEAVERTAIL) MALICIOUS REPO           |
|                                                                         |
| 1. The Decoy Repo (e.g., "mern-ecommerce-assessment" or "defi-dex-ui"): |
|    - 99% of the repo is real, working React/Express boilerplate code.   |
|    - Hidden at the very end of `server/routes/api/auth.js` or           |
|      `backend/controllers/userController.js` (often scrolled 300 spaces |
|      to the right on one line so you do not see it in VS Code) is an    |
|      obfuscated `eval(Buffer.from(...))` or `axios.get(...)` call.      |
|                                                                         |
| 2. Stage 1: BeaverTail (JavaScript Info-Stealer inside Node.js):        |
|    - Scans Chrome, Brave, Opera, Edge, Vivaldi (`Default` & `Profile N`)|
|      for `Login Data`, `Local Extension Settings` (MetaMask `nkbihfbeog`|
|      Phantom `bfnaelmome`, Rabby `acmacodkjb`), and Solana `id.json`.   |
|    - Uploads stolen vaults & cookies immediately to `http://<C2>:1224`. |
|                                                                         |
| 3. Stage 2: InvisibleFerret (Python Backdoor + AnyDesk Persistence):    |
|    - BeaverTail downloads a standalone portable Python 3.11 zip into    |
|      `~/.npl/` or `%UserProfile%\.pyp\` and runs `~/.npl/.pyp/python`   |
|      executing `~/.npl/main.py` (`InvisibleFerret`).                    |
|    - InvisibleFerret logs keystrokes, reads your clipboard, scans your  |
|      entire drive for `.env`, `.ssh`, `seed`, `mnemonic`, and silently  |
|      downloads/configures `AnyDesk` for full remote desktop control.    |
+-------------------------------------------------------------------------+

مرحله 2: دقیق بودن را بررسی کنید BeaverTail و InvisibleFerret شاخص های سازش (IoCs)¶

**در حالی که کامپیوتر مک، لینوکس یا ویندوز آلوده شما به طور کامل از Wi-Fi و Ethernet جدا شده است، یک ترمینال (یا PowerShell) را باز کنید تا ببینید آیا مرحله 2 (InvisibleFerret) روی دیسک شما ریخته شد:

# On macOS or Linux (WITH WI-FI OFF):
ls -la ~/.npl ~/.pyp ~/.vscode
ps aux | grep -iE "npl|pyp|main\.py|anydesk|node"

# Search the cloned interview repository for hidden horizontal-scroll obfuscation or base64 evals:
grep -rnE "Buffer\.from|child_process|execSync|\.npl|\.pyp|:1224|:1244|nkbihfbeogaeaoehlefnkodbefgpgknn" /path/to/cloned/interview_repo/

# On Windows PowerShell (WITH WI-FI / ETHERNET OFF):
Get-ChildItem -Path $env:USERPROFILE -Force | Where-Object { $_.Name -match "^\.(npl|pyp)" }
Get-Process | Where-Object { $_.Path -match "npl|pyp|AnyDesk" }

مرحله 3: اعتبارنامه 15 دقیقه ای توسعه دهنده و تخلیه رمزنگاری (از یک دستگاه تمیز) را اجرا کنید¶

رمزهای عبور جدید یا عبارات اولیه را روی رایانه آلوده ** تایپ نکنید. استفاده از یک **تمیز هوشمند (iPhone / Android) یا یک کامپیوتر بدون خطر جداگانه **:

1. همه کیف پول های ارزهای دیجیتال را فوراً تخلیه کنید (Minutes 0 to 5):
2. حتی اگر کیف پول MetaMask، Phantom، Rabby یا Exodus شما با رمز عبور قفل شده باشد، BeaverTail فایل خزانه رمزگذاری شده شما را آپلود کرد (000003.log / LOCK / Local Extension Settings) و InvisibleFerret مانیتور کی لاگر/ کلیپ بورد را اجرا می کند (و در macOS یک بومی جعلی ظاهر می شود osascript گفتگوی رمز عبور که از رمز عبور سیستم مک شما برای باز کردن قفل می خواهد login.keychain-db).
3. یک کیف پول کاملاً جدید روی تلفن هوشمند یا کیف پول سخت افزاری خود (Ledger / Trezor) با یک عبارت جدید 12/24 کلمه ای ایجاد کنید و 100 درصد توکن ها، NFT ها و موقعیت های شرط بندی خود را از هر کیف پولی که تا به حال با آن رایانه لمس کرده اید، منتقل کنید.
4. ** همه GitHub، GitLab، Bitbucket و Cloud را لغو کنید (AWS / GCP / Azure / Vercel) اعتبارنامه (Minutes 5 to 10)**:
5. GitHub: با تلفن خود وارد شوید -> تنظیمات -> کلیدهای SSH و GPG -> حذف هر کلید SSH ذخیره شده در -/.ssh/ روی لپ تاپ آلوده سپس به تنظیمات -> تنظیمات برنامه‌نویس -> نشانه‌های دسترسی شخصی (لغو همه نشانه‌ها) و تنظیمات -> جلسات -> لغو همه جلسات بروید.
6. **AWS / GCP / Cloud **: فوراً همه را غیرفعال کنید AWS_ACCESS_KEY_ID ذخیره شده در -/.aws/credentials یا داخل هر کدام .env فایل روی آن لپ تاپ (InvisibleFerret به صورت بازگشتی هر پوشه پروژه در درایو شما را برای آن می خزد .env، .npmrc، .pypirc، kubeconfig، و id_rsa).
7. اگر مخازن/کلیدهای کارفرما یا مشتری روی آن لپ تاپ داشتید: به مرکز عملیات امنیتی کارفرمای خود اطلاع دهید (SOC / CISO) بلافاصله تا بتوانند شرکت را بچرخانند .env اسرار و تعهدات حسابرسی
8. ** لغو تمام جلسات مرورگر (Google، Microsoft، Apple، Slack، Discord، Telegram) (Minutes 10 to 15)**:
9. به یاد داشته باشید: تغییر گذرواژه اغلب **کوکی‌های جلسه به سرقت رفته را باطل نمی‌کند، مگر اینکه صریحاً روی "خروج از همه دستگاه‌ها / لغو همه جلسات" در Google Security، حساب مایکروسافت، Slack، Discord و X/Twitter کلیک کنید.
10. مدیر رمز عبور خود را تغییر دهید (1Password، Bitwarden، Keeper) رمز عبور اصلی و رمز دستگاه مجاز لپ تاپ آلوده را لغو کنید.
11. سیستم عامل را روی ایستگاه کاری آلوده پاک و دوباره نصب کنید: چون InvisibleFerret وظایف پس‌زمینه مداوم را نصب می‌کند، باینری‌های مرورگر را تغییر می‌دهد و حذف می‌کند AnyDesk دسترسی از راه دور، به سادگی حذف -/.npl و مخزن کلون شده کافی نیست. فقط از فایل‌های سند/منبع ساده نسخه پشتیبان تهیه کنید (تأیید شده که با آن تمیز شده است git status / git diff، سپس یک پاک کردن کامل سیستم عامل و نصب مجدد (macOS Erase All Content and Settings یا Windows USB clean partition wipe).

فاز 3: واکنش اضطراری برای بررسی کلاهبرداری های جعلی "تجهیزات دفتر خانه"¶

اگر به شما یک کار از راه دور پیشنهاد شد (Administrative Assistant، Data Entry، Customer Support، Project Coordinator، Graphic Designer، چکی (از طریق ایمیل PDF برای چاپ و واریز موبایل یا از طریق پاکت یک شبه FedEx/UPS) برای خرید لپ تاپ و تجهیزات اداری خانگی دریافت کرد و آن را به حساب بانکی خود واریز کرد، شما در رقابت با پنجره برگشت چک تسویه حساب فدرال رزرو هستید.

1. چرا برنامه بانک روی چک 100٪ جعلی می‌گوید "وجوه موجود است" (The Regulation CC Float Trap)¶

+-------------------------------------------------------------------------+
| HOW THE FAKE "EQUIPMENT CHECK" FLOAT TRAP WORKS                         |
|                                                                         |
| Day 1 (Monday): You deposit the scammer's $3,500 "Equipment Check"      |
|                 using your bank's Mobile Deposit app.                   |
| Day 2 (Tuesday): Under US Federal Law (Regulation CC), your bank MUST   |
|                  release the funds within 1-2 business days. Your app   |
|                  now shows: "Available Balance: +$3,500.00".            |
| Day 2 (Tuesday PM): "Hiring Manager" tells you to Zelle/Wire $2,800     |
|                     immediately to their "Approved MacBook Vendor" so   |
|                     your laptop arrives by Friday.                      |
| Day 8 (Next Tuesday): The real corporate bank whose routing/account     |
|                       number was forged on the check rejects it as      |
|                       COUNTERFEIT / ALTERED (`Return Code R29 / Refer   |
|                       to Maker`).                                       |
| RESULT ON DAY 8:                                                        |
|   - Your bank claws back the full $3,500.00 from your balance.          |
|   - The $2,800 you sent via Zelle/Wire is gone forever.                 |
|   - Your account drops to -$2,800.00 overdraft, and your bank's risk    |
|     algorithm may freeze/close your account and report you to           |
|     ChexSystems as a check-fraud risk.                                  |
+-------------------------------------------------------------------------+

2. پروتکل گام به گام حفاظت بانک در صورت واریز چک¶

مورد الف: شما چک را واریز کرده اید، اما هنوز پولی برای "فروشنده" نفرستاده اید¶

** باختی $0 تا کنون، و اگر همین الان اقدام کنید، می توانید از بستن حساب بانک خود جلوگیری کنید:** 1. حتی یک سنت از وجوه چک واریز شده را برداشت، خرج یا انتقال ندهید. کامل را رها کنید $3,500 دست نخورده در حساب می نشیند به طوری که وقتی چک در 5 تا 10 روز کاری برگشت، بانک اعتبار موقت خود را به طور کامل پس می گیرد. $0 اضافه برداشت 2. ** فوراً با بخش کلاهبرداری بانک خود تماس بگیرید (یا وارد یک شعبه فیزیکی شوید و با مدیر شعبه صحبت کنید)**: - هنگامی که یک چک جعلی بی‌صدا و بدون توضیح باز می‌گردد، موتورهای ریسک بانکی خودکار (Early Warning Services / ChexSystems) نمی تواند بگوید که آیا شما کلاهبردار بوده اید یا یک قربانی بی گناه جویای کار. - به نماینده بانک به صراحت بگویید: "من برای یک کار از راه دور درخواست دادم و کلاهبردار یک چک تجهیزات "3500 دلاری" برای من ارسال کرد که امروز با موبایل واریز کردم. تازه متوجه شدم که این یک کلاهبرداری جعلی چک شغلی است. من حتی یک دلار از وجوه را خرج یا انتقال نداده ام. لطفاً یک برگه کلاهبرداری قربانی اشتغال را روی نمایه من قرار دهید / وقتی چک اعتباری من برگشت داده نشد و دوباره چک نشد. بدون پرداخت.» - از بانک بخواهید که از آن چشم پوشی کند $15 to $35 هزینه مورد واریز شده را برگرداند و تأیید کنید که حساب شما برای بسته شدن علامت گذاری نمی شود.

مورد B: شما چک را واریز کرده اید و قبلاً پول ارسال کرده اید (Zelle، Venmo، Wire، Cash App، Crypto، یا Gift Cards)¶

1. در عرض 60 ثانیه با بخش کلاهبرداری بانک خود تماس بگیرید:
2. هر دو طرف جرم را گزارش کنید: (الف) سپرده چک دریافتی یک چک کلاهبرداری شغلی تقلبی است که در حال برگشت است، و (ب) انتقال خروجی Zelle / Venmo / Wire / ACH ناشی از کلاهبرداری استخدامی است.
3. اگر سیم بانکی ارسال کردید (Fedwire / SWIFT(SWIFT MT192 / pacs.004) و گزارش فوری را در ic3.gov بنابراین تیم بازیابی دارایی های اف بی آی (RAT)** می تواند یک زنجیره کشتن کلاهبرداری مالی صادر کند (FFKC) روی حساب مول دریافت کننده مسدود شود.
4. اگر ارسال کردید Zelle، Venmo، یا انگلستان Faster Payments: پرونده پرداخت فشاری مجاز (APP) ادعای کلاهبرداری و درخواست جزئیات مسیریابی/موسسه بانک دریافت کننده (Zelle Network Fraud).
5. اگر کلاهبردار به شما گفت که کارت های هدیه Apple، Razer Gold، Steam یا Target را بخرید: فوراً با خط تقلب صادرکننده کارت هدیه با شماره سریال رسید تماس بگیرید تا موجودی کارت بازخرید نشده مسدود شود.
6. آماده شدن برای $3,500 clawback را بررسی کنید تا حساب شما به شارژ ChexSystems منفی نشود:
7. وقتی جعلی $3,500 چک پس از 5 تا 10 روز، بانک شما کسر می کند $3,500 از حساب شما با تیم بازیابی کلاهبرداری بانک خود همکاری کنید تا یک طرح بازپرداخت با بهره صفر برای هر موجودی منفی قبل از روز 30 تنظیم کنید تا بانک بسته شدن غیرارادی حساب را به ChexSystems یا خدمات هشدار زودهنگام گزارش نکند.EWS).

مرحله 4: قفل کردن هویت خود در صورت ارسال یک I-9، W-4، SSN، گذرنامه یا فرم سپرده مستقیم¶

استخدام کنندگان جعلی تقریباً همیشه یک "بسته داخلی" ارسال می کنند (Form W-4، Form I-9، Direct Deposit Authorizationو عکس‌های جلو و پشت گواهینامه رانندگی، گذرنامه یا کارت تامین اجتماعی شما) قبل از اینکه چک یا دام بدافزار را وارد کنید. اگر هر یک از آن اسناد را ارسال کردید، امروز این قفل هویت 5 مرحله‌ای را اجرا کنید:

1. شماره حساب بانکی در معرض دید را ببندید (Direct Deposit فرم): فرم سپرده مستقیم به کلاهبردار **شماره مسیریابی بانک شما (ABA) و شماره حساب چکی کامل **، به علاوه یک کپی از چک باطل با امضای شما، که همه چیز مورد نیاز برای چاپ چک های کاغذی جعلی یا شروع غیرمجاز است. ACH Debit از حساب شما خارج می شود. به بانک خود بگویید آن شماره حساب را ببندد و وجوه شما را به یک شماره حساب داخلی کاملاً جدید منتقل کند.
2. ** یک Credit Freeze رایگان در هر سه دفتر اعتباری قرار دهید **:
3. Equifax (equifax.com/personal/credit-report-services/credit-freeze/ / 1-888-298-0045)
4. تجربه (experian.com/freeze/ / 1-888-397-3742)
5. TransUnion (transunion.com/credit-freeze / 1-800-916-8800)
6. ** یخ زدن ChexSystems (chexsystems.com) و NCTUE**: بانک‌ها از ChexSystems (نه Equifax/Experian) استفاده می‌کنند که شخصی یک حساب جاری به نام شما باز کند. یک ChexSystems Security Freeze رایگان آنلاین قرار دهید تا کلاهبرداران نتوانند با استفاده از گواهینامه رانندگی دزدیده شده شما و بسته I-9 حساب های بانکی خود را باز کنند.
7. ** شماره تامین اجتماعی خود را قفل کنید myE-Verify (USCIS)**: برو به myeverify.uscis.gov و فعال Self Lock، که مانع از استفاده هر کسی از SSN شما در سیستم استخدامی فدرال E-Verify می شود.
8. ** دریافت کنید IRS Identity Protection PIN (IP PIN) (irs.gov/ippin)**: با ثبت نام فوری در پین IP IRS 6 رقمی، از ارسال اظهارنامه بازپرداخت مالیات تقلبی به نام شما توسط کلاهبرداران جلوگیری کنید.

فاز 5: توقف ایمن کلاهبرداری "معمولا ارسال مجدد بسته" یا "کار رمزنگاری"¶

اگر برای یکی از این دو کلاهبرداری کار از راه دور بدون چک استخدام می شدید، چه می شد؟

سناریو 1: شما شغل "کنترل کیفیت / ارسال بسته" را پذیرفته اید و بسته هایی در خانه خود دارید¶

اگر مک‌بوک‌ها، آیفون‌ها یا لوازم الکترونیکی را در آدرس منزل خود دریافت کرده‌اید و برچسب‌های ارسال پیش‌پرداخت USPS/UPS/FedEx PDF به شما داده شده است تا آنها را فوروارد کنید: - بزودی ارسال بسته ها را متوقف کنید. هر بسته ای که به خانه شما می رسد با استفاده از یک کارت اعتباری سرقت شده خریداری شده است که در آن کلاهبردار نام و آدرس منزل شما را به عنوان کارت وارد کرده است. Ship To آدرس - بسته ها را به آدرس کلاهبردار برنگردانید: جعبه های باز نشده را نگه دارید، هر ایمیل، چت تلگرام، برچسب حمل و نقل PDF و قرارداد کار را به عنوان مدرک ذخیره کنید و با پلیس محلی و ایالات متحده تماس بگیرید. خدمات بازرسی پستی (1-877-876-2455 / uspis.gov) (یا اقدام تقلب در بریتانیا) برای ترتیب دادن بازگرداندن کالا به خرده فروشان فریب خورده.

سناریو 2: شما از طریق واتس اپ/تلگرام برای یک شغل "بهینه سازی برنامه / رتبه بندی محصول" استخدام شده اید¶

• چگونه تله کار می کند: «کارفرما» به شما حقوق می دهد $50 to $150 به صورت واقعی USDT در روز 1 برای کلیک روی دکمه ها در یک پورتال وب جعلی. در روز 2 یا روز 3، حساب شما با "کار ترکیبی" مواجه می شود که موجودی پورتال شما را در -$400 و از شما می خواهد که واریز کنید $400 از خود شما USDT برای "تکمیل مجموعه 40 کار." لحظه ای که شما واریز می کنید $400، وظیفه دوم می طلبد $1,800، سپس $6,000، سپس $25,000 برای "مالیات".
• اقدام فوری: سپس واریز ارزهای دیجیتال را متوقف کنید. اعداد موجود در وب‌سایت وظیفه، مقادیر جعلی HTML هستند که توسط کلاهبردار کنترل می‌شوند. پرداخت تراز منفی هرگز قفل برداشت را باز نمی کند. تمام تماس ها را قطع کنید و از "هکرهای بازیابی رمزارز" در تلگرام یا اینستاگرام خودداری کنید.

شماره های اضطراری منطقه ای و پروتکل های آژانس¶

گزارش بدافزار مصاحبه از راه دور (Contagious Interview)، کلاهبرداری چک شغلی، و سرقت هویت داخلی به مقامات رسمی سایبری و مالی در منطقه شما:

• ایالات متحده و کانادا: شماره گیری 911 برای هر گونه اضطراری ایمنی فیزیکی. گزارش بدافزار توسعه دهنده (Lazarus / BeaverTail(ic3.gov)**، FTC (ReportFraud.ftc.gov و IdentityTheft.gov) و USPIS (1-877-876-2455). در کانادا، با مرکز ضد کلاهبرداری کانادا (1-888-495-8501) و مرکز امنیت سایبری کانادا (1-833-CYBER-88).
• بریتانیا: شماره گیری 999 برای مواقع اضطراری یا 101 برای پلیس محلی شماره گیری 159 برای اتصال به بخش کلاهبرداری بانک خود و گزارش کلاهبرداری های شغلی جعلی و بدافزار توسعه دهنده به ** اقدام کلاهبرداری (0300 123 2040 / actionfraud.police.uk)** و NCSC (ncsc.gov.uk). ** ثبت حفاظتی CIFAS را در نظر بگیرید (cifas.org.uk)**.
• اتحادیه اروپا: شماره گیری 112 در تمام کشورهای عضو اتحادیه اروپا، فوراً به میز کلاهبرداری بانک خود اطلاع دهید و گزارشی را با واحد جرایم سایبری پلیس ملی و CSIRT ملی خود ارسال کنید.
• استرالیا و نیوزلند: شماره گیری 000 در استرالیا یا 111 در نیوزلند. گزارش کلاهبرداری های استخدامی و وظایف به Scamwatch (scamwatch.gov.au)، ReportCyber (cyber.gov.au، 1300 CYBER1)، و با IDCARE (1800 595 160 در AU / 0800 121 068 در NZ).
• هند و آسیا و اقیانوسیه: شماره گیری 112 در هند برای موارد اضطراری و تماس با خط کمک ملی جرایم سایبری (1930 / cybercrime.gov.in) بلافاصله برای مسدود کردن نقل و انتقالات بانکی جعلی. در سنگاپور، با خط کمک ضد کلاهبرداری تماس بگیرید (1799).

سوالات متداول¶

من مخزن GitHub استخدام کننده را کلون کردم (git clone ...)، فایل ها را در VS Code باز کرد تا آنها را بخواند، و هرگز اجرا نشد npm install یا npm start. آیا من هنوز مبتلا هستم؟¶

بر خلاف `npm install` (که اجرا می شود `package.json` اسکریپت ها)، در حال اجرا برهنه `git clone` و ساده خواندن `.js` فایل ها به خودی خود کد را اجرا نمی کنند مگر اینکه مخزن حاوی یک مخرب باشد `.vscode/tasks.json` فایل با `"runOn": "folderOpen"` و هنگامی که VS Code پوشه را باز کرد، روی "Yes, I trust the authors" کلیک کردید. بررسی کنید که آیا a `.vscode/tasks.json` فایل در داخل مخزن کلون شده وجود دارد (`cat /path/to/repo/.vscode/tasks.json`) و بررسی کنید که آیا `-/.npl` یا `-/.pyp` در فهرست اصلی شما ایجاد شد. اگر هیچ کدام وجود نداشته باشد و شما هرگز دویدید `npm`، `yarn`، `python`، یا `node`، سیستم شما payload را اجرا نکرد: به سادگی پوشه کلون شده را حذف کنید.

چه می شود اگر من تست کدگذاری مصاحبه را در داخل یک ظرف داکر اجرا کنم (docker compose up) در رایانه شخصی مک یا ویندوز من؟ آیا ظرف از من محافظت کرد؟¶

بستگی به این دارد که چه ولوم هایی در داخل آن نصب شده است `docker-compose.yml` یا `Dockerfile`. اگر کانتینر را با یک سیستم فایل ایزوله اجرا می‌کردید، بدافزار نمی‌تواند کوکی‌های کروم میزبان یا پسوند MetaMask شما را ببیند. با این حال، بسیاری از `Contagious Interview` مخازن شامل الف `docker-compose.yml` که مخفیانه دایرکتوری اصلی میزبان شما را متصل می کند (`volumes: - -/.ssh:/root/.ssh` یا `- -/:/host_home`) یا اجرا می شود با `privileged: true`. بازرسی کنید `docker-compose.yml` بلافاصله در مخزن: اگر نصب شد `-`، `$HOME`، یا `/Users`، با لپ تاپ میزبان خود به عنوان در معرض خطر برخورد کنید.

اگر چک یک «چک صندوقدار» باشد که یک شبه توسط فدرال اکسپرس با علامت واترمارک تحویل داده شده و عابر بانک آن را در باجه پذیرفته است، چگونه ممکن است جعلی باشد؟¶

چک های صندوق تقلبی با استفاده از شماره مسیریابی معتبر و مغناطیسی بر روی سهام چک شیمیایی واقعی چاپ می شود. `MICR` فونت جوهر یک بانک بزرگ عابر بانک انسانی در پنجره شعبه فقط تأیید می کند که شماره مسیریابی معتبر است و چک از نظر فیزیکی معتبر به نظر می رسد. عابر نمی تواند داخل دفتر داخلی بانک دیگری را ببیند تا بداند آیا آن شماره سریال چک واقعاً صادر شده است یا خیر. فقط زمانی که تصویر چک از اتاق تهاتر فدرال رزرو عبور می کند (`5 to 10 business days later`) آیا بانک صادرکننده آن را تقلبی رد می کند؟

اگر چک شغل جعلی را ندانسته واریز کنم و مقداری از پول را قبل از برگشت خرج کنم، می‌توانم به زندان بروم؟¶

فریب خوردن توسط کلاهبرداری چک استخدامی فاقد قصد مجرمانه است (`mens rea`) مشروط بر اینکه به بانک دروغ نگویید و کلاهبرداری را به اداره کلاهبرداری و پلیس بانک گزارش نکنید (`IC3` / گزارش پلیس محلی) بلافاصله. با این حال، تحت توافقنامه حساب سپرده بانک شما و ** کد تجاری یکنواخت (`UCC § 4-207 / § 4-214`)**، دارنده حسابی که یک چک را ظهرنویسی و سپرده می‌کند، از نظر مدنی و قراردادی موظف است 100 درصد موجودی اضافه برداشت منفی را در صورت بازگشت چک سپرده‌شده بدون پرداخت، به بانک بازپرداخت کند.

چرا استخدام‌کننده یک تماس ویدیویی واقعی 30 دقیقه‌ای با من در Zoom/Google Meet انجام داد، اگر آنها هکرهای لازاروس کره شمالی بودند؟¶

کره شمالی **`Contagious Interview` (`UNC4899` / `Famous Chollima`)** اپراتورها از سخنرانان مسلط به زبان انگلیسی استفاده می کنند تا تماس های غربالگری منابع انسانی 20 تا 45 دقیقه ای قانع کننده را در Zoom، Google Meet یا Calendly انجام دهند. از آنجا که یک ایستگاه کاری توسعه دهنده اغلب نگه می دارد `$50,000 to $2,000,000+` در کلیدهای پروتکل DeFi، دسترسی چند علامتی خزانه، یا اعتبارنامه تولید ابر شرکتی، صرف 30 دقیقه در یک تماس ویدیویی زنده برای متقاعد کردن شما به اجرای `npm install` در مخزن ارزیابی آنها بازگشت سرمایه بالایی برای عامل تهدید دارد.

اگر «کارفرما» پولی را از طریق ACH/Zelle به حساب بانکی من فرستاد و از من بخواهد که پول نقد برداشت کنم یا بیت کوین بخرم تا برای مشتری خود ارسال کنم، چه؟¶

این یک **قاطر پول است (`Layering`)** عملیات. بر خلاف چک کاغذی (که قبل از تسویه باز می گردد)، اگر `$4,000` در واقع از طریق وارد حساب شما شد `ACH`، `Zelle`، یا `Wire`، ** آن `$4,000` از حساب بانکی قربانی هک یا کلاهبرداری عاشقانه بی گناه** به سرقت رفته است. اگر آن را برداشت کنید یا آن را برای "کارفرما" خود به بیت کوین تبدیل کنید، مجری قانون و بانک قربانی وجوه دزدیده شده را مستقیماً به حساب بانکی شما ردیابی می کنند. حتی یک سنت را برداشت یا فوروارد نکنید. فوراً با بخش کلاهبرداری بانک خود تماس بگیرید و از آنها بخواهید که انتقال غیرمجاز را به مؤسسه مبدأ برگردانند.

راهنماهای مرتبط¶

• کلاهبرداری پیشنهاد شغلی جعلی، کلاهبرداری چک تجهیزات، و سرقت هویت داخلی
• به خطر انداختن بسته زنجیره تامین npm/PyPI و چرخش کلید ایستگاه کاری توسعه دهنده
• ربودن کوکی جلسه، بدافزار سرقت اطلاعات و لغو کلید عبور
• CAPTCHA جعلی ClickFix PowerShell «Win+R» کلیپ‌بورد بدافزار و اصلاح Lumma Infostealer
• تخلیه کیف پول رمزنگاری و به خطر افتادن عبارت seed
• کلاهبرداری برنامه پرداخت فشار مجاز (APP): حقوق جعل هویت و بازپرداخت Zelle، Venmo و Faster Payments
• پاسخ سرقت هویت
• شماره های اضطراری بر اساس کشور

منابع و راهنمای رسمی¶

• اداره تحقیقات فدرال (FBIآژانس امنیت سایبری و امنیت زیرساخت (CISA) و مرکز جرایم سایبری وزارت دفاع (DC3) (ایالات متحده): مشاوره مشترک: کره شمالی (DPRK) کمپین های مهندسی اجتماعی با هدف قرار دادن توسعه دهندگان نرم افزار (Contagious Interview / BeaverTail / InvisibleFerret).
• Palo Alto Networks Unit 42 (unit42.paloaltonetworks.com): بازیگران تهدید کره شمالی، جویندگان کار فناوری را به عنوان استخدام کنندگان جعلی جذب می کنند (Contagious Interview تجزیه و تحلیل).
• کمیسیون تجارت فدرال (FTC) و هیئت مدیره فدرال رزرو (ایالات متحده): مشاوره مصرف کننده در مورد کلاهبرداری های جعلی چک، قاطرهای بسته، و Regulation CC (12 CFR Part 229) قوانین.
• خدمات شهروندی و مهاجرت ایالات متحده (USCIS): myE-Verify راهنمای محافظت از هویت قفل خودکار.
• مرکز ملی امنیت سایبری (NCSC) و اقدام کلاهبرداری (بریتانیا): کاهش مخازن کد مخرب و تقلب در استخدام.