Offerta di lavoro falsa e truffa del colloquio a distanza: il nordcoreano Lazarus BeaverTail npm Repo Malware, controlli di apparecchiature false e blocco dell'identità¶

Rendersi conto proprio nel bel mezzo di un colloquio di lavoro a distanza o di un processo di onboarding che il "reclutatore" o il "responsabile delle assunzioni" sta utilizzando una sofisticata trappola informatica o finanziaria è un'emergenza su due fronti. Le odierne truffe sul lavoro remoto si dividono in due operazioni altamente distruttive identificate dall'FBI, dalla CISA e dalle agenzie informatiche globali: (1) Sviluppatore di software e malware di "valutazione della codifica" crittografica (Contagious Interview /Gruppo Lazarus della RPDC BeaverTail & InvisibleFerret), dove un reclutatore su LinkedIn, Upwork o Telegram chiede a un ingegnere del software o a un candidato Web3/AI di clonare un repository GitHub, GitLab o Bitbucket ed eseguire npm install && npm start (o una build Python/Docker) sul laptop principale per "correggere un bug prima dell'intervista dal vivo", eseguendo silenziosamente un ladro di informazioni che esfiltra ogni cookie della sessione del browser, vault del gestore password, .ssh chiave, .env file e portafoglio di criptovaluta in meno di 5 secondi; e (2) Assegno falso "Attrezzature per ufficio domestico" e truffe di rispedizione di mule, in cui un'azienda impersonata conduce un colloquio di testo/Teams e invia un'e-mail con un messaggio contraffatto $2,500 to $5,000 controlla la "configurazione di MacBook Pro e home office" e ti chiede di depositare l'assegno tramite dispositivo mobile e inviarlo $2,200 tramite Zelle, Venmo, bonifico o buoni regalo al loro "fornitore di apparecchiature IT approvato" prima che l'assegno venga respinto giorni dopo. Per l'onboarding del furto d'identità SSN/I-9 e delle frodi generali sugli assegni, vedere truffa di offerte di lavoro false, frode nel controllo delle apparecchiature e furto di identità durante l'onboarding; per la rotazione della chiave del pacchetto npm/PyPI e il furto di cookie del browser, consultare Compromissione del pacchetto npm/PyPI della supply chain e rotazione delle chiavi della workstation dello sviluppatore e dirottamento dei cookie di sessione, malware infostealer e revoca della passkey. Se stai affrontando una coercizione fisica immediata, minacce di schiacciamento o uno scontro di persona con un corriere, chiama il numero di emergenza locale (911 negli Stati Uniti e in Canada, 112 in tutta l’Unione Europea, 999 nel Regno Unito) o controlla il nostro elenco di numeri di emergenza.

Fallo adesso¶

1. SE CORRI npm install, npm test, yarn, pip installo un falso Zoom/Teams/Miro .dmg/.exe per un colloquio di lavoro: SCOLLEGA IL TUO COMPUTER DA WI-FI ED ETHERNET ENTRO 3 SECONDI:
2. Tirare il cavo Ethernet o disattivare immediatamente il Wi-Fi OFF.
3. Il BeaverTail Il payload JavaScript/Node.js scarica un ambiente Python portatile (-/.npl o %UserProfile%\.pyp) e lancia il InvisibleFerret backdoor, che si collega a un comando e controllo (C2) server (:1224 / :1244) trasmettendo in tempo reale le sequenze di tasti, gli appunti e il filesystem.
4. Utilizzare uno smartphone separato e pulito (iPhone o Android sui dati cellulari) per evacuare tutti i portafogli di criptovaluta e revocare ogni sessione attiva del browser (Google, GitHub, AWS, Microsoft, Apple):
5. BeaverTail si rivolge a MetaMask, Phantom, Rabby, Coinbase Wallet, Trust Wallet, Exodus, Electrum e Solana CLI (-/.config/solana/id.json) file del vault, insieme a Login Data e Cookies da Chrome, Brave, Edge, Arc e Firefox, oltre al tuo macOS login.keychain-db.
6. Da un dispositivo pulito, trasferisci qualsiasi risorsa crittografica sugli hot wallet su un nuovissimo seed di portafoglio hardware, revoca tutte le sessioni web attive in Google (myaccount.google.com/security), GitHub (github.com/settings/sessions) e console AWS/Cloud ed elimina le chiavi SSH e GPG compromesse da GitHub/GitLab.
7. SE HAI DEPOSITATO UN ASSEGNO DI "ATTREZZATURE PER L'HOME OFFICE" DA UN DATORE DI LAVORO: NON INVIARE UN SOLO DOLLARO A NESSUN "VENDITORE" E CHIAMA IMMEDIATAMENTE IL DIPARTIMENTO FRODE DELLA TUA BANCA:
8. Anche se la tua app bancaria mostra il file $3,500 controlla come "Saldo disponibile/Fondi rilasciati", che il denaro NON sia stato liquidato. Ai sensi del Regolamento CC della Federal Reserve statunitense (Expedited Funds Availability Act), le banche devono rendere provvisoriamente disponibili i depositi assegni entro 1 to 2 business days, mentre per scoprire che il numero di routing/conto dell'assegno è contraffatto ci vuole 5 to 14 business days.
9. Chiama il numero sul retro della tua carta di debito e segnala: "Sono stato preso di mira da una truffa sugli assegni di lavoro e ho inconsapevolmente depositato un assegno sospetto contraffatto; segnala il deposito in modo che il mio conto non venga chiuso per frode."
10. SE HAI GIÀ INVIATO FONDI ATM ZELLE, VENMO, WIRE O BITCOIN AL "VENDITORE DI ATTREZZATURE": chiama immediatamente lo sportello antifrode/richiamo bonifici della tua banca (per i bonifici, richiedi un immediato SWIFT / Fedwire Recall e FBI IC3 Recovery Asset Team congelare; per Zelle/Pagamenti più veloci, segnala un Pagamento push autorizzato (APP) truffa di furto d'identità per motivi di lavoro sotto frodi autorizzate tramite app di pagamento push e diritti di rimborso).
11. SE HAI CARICATO IL TUO SSN, PASSAPORTO, PATENTE DI GUIDA, W-4, I-9 O NUMERO DI ROUTING BANCARIO DI DEPOSITO DIRETTO: Blocca il credito presso Equifax, Experian e TransUnion, blocca ChexSystems, blocca il tuo SSN su myE-Verify (myeverify.uscis.gov) e chiedi alla tua banca di chiudere il numero di conto corrente esposto e di aprire un numero di conto sostitutivo.
12. SE HAI ACCETTATO UN LAVORO DI "ISPEZIONE PACCHI/COORDINATORE LOGISTICO" RICEZIONE E RISPEDIZIONE PACCHI DA CASA: INTERROMPI IMMEDIATAMENTE LA SPEDIZIONE PACCHI: Quelli elettronici (iPhones, MacBooks, camera lenses) sono stati acquistati con carte di credito rubate e spediti al tuo indirizzo di casa (Parcel Mule Scam). Conserva tutte le etichette di spedizione e i registri delle chat e contatta la polizia locale o il Servizio di ispezione postale degli Stati Uniti (USPIS).

Albero decisionale: colloquio a distanza e triage di emergenza per lavoro falso¶

Utilizza questo diagramma di flusso per passare direttamente al protocollo di contenimento che corrisponde all'esatta variante di truffa sul lavoro che hai riscontrato:

flowchart TD
    Start["Emergenza: sospetto colloquio di lavoro falso, test di codifica o truffa di onboarding"] --> ScamType{"Cosa ti ha chiesto di fare il 'reclutatore' o il 'datore di lavoro'?"}

    ScamType -->|"1. Clona un repository Git ed esegui npm/Python/Docker OPPURE installa un'app per videochiamate personalizzata"| DevTrap["CRITICO: Intervista contagiosa della RPDC (BeaverTail / InvisibleFerret) Info-Stealer"]

    ScamType -->|"2. Deposita un assegno (PDF/posta) e invia denaro a un 'fornitore di apparecchiature approvato'"| CheckTrap["Truffa per pagamento eccessivo di assegni falsi: l'assegno accreditato provvisoriamente verrà restituito entro 5-14 giorni"]

    ScamType -->|"3. Compila il modulo I-9 / W-4 / SSN / Passaporto / Deposito diretto prima di scoprire la truffa"| IdTrap["Furto di identità e buste paga durante l'onboarding: blocco del credito, ChexSystems, PIN IP IRS e conto bancario"]

    ScamType -->|"4. Ricevi pacchi a casa, ispezionali e rispedisci con le etichette fornite OPPURE paga criptovaluta 'Attività'"| MuleOrTask["Rispedire Parcel Mule O truffa Crypto Task 'Ottimizzazione app'."]

    DevTrap --> CutNet["1. Disattiva immediatamente il Wi-Fi/Scollega Ethernet sulla workstation dello sviluppatore"]
    CutNet --> EvacPhone["2. Su un telefono pulito: sposta le risorse crittografiche + revoca le sessioni Google/GitHub/AWS + ruota le chiavi SSH"]
    EvacPhone -->ForensicClean["3. Ispeziona -/.npl, -/.pyp, package.json e i profili del browser -> Cancella e reinstalla il sistema operativo in modo pulito"]

    CheckTrap --> SentMoney{"Hai già inviato denaro al 'venditore di attrezzature'?"}
    SentMoney -->|"No: assegno depositato, $ 0 inviati"| WarnBank["NON toccare i fondi -> Chiama immediatamente il dipartimento antifrode della banca per segnalare inconsapevolmente il deposito di assegni errati"]
    SentMoney -->|"Sì: inviato tramite Zelle/Bonifico/Cripto/Carte regalo"| RecallFunds["Chiamare immediatamente il Fraud Desk/Fraud Desk della banca -> Coprire lo scoperto negativo prima che gli assegni rimbalzino -> Archivia il rapporto IC3"]

    IdTrap --> LockCredit["Blocca Equifax/Experian/TransUnion + ChexSystems -> Chiudi il numero di conto bancario esposto -> Blocca myE-Verify"]
    MuleOrTask --> StopShip["Interrompi la rispedizione dei pacchi e interrompi il deposito di criptovalute -> Conserva le lettere di vettura e segnala a USPIS / IC3"]

Fase 1: come funzionano le due principali trappole del lavoro remoto¶

Confrontare i meccanismi tecnici e gli indicatori di allarme dei tre principali vettori di emergenza occupazionale attivi in tutto il mondo:

Fase 2: risposta alle emergenze per gli sviluppatori di software (Contagious Interview / BeaverTail / InvisibleFerret)¶

Se sei uno sviluppatore di software che ha clonato un repository da un reclutatore o un intervistatore ed è stato eseguito npm install, npm start, yarn, pnpm, python, cargoo un eseguibile sulla tua workstation Windows, macOS o Linux, segui questa esatta sequenza di risposta agli incidenti basata su Palo Alto Networks Unit 42, CrowdStrike e CISA/FBI informazioni sulle minacce sulla Corea del NordContagious Interviewcampagna.

Passaggio 1: comprendere la fase 2 BeaverTail -> InvisibleFerret Kill Chain sul tuo disco¶

In che modo un repository React/Node.js apparentemente normale ha infettato il tuo Mac o PC senza attivare un popup antivirus?

+-------------------------------------------------------------------------+
| ANATOMY OF A CONTAGIOUS INTERVIEW (BEAVERTAIL) MALICIOUS REPO           |
|                                                                         |
| 1. The Decoy Repo (e.g., "mern-ecommerce-assessment" or "defi-dex-ui"): |
|    - 99% of the repo is real, working React/Express boilerplate code.   |
|    - Hidden at the very end of `server/routes/api/auth.js` or           |
|      `backend/controllers/userController.js` (often scrolled 300 spaces |
|      to the right on one line so you do not see it in VS Code) is an    |
|      obfuscated `eval(Buffer.from(...))` or `axios.get(...)` call.      |
|                                                                         |
| 2. Stage 1: BeaverTail (JavaScript Info-Stealer inside Node.js):        |
|    - Scans Chrome, Brave, Opera, Edge, Vivaldi (`Default` & `Profile N`)|
|      for `Login Data`, `Local Extension Settings` (MetaMask `nkbihfbeog`|
|      Phantom `bfnaelmome`, Rabby `acmacodkjb`), and Solana `id.json`.   |
|    - Uploads stolen vaults & cookies immediately to `http://<C2>:1224`. |
|                                                                         |
| 3. Stage 2: InvisibleFerret (Python Backdoor + AnyDesk Persistence):    |
|    - BeaverTail downloads a standalone portable Python 3.11 zip into    |
|      `~/.npl/` or `%UserProfile%\.pyp\` and runs `~/.npl/.pyp/python`   |
|      executing `~/.npl/main.py` (`InvisibleFerret`).                    |
|    - InvisibleFerret logs keystrokes, reads your clipboard, scans your  |
|      entire drive for `.env`, `.ssh`, `seed`, `mnemonic`, and silently  |
|      downloads/configures `AnyDesk` for full remote desktop control.    |
+-------------------------------------------------------------------------+

Passaggio 2: verificare l'esatto BeaverTail e InvisibleFerret Indicatori di compromesso (IoCs)¶

Mentre il tuo computer Mac, Linux o Windows infetto è completamente disconnesso da Wi-Fi ed Ethernet, apri un terminale (o PowerShell) per verificare se la Fase 2 (InvisibleFerret) è stato rilasciato sul tuo disco:

# On macOS or Linux (WITH WI-FI OFF):
ls -la ~/.npl ~/.pyp ~/.vscode
ps aux | grep -iE "npl|pyp|main\.py|anydesk|node"

# Search the cloned interview repository for hidden horizontal-scroll obfuscation or base64 evals:
grep -rnE "Buffer\.from|child_process|execSync|\.npl|\.pyp|:1224|:1244|nkbihfbeogaeaoehlefnkodbefgpgknn" /path/to/cloned/interview_repo/

# On Windows PowerShell (WITH WI-FI / ETHERNET OFF):
Get-ChildItem -Path $env:USERPROFILE -Force | Where-Object { $_.Name -match "^\.(npl|pyp)" }
Get-Process | Where-Object { $_.Path -match "npl|pyp|AnyDesk" }

Passaggio 3: eseguire l'evacuazione delle credenziali dello sviluppatore in 15 minuti e della crittografia (da un dispositivo pulito)¶

Non digitare nuove password o frasi seed sul computer infetto. Utilizzando uno smartphone pulito (iPhone / Android) o un computer separato senza compromessi:

1. Evacuare immediatamente tutti gli Hot Wallet di criptovaluta (Minutes 0 to 5):
2. Anche se il tuo portafoglio MetaMask, Phantom, Rabby o Exodus era bloccato con una password, BeaverTail ha caricato il file del vault crittografato (000003.log / LOCK / Local Extension Settings) E InvisibleFerret esegue un monitor keylogger/appunti (e su macOS viene visualizzato un falso file native osascript finestra di dialogo della password che richiede la password del sistema Mac per sbloccare login.keychain-db).
3. Crea un nuovissimo portafoglio sul tuo smartphone o portafoglio hardware (Ledger / Trezor) con una nuova frase seed di 12/24 parole e trasferisci il 100% dei tuoi token, NFT e posizioni di staking da ogni portafoglio che abbia mai toccato quel computer.
4. Revocare tutti i GitHub, GitLab, Bitbucket e Cloud (AWS / GCP / Azure / Vercel) credenziali (Minutes 5 to 10):
5. GitHub: accedi al tuo telefono -> Impostazioni -> Chiavi SSH e GPG -> Elimina ogni chiave SSH memorizzata in -/.ssh/ sul portatile infetto. Quindi vai su Impostazioni -> Impostazioni sviluppatore -> Token di accesso personali (revoca tutti i token) e Impostazioni -> Sessioni -> Revoca tutte le sessioni.
6. AWS / GCP / Cloud: disattiva immediatamente ogni AWS_ACCESS_KEY_ID memorizzato in -/.aws/credentials o all'interno di qualsiasi .env file su quel laptop (InvisibleFerret esegue la scansione ricorsivamente di ogni cartella di progetto sul tuo disco .env, .npmrc, .pypirc, kubeconfig, e id_rsa).
7. Se sul portatile erano presenti archivi/chiavi del datore di lavoro o del cliente: avvisare il Security Operations Center del datore di lavoro (SOC / CISO) immediatamente in modo da poter effettuare la rotazione aziendale .env segreti e commit di controllo.
8. Revoca tutte le sessioni del browser (Google, Microsoft, Apple, Slack, Discord, Telegram) (Minutes 10 to 15):
9. Ricorda: la modifica di una password spesso non invalida i cookie di sessione rubati a meno che tu non faccia esplicitamente clic su "Esci da tutti i dispositivi/Revoca tutte le sessioni" in Sicurezza Google, Account Microsoft, Slack, Discord e X/Twitter.
10. Cambia il tuo Gestore password (1Password, Bitwarden, Keeper) password principale e revocare il token del dispositivo autorizzato del laptop infetto.
11. Cancella e reinstalla il sistema operativo sulla workstation infetta: Perché InvisibleFerret installa attività in background persistenti, modifica i file binari del browser e rilascia AnyDesk accesso remoto, semplicemente cancellando -/.npl e il repository clonato è insufficiente. Eseguire il backup solo di documenti/file di origine semplici (verificato come pulito con git status / git diff), quindi esegui una cancellazione completa e una reinstallazione del sistema operativo (macOS Erase All Content and Settings o cancellazione pulita della partizione USB di Windows).

Fase 3: risposta di emergenza alle truffe relative agli assegni falsi relativi ad "attrezzature per ufficio domestico".¶

Se ti venisse offerto un lavoro a distanza (Administrative Assistant, Data Entry, Customer Support, Project Coordinator, Graphic Designer), hai ricevuto un assegno (tramite email PDF da stampare e depositare tramite dispositivo mobile, o tramite busta notturna FedEx/UPS) per acquistare un laptop e attrezzature per l'home office e lo hai depositato sul tuo conto bancario, sei in una corsa contro la finestra di restituzione per la compensazione degli assegni della Federal Reserve.

1. Perché l'app della banca dice "Fondi disponibili" su un assegno falso al 100% (The Regulation CC Float Trap)¶

+-------------------------------------------------------------------------+
| HOW THE FAKE "EQUIPMENT CHECK" FLOAT TRAP WORKS                         |
|                                                                         |
| Day 1 (Monday): You deposit the scammer's $3,500 "Equipment Check"      |
|                 using your bank's Mobile Deposit app.                   |
| Day 2 (Tuesday): Under US Federal Law (Regulation CC), your bank MUST   |
|                  release the funds within 1-2 business days. Your app   |
|                  now shows: "Available Balance: +$3,500.00".            |
| Day 2 (Tuesday PM): "Hiring Manager" tells you to Zelle/Wire $2,800     |
|                     immediately to their "Approved MacBook Vendor" so   |
|                     your laptop arrives by Friday.                      |
| Day 8 (Next Tuesday): The real corporate bank whose routing/account     |
|                       number was forged on the check rejects it as      |
|                       COUNTERFEIT / ALTERED (`Return Code R29 / Refer   |
|                       to Maker`).                                       |
| RESULT ON DAY 8:                                                        |
|   - Your bank claws back the full $3,500.00 from your balance.          |
|   - The $2,800 you sent via Zelle/Wire is gone forever.                 |
|   - Your account drops to -$2,800.00 overdraft, and your bank's risk    |
|     algorithm may freeze/close your account and report you to           |
|     ChexSystems as a check-fraud risk.                                  |
+-------------------------------------------------------------------------+

2. Protocollo di protezione bancaria passo passo se hai depositato l'assegno¶

Caso A: Hai depositato l'assegno, ma NON hai ancora inviato denaro al "venditore".¶

Hai perso $0 finora e puoi impedire alla tua banca di chiudere il tuo conto se agisci subito: 1. NON ritirare, spendere o trasferire un solo centesimo dei fondi assegni depositati. Lascia il pieno $3,500 rimanendo intatto sul conto in modo che quando l'assegno rimbalza in 5-10 giorni lavorativi, la banca recupera il proprio credito provvisorio in modo pulito con $0 scoperto. 2. Chiama immediatamente il dipartimento antifrode della tua banca (o entra in una filiale fisica e parla con un direttore di filiale): - Quando un assegno contraffatto rimbalza silenziosamente senza spiegazione, i motori bancari automatizzati per il rischio (Early Warning Services / ChexSystems) non è in grado di stabilire se sei stato tu il truffatore o una vittima innocente in cerca di lavoro. - Spiega chiaramente al rappresentante della banca: "Ho fatto domanda per un lavoro da remoto e il truffatore mi ha inviato un assegno per attrezzature da '$ 3.500' che ho depositato su dispositivo mobile oggi. Mi sono appena reso conto che si tratta di una truffa con assegni di lavoro falsi. NON ho speso o trasferito un solo dollaro dei fondi. Inserisci una nota di vittima di truffa sul lavoro sul mio profilo e annulla/trattieni il credito provvisorio in modo che il mio account non venga penalizzato quando l'assegno non viene pagato." - Chiedi alla banca di rinunciare al $15 to $35 Restituisci la commissione per l'articolo depositato e conferma che il tuo account non verrà contrassegnato per la chiusura.

Caso B: hai depositato l'assegno E hai già inviato denaro (Zelle, Venmo, Wire, Cash App, Crypto, o Gift Cards)¶

1. Chiama il dipartimento antifrode della tua banca entro 60 secondi:
2. Segnala entrambi i lati del crimine: (a) il deposito dell'assegno in entrata è un assegno contraffatto per una truffa sul lavoro che sta per rimbalzare e (b) il trasferimento in uscita di Zelle / Venmo / Wire / ACH è stato indotto da una frode sul lavoro.
3. Se hai inviato un bonifico bancario (Fedwire / SWIFT) nelle ultime 24-72 ore: richiedere un immediato richiamo fraudolento di bonifico bancario (SWIFT MT192 / pacs.004) e presentare una segnalazione urgente a ic3.govquindi il Recovery Asset Team dell'FBI (RAT) può emettere una Kill Chain per frodi finanziarie (FFKC) si bloccano sull'account mule ricevente.
4. Se hai inviato Zelle, Venmoo nel Regno Unito Faster Payments: Invia un Pagamento push autorizzato (APP) reclamo per frode e richiedere i dettagli di routing/istituto della banca ricevente (Zelle Network Fraud).
5. Se il truffatore ti ha detto di acquistare carte regalo Apple, Razer Gold, Steam o Target: chiama immediatamente la linea antifrode dell'emittente della carta regalo con i numeri di serie della ricevuta per congelare l'eventuale saldo della carta non riscattata.
6. Preparati per il $3,500 verifica il recupero in modo che il tuo account non diventi negativo nell'addebito di ChexSystems:
7. Quando il falso $3,500 l'assegno non viene restituito entro 5-10 giorni e la tua banca lo detrarrà $3,500 dal tuo account. Collabora con il team di recupero frodi della tua banca per impostare un piano di rimborso a interessi zero per qualsiasi saldo negativo prima del giorno 30, in modo che la banca non segnali una chiusura involontaria del conto a ChexSystems o Early Warning Services (EWS).

Fase 4: bloccare la tua identità se hai inviato un file I-9, W-4, SSN, passaporto o modulo di deposito diretto¶

I reclutatori falsi inviano quasi sempre un "pacchetto di onboarding" (Form W-4, Form I-9, Direct Deposit Authorizatione foto fronte e retro della patente di guida, del passaporto o della tessera di previdenza sociale) prima di far scattare l'assegno o la trappola del malware. Se hai inviato uno di questi documenti, esegui oggi stesso questo blocco dell'identità in 5 passaggi:

1. Chiudere il numero di conto bancario esposto (Direct Deposit modulo): un modulo di deposito diretto fornisce al truffatore il tuo numero di routing bancario (ABA) e il numero di conto corrente completo, oltre a una copia di un assegno stornato con la tua firma, che è tutto ciò che serve per stampare assegni cartacei fraudolenti o avviare assegni non autorizzati ACH Debit preleva dal tuo account. Chiedi alla tua banca di chiudere quel numero di conto e spostare i tuoi fondi su un nuovo numero di conto interno.
2. Effettua un blocco del credito gratuito presso tutte e tre le agenzie di credito:
3. Equifax (equifax.com/personal/credit-report-services/credit-freeze/ / 1-888-298-0045)
4. Experiano (experian.com/freeze/ / 1-888-397-3742)
5. TransUnione (transunion.com/credit-freeze / 1-800-916-8800)
6. Congelare ChexSystems (chexsystems.com) e NCTUE: Le banche utilizzano ChexSystems (non Equifax/Experian) quando qualcuno apre un conto corrente a tuo nome. Effettua un ChexSystems Security Freeze gratuito online in modo che i truffatori non possano aprire conti bancari utilizzando la patente di guida rubata e il pacchetto I-9.
7. Blocca il tuo numero di previdenza sociale myE-Verify (USCIS): Vai a myeverify.uscis.gov e attiva Self Lock, che impedisce a chiunque di utilizzare il tuo SSN nel sistema occupazionale federale E-Verify.
8. ** Ottieni un IRS Identity Protection PIN (IP PIN) (irs.gov/ippin)**: impedisci ai truffatori di presentare una dichiarazione di rimborso fiscale fraudolenta a tuo nome registrando immediatamente un PIN IP IRS a 6 cifre.

Fase 5: fermare in modo sicuro la truffa "Rispedizione pacchi" o "Crypto Task".¶

E se venissi assunto per una di queste due truffe sul lavoro a distanza senza assegno?

Scenario 1: hai accettato un lavoro di "controllo qualità/spedizioni pacchi" e hai dei pacchi a casa tua¶

Se hai ricevuto MacBook, iPhone o dispositivi elettronici al tuo indirizzo di casa e ti sono state fornite etichette di spedizione USPS/UPS/FedEx PDF prepagate per inoltrarli: - INTERROMPI immediatamente la spedizione dei pacchi. Ogni pacco arrivato a casa tua è stato acquistato utilizzando una carta di credito rubata in cui il truffatore ha inserito il tuo nome e indirizzo di casa come Ship To indirizzo. - NON restituire i pacchi all'indirizzo del truffatore: conserva le scatole non aperte, salva ogni email, chat di Telegram, etichetta di spedizione in PDF e contratto di lavoro come prova e contatta la polizia locale e le U.S. Servizio di ispezione postale (1-877-876-2455 / uspis.gov) (o Action Fraud nel Regno Unito) per organizzare la restituzione della merce ai rivenditori truffati.

Scenario 2: sei stato reclutato tramite WhatsApp/Telegram per un lavoro di crittografia "Ottimizzazione app/valutazione prodotto"¶

• Come funziona la trappola: Il "datore di lavoro" ti paga $50 to $150 nel reale USDT il primo giorno per aver fatto clic su pulsanti in un portale web falso. Il giorno 2 o 3, il tuo account esegue un "Attività combinata" che porta il saldo del tuo portale a -$400 e richiede di depositare $400 del tuo USDT per "completare la serie di 40 attività". Nel momento in cui depositi $400, richiede un secondo compito $1,800, quindi $6,000, quindi $25,000 per "tasse".
• Azione immediata: INTERROMPI immediatamente il deposito di criptovaluta. I numeri sul sito Web dell'attività sono valori HTML falsi controllati dal truffatore; pagare il saldo negativo non sbloccherà mai un prelievo. Interrompi tutti i contatti ed evita gli "hacker del recupero criptovalute" su Telegram o Instagram.

Numeri di emergenza regionali e protocolli d'agenzia¶

Segnala malware per interviste remote (Contagious Interview), frode relativa agli assegni di lavoro e furto di identità durante l'onboarding alle autorità informatiche e finanziarie ufficiali della tua regione:

• Stati Uniti e Canada: Quadrante 911per qualsiasi emergenza di sicurezza fisica. Segnala malware sviluppatore (Lazarus / BeaverTail) e falsi controlli di lavoro/perdite di incarichi a favore dell'FBI IC3 (ic3.gov), la FTC (ReportFraud.ftc.gov e IdentityTheft.gov) e l'USPIS (1-877-876-2455). In Canada, contattare il Centro antifrode canadese (1-888-495-8501) e il Centro canadese per la sicurezza informatica (1-833-CYBER-88).
• Regno Unito: Quadrante 999per emergenze o101per la Polizia Locale. Quadrante 159 per connetterti al dipartimento antifrode della tua banca e segnalare truffe di posti di lavoro falsi e malware degli sviluppatori a Action Fraud (0300 123 2040 / actionfraud.police.uk) e il NCSC (ncsc.gov.uk). Prendere in considerazione la Registrazione protettiva CIFAS (cifas.org.uk).
• Unione Europea: Quadrante 112in tutti gli stati membri dell'UE, avvisa immediatamente il desk antifrode della tua banca e presenta una segnalazione all'unità nazionale per la criminalità informatica della polizia e al CSIRT nazionale.
• Australia e Nuova Zelanda: Quadrante 000 in Australia o 111in Nuova Zelanda. Segnala truffe su lavoro e attività a Scamwatch (scamwatch.gov.au), ReportCyber (cyber.gov.au, 1300 CYBER1), e contattare IDCARE (1800 595 160 in Australia / 0800 121 068 in Nuova Zelanda).
• India e Asia-Pacifico: quadrante 112 in India per le emergenze e chiamare la National Cyber Crime Helpline (1930 / cybercrime.gov.in) per congelare immediatamente i bonifici bancari fraudolenti. A Singapore, chiama la Helpline anti-truffa (1799).

Domande frequenti¶

Ho clonato il repository GitHub del reclutatore (git clone ...), ha aperto i file in VS Code per leggerli e non è MAI stato eseguito npm install o npm start. Sono ancora infetto?¶

A differenza `npm install` (che corre `package.json` script), funzionanti a nudo `git clone` e leggere in modo semplice `.js` files non esegue il codice da solo A MENO CHE il repository non contenesse un file dannoso `.vscode/tasks.json` file con `"runOn": "folderOpen"` E hai fatto clic su "Sì, mi fido degli autori" quando VS Code ha aperto la cartella. Controlla se a `.vscode/tasks.json` il file esiste all'interno del repository clonato (`cat /path/to/repo/.vscode/tasks.json`) e controlla se `-/.npl` o `-/.pyp` è stato creato nella tua directory home. Se nessuno dei due esiste e non sei mai scappato `npm`, `yarn`, `python`, o `node`, il tuo sistema non ha eseguito il payload: elimina semplicemente la cartella clonata.

Cosa succede se eseguissi il test di codifica dell'intervista all'interno di un contenitore Docker (docker compose up) sul mio Mac o PC Windows? Il contenitore mi ha protetto?¶

Dipende da quali volumi sono stati montati all'interno `docker-compose.yml` o il `Dockerfile`. Se hai eseguito il contenitore con un file system isolato, il malware non è riuscito a vedere i cookie Chrome host o l'estensione MetaMask. Tuttavia, molti `Contagious Interview` i repository includono a `docker-compose.yml` che esegue segretamente il bind-mount della directory home del tuo host (`volumes: - -/.ssh:/root/.ssh` o `- -/:/host_home`) o funziona con `privileged: true`. Ispezionare `docker-compose.yml` nel repository immediatamente: se è montato `-`, `$HOME`, o `/Users`, tratta il tuo laptop host come compromesso.

Come potrebbe un assegno essere falso se fosse un "assegno circolare" consegnato da FedEx Overnight con filigrana e il cassiere della banca lo accettasse allo sportello?¶

Gli assegni circolari contraffatti vengono stampati su un vero stock di assegni chimici utilizzando il numero di routing valido e magnetico `MICR` carattere inchiostro di una grande banca. Un cassiere di banca umano allo sportello di una filiale verifica solo che il numero di routing sia valido e che l'assegno sembri fisicamente autentico; il cassiere non può vedere all'interno del registro interno di un'altra banca per sapere se il numero di serie dell'assegno è stato effettivamente emesso. Solo quando l'immagine dell'assegno passa attraverso il centro di compensazione della Federal Reserve (`5 to 10 business days later`) la banca emittente lo rifiuta come contraffatto.

Posso andare in prigione se inconsapevolmente deposito un assegno di lavoro falso e spendo parte del denaro prima che venga restituito?¶

Essere ingannati da una truffa sugli assegni di lavoro non ha intenti criminali (`mens rea`), a condizione di non mentire alla banca e di denunciare la truffa al dipartimento antifrode della banca e alla polizia (`IC3` / verbale della polizia locale) immediatamente. Tuttavia, ai sensi del contratto di conto deposito della tua banca e del **Codice commerciale uniforme (`UCC § 4-207 / § 4-214`)**, il titolare del conto che gira e deposita un assegno è civilmente e contrattualmente tenuto a rimborsare alla banca il 100% dell'eventuale saldo negativo dello scoperto quando un assegno depositato risulta non pagato.

Perché il reclutatore ha effettuato una vera videochiamata di 30 minuti con me su Zoom/Google Meet se erano hacker nordcoreani di Lazarus?¶

La RPDC **`Contagious Interview` (`UNC4899` / `Famous Chollima`)** gli operatori impiegano persone che parlano inglese fluentemente per condurre chiamate convincenti di screening delle risorse umane da 20 a 45 minuti su Zoom, Google Meet o Calendly. Perché spesso vale una singola postazione di lavoro per sviluppatore `$50,000 to $2,000,000+` nelle chiavi del protocollo DeFi, nell'accesso multisig alla tesoreria o nelle credenziali di produzione del cloud aziendale, dedicando 30 minuti a una videochiamata dal vivo per convincerti a correre `npm install` secondo la loro valutazione, il pronti contro termine ha un elevato ritorno sull'investimento per l'autore della minaccia.

Cosa succederebbe se il "datore di lavoro" inviasse denaro al mio conto bancario tramite ACH/Zelle e mi chiedesse di prelevare contanti o acquistare Bitcoin da inviare al suo cliente?¶

Questo è un **Money Mule (`Layering`)** operazione. A differenza di un assegno cartaceo (che rimbalza prima di essere regolato), se `$4,000` effettivamente arrivato nel tuo account tramite `ACH`, `Zelle`, o `Wire`, **Quello `$4,000` è stato rubato dal conto bancario di una vittima innocente di hacking o di truffa sentimentale**. Se lo ritiri o lo converti in Bitcoin per il tuo "datore di lavoro", le forze dell'ordine e la banca della vittima rintracciano i fondi rubati direttamente sul tuo conto bancario. Non prelevare né inoltrare un solo centesimo; chiama immediatamente il dipartimento antifrode della tua banca e chiedi loro di restituire il trasferimento non autorizzato all'istituto di origine.

Guide correlate¶

• Truffe di offerte di lavoro false, frode nel controllo delle apparecchiature e furto di identità durante l'onboarding
• Compromissione del pacchetto npm/PyPI della supply chain e rotazione delle chiavi della workstation dello sviluppatore
• Dirottamento dei cookie di sessione, malware infostealer e revoca della passkey
• CAPTCHA falso ClickFix PowerShell Win+R malware degli appunti e riparazione Lumma Infostealer
• Drenaggio del portafoglio di criptovaluta e compromissione della frase seed
• Frode nell'app di pagamento push autorizzato (APP): imitazione di Zelle, Venmo e Faster Payments e diritti di rimborso
• Risposta al furto di identità
• Numeri di emergenza per paese

Fonti e indicazioni ufficiali¶

• Federal Bureau of Investigation (FBI), Agenzia per la sicurezza informatica e delle infrastrutture (CISA) e Centro per la criminalità informatica del Dipartimento della Difesa (DC3) (Stati Uniti): Consulenza congiunta: Corea del Nord (DPRK) Campagne di ingegneria sociale rivolte agli sviluppatori di software (Contagious Interview / BeaverTail / InvisibleFerret).
• Unità 42 delle reti di Palo Alto (unit42.paloaltonetworks.com): Gli attori della minaccia nordcoreana attirano le persone in cerca di lavoro nel settore tecnologico come falsi reclutatori (Contagious Interview Analisi).
• Commissione federale per il commercio (FTC) e Federal Reserve Board (Stati Uniti): Consigli ai consumatori in merito alle truffe sugli assegni falsi, ai pacchi scambiati e Regulation CC (12 CFR Part 229) Regole.
• Servizi per la cittadinanza e l'immigrazione degli Stati Uniti (USCIS): myE-Verify Guida alla protezione dell'identità con blocco automatico.
• Centro nazionale per la sicurezza informatica (NCSC) e Action Fraud (Regno Unito): mitigazione degli archivi di codici dannosi e delle frodi nel reclutamento.