Viltus darba piedāvājums un attālinātās intervijas krāpniecība: Ziemeļkorejas Lazarus BeaverTail npm Repo ļaunprātīga programmatūra, viltotu iekārtu pārbaudes un identitātes bloķēšana¶

Attālinātās darba intervijas vai uzņemšanas procesa laikā apzināties, ka “vervētājs” vai “nomas vadītājs” izmanto izsmalcinātu kiber- vai finanšu slazdu, ir divējāda ārkārtas situācija. Mūsdienu attālinātā darba izkrāpšana iedalās divās ļoti destruktīvās operācijās, kuras identificē FIB, CISA un globālās kiberaģentūras: (1) ** Programmatūras izstrādātāju un kriptogrāfijas "kodēšanas novērtēšanas" ļaunprātīga programmatūra (Contagious Interview / KTDR Lazarus grupa BeaverTail & InvisibleFerret)**, kur LinkedIn, Upwork vai Telegram vervētājs lūdz programmatūras inženieri vai Web3/AI kandidātu klonēt GitHub, GitLab vai Bitbucket repozitoriju un palaist npm install && npm start (vai Python/Docker versija) savā galvenajā klēpjdatorā, lai "izlabotu kļūdu pirms tiešraides intervijas", klusi izpildot informācijas zagļu, kas izfiltrē katru pārlūkprogrammas sesijas sīkfailu, paroļu pārvaldnieka glabātuvi, .ssh atslēga, .env failu un kriptovalūtas maku mazāk nekā 5 sekundēs; un (2) viltus čeks “Mājas biroja aprīkojums” un pārsūtīšanas mūļu izkrāpšana, kurā uzdotais uzņēmums veic īsziņas/komandu interviju un nosūta e-pasta ziņojumu par viltojumu. $2,500 to $5,000 pārbaudiet, vai nav iestatīta MacBook Pro un mājas biroja iestatīšana, un uzdod jums mobilajā ierīcē iemaksāt čeku un nosūtīt $2,200 izmantojot Zelle, Venmo, vadu vai dāvanu kartes savam "apstiprinātajam IT aprīkojuma pārdevējam", pirms čeks tiek atgriezts dažas dienas vēlāk. Informāciju par SSN/I-9 identitātes zādzību un vispārēju čeku krāpšanu, skatiet viltus darba piedāvājumu krāpniecība, aprīkojuma pārbaudes krāpšana un identitātes zādzība; par npm/PyPI pakotnes atslēgu rotāciju un pārlūkprogrammas sīkfailu zādzību, konsultējieties piegādes ķēdes npm/PyPI pakotnes kompromiss un izstrādātāja darbstacijas atslēgu rotācija un sesijas sīkfailu nolaupīšana, informācijas zagšanas ļaunprātīga programmatūra un piekļuves atslēgas atsaukšana. Ja jūs saskaras ar tūlītēju fizisku piespiešanu, sita draudiem vai personiska kurjera konfrontācija, zvaniet uz vietējo neatliekamās palīdzības numuru (911 ASV un Kanādā, 112 visā Eiropas Savienībā, 999 Apvienotajā Karalistē) vai pārbaudiet mūsu direktoriju neatliekamās palīdzības numuri.

Dariet to tagad¶

1. JA TU SKKRĒJI npm install, npm test, yarn, pip install, vai viltotu Zoom/Teams/Miro .dmg/.exe darba intervijai: 3 SEKUNČU LAIKĀ ATvienojiet DATORU NO WI-FI UN ETHERNETA:
2. Nekavējoties izvelciet Ethernet kabeli vai izslēdziet Wi-Fi IZSLĒGTS.
3. BeaverTail JavaScript/Node.js kravnesība lejupielādē portatīvo Python vidi (-/.npl vai %UserProfile%\.pyp) un palaiž InvisibleFerret aizmugurējās durvis, kas savienojas ar komandu un vadības ierīci (C2) serveris (:1224 / :1244) tiešraidē straumējot taustiņsitienus, starpliktuvi un failu sistēmu.
4. Izmantojiet atsevišķu, tīru viedtālruni (iPhone vai Android mobilajos datos), lai evakuētu visus kriptovalūtas makus un atsauktu katru aktīvo pārlūkprogrammas sesiju (Google, GitHub, AWS, Microsoft, Apple):
5. BeaverTail Mērķi: MetaMask, Phantom, Rabby, Coinbase Wallet, Trust Wallet, Exodus, Electrum un Solana CLI (-/.config/solana/id.json) glabātuves faili, kopā ar Login Data un Cookies Chrome, Brave, Edge, Arc un Firefox, kā arī jūsu MacOS login.keychain-db.
6. No tīras ierīces pārsūtiet visus karstajos makos esošos kriptovalūtus uz pilnīgi jaunu aparatūras maka sēklu, atsauciet visas aktīvās tīmekļa sesijas pakalpojumā Google (myaccount.google.com/security), GitHub (github.com/settings/sessions) un AWS/Cloud konsolēm un izdzēsiet savas apdraudētās SSH un GPG atslēgas no GitHub/GitLab.
7. JA NODOKĀJĀT DARBA DEVĒJA PĀRSKATU "MĀJAS BIROJA IEKĀRTA": NESŪTIET NEVIENU DOLĀRU NEVIENAM "PĀRDEVĒTĀJAM" UN NEKAVĒJOTIES ZVANIET UZ BANKAS KRĀPŠANAS NODAĻU:
8. Pat ja jūsu bankas lietotne parāda $3,500 pārbaudiet kā "Pieejams atlikums / līdzekļi atbrīvoti", ka nauda NAV notīrīta. Saskaņā ar ASV Federālo rezervju sistēmas noteikumiem CC (Expedited Funds Availability Act), bankām ir jāpadara provizoriski pieejami čeku noguldījumi 1 to 2 business days, savukārt, atklājot, ka čeka maršrutēšanas/konta numurs ir viltots, nepieciešams 5 to 14 business days.
9. Zvaniet uz debetkartes aizmugurē norādīto numuru un ziņojiet: "Mani uzbruka krāpniecība ar darba čeku un neapzināti noguldīju čeku, par kuru ir aizdomas, ka tas ir viltots; lūdzu, atzīmējiet depozītu, lai mans konts netiktu slēgts krāpšanas dēļ."
10. JA JAU JAU SŪTĪJĀT ZELLE, VENMO, WIRE VAI BITCOIN bankomāta LĪDZEKĻUS "IEKĀRTAS PĀRDEVĒTĀJAM": nekavējoties zvaniet savas bankas Krāpšanas/pārvedumu atsaukšanas dienestam (par pārskaitījumiem, pieprasiet tūlītēju SWIFT / Fedwire Recall un FIB IC3 Recovery Asset Team iesaldēt; Zelle/Faster Payments, ziņojiet par Autorizētu maksājumu (Push Payment)APP) nodarbinātības uzdošanās scam saskaņā pilnvarota push maksājumu lietotņu krāpšana un atlīdzināšanas tiesības).
11. JA AUGšupielādējāt SSN, PASES, VADĪTĀJA APLIECĪBAS, W-4, I-9 VAI TIEŠĀ DEPOŽA BANKAS MARŠRUTA NUMURU: iesaldējiet kredītu vietnēs Equifax, Experian un TransUnion, iesaldējiet ChexSystems onify, bloķējiet savu S-ESN.myeverify.uscis.gov) un lūdziet bankai aizvērt atklāto norēķinu konta numuru un atvērt konta aizstājēju.
12. JA JŪS PIEŅĒMĒJĀT "PAKO PĀRBAUDES/LOĢISTIKAS KOORDINATORA" DARBU, SAŅEMOT UN PĀRSŪTĪŠANU SŪTĀM NO MĀJĀM: NEKAVĒJOTIES PĀRTRAUJIET SAKĀJUMU SŪTĪT: šī elektronika (iPhones, MacBooks, camera lenses) tika iegādāti ar zagtām kredītkartēm un nosūtīti uz jūsu mājas adresi (Parcel Mule Scam). Saglabājiet visas piegādes etiķetes un tērzēšanas žurnālus un sazinieties ar vietējo policiju vai ASV pasta inspekcijas dienestu (USPIS).

Lēmumu koks: attālināta intervija un viltota darba ārkārtas šķirošana¶

Izmantojiet šo blokshēmu, lai tieši pārietu uz ierobežošanas protokolu, kas atbilst precīzam darba krāpniecības variantam, ar kuru jūs sastapāties:

flowchart TD
    Start["Ārkārtas situācija: aizdomas par viltotu darba interviju, kodēšanas testu vai krāpniecību"] --> ScamType{"Ko “Vervētājs” vai “darba devējs” lūdza jums darīt?"}

    ScamType -->|"1. Klonējiet Git Repo un palaist npm/Python/Docker VAI instalējiet pielāgotu videozvanu lietotni."| DevTrap["KRITISKI: KTDR lipīgā intervija (BeaverTail/InvisibleFerret) Info-Stealer"]

    ScamType -->|"2. Iemaksājiet čeku (PDF/pasts) un nosūtiet naudu “apstiprinātam aprīkojuma pārdevējam”"| CheckTrap["Viltus čeku pārmaksāšanas krāpniecība: provizoriski ieskaitīts čeks tiks atgriezts 5-14 dienu laikā"]

    ScamType -->|"3. Aizpildiet I-9 / W-4 / SSN / Pase / Tiešā depozīta veidlapa pirms krāpniecības atklāšanas"| IdTrap["Identitātes iekļaušana un algas zādzība: kredīta iesaldēšana, ChexSystems, IRS IP PIN un bankas konts"]

    ScamType -->|"4. Saņemiet sūtījumus mājās, pārbaudiet tos un nosūtiet atkārtoti ar nodrošinātajām etiķetēm VAI maksājiet “Uzdevuma” kriptovalūtu"| MuleOrTask["Paku pārsūtīšana VAI “Lietotņu optimizācijas” kriptogrāfijas uzdevumu krāpniecība"]

    DevTrap --> CutNet["1. Izstrādātāja darbstacijā nekavējoties IZSLĒDZIET Wi-Fi/Atvienojiet Ethernet"]
    CutNet --> EvacPhone["2. Tīrā tālrunī: kriptovalūtu pārvietošana + Google/GitHub/AWS sesiju atsaukšana + SSH atslēgu pagriešana."]
    EvacPhone -->ForensicClean["3. Pārbaudiet -/.npl, -/.pyp, package.json un pārlūkprogrammas profilus , > Notīriet un pārinstalējiet OS tīri."]

    CheckTrap --> SentMoney{"Vai jūs jau nosūtījāt naudu aprīkojuma pārdevējam?"}
    SentMoney -->|"Nē: Čeks iemaksāts, 0 $ izsūtīts"| WarnBank["Nepieskarieties līdzekļiem , > Nekavējoties zvaniet bankas krāpšanas dienestam, lai atzīmētu, ka čeka depozīts nav zināms."]
    SentMoney -->|"Jā: nosūtīts, izmantojot Zelle / Wire / Crypto / dāvanu kartes"| RecallFunds["Nekavējoties zvaniet bankas pārskaitījuma/krāpšanas dienestam -> Sedziet negatīvo overdraftu pirms čeka atlēcieniem -> Fails IC3 atskaite"]

    IdTrap --> LockCredit["Iesaldēt Equifax/Experian/TransUnion + ChexSystems -> Aizvērt atklāto bankas konta numuru -> Lock myE-Verify"]
    MuleOrTask --> StopShip["Pārtrauciet paku pārsūtīšanu un kriptovalūtu noguldīšanu , > Saglabājiet pavadzīmes un ziņojiet USPIS/IC3"]

1. fāze: kā zem pārsega darbojas divi galvenie attālo darbu slazdi¶

Salīdziniet trīs primāro nodarbinātības ārkārtas situāciju vektoru tehnisko mehāniku un sarkanā karoga indikatorus, kas darbojas visā pasaulē:

2. fāze: ārkārtas reaģēšana programmatūras izstrādātājiem (Contagious Interview / BeaverTail / InvisibleFerret)¶

Ja esat programmatūras izstrādātājs, kurš klonēja repozitoriju no vervētāja vai intervētāja un skrēja npm install, npm start, yarn, pnpm, python, cargo, vai izpildāmā failā jūsu Windows, macOS vai Linux darbstacijā, izpildiet šo precīzo incidentu atbildes secību, pamatojoties uz Palo Alto Networks Unit 42, CrowdStrike un CISA/FBI draudu izlūkošanu Ziemeļkorejā Contagious Interview kampaņa.

1. darbība: izprotiet 2 posmu BeaverTail -> InvisibleFerret Nogalināt ķēdi jūsu diskā¶

Kā šķietami parasta React/Node.js repozitorijs inficēja jūsu Mac vai PC, neizraisot pretvīrusu uznirstošo logu?

+-------------------------------------------------------------------------+
| ANATOMY OF A CONTAGIOUS INTERVIEW (BEAVERTAIL) MALICIOUS REPO           |
|                                                                         |
| 1. The Decoy Repo (e.g., "mern-ecommerce-assessment" or "defi-dex-ui"): |
|    - 99% of the repo is real, working React/Express boilerplate code.   |
|    - Hidden at the very end of `server/routes/api/auth.js` or           |
|      `backend/controllers/userController.js` (often scrolled 300 spaces |
|      to the right on one line so you do not see it in VS Code) is an    |
|      obfuscated `eval(Buffer.from(...))` or `axios.get(...)` call.      |
|                                                                         |
| 2. Stage 1: BeaverTail (JavaScript Info-Stealer inside Node.js):        |
|    - Scans Chrome, Brave, Opera, Edge, Vivaldi (`Default` & `Profile N`)|
|      for `Login Data`, `Local Extension Settings` (MetaMask `nkbihfbeog`|
|      Phantom `bfnaelmome`, Rabby `acmacodkjb`), and Solana `id.json`.   |
|    - Uploads stolen vaults & cookies immediately to `http://<C2>:1224`. |
|                                                                         |
| 3. Stage 2: InvisibleFerret (Python Backdoor + AnyDesk Persistence):    |
|    - BeaverTail downloads a standalone portable Python 3.11 zip into    |
|      `~/.npl/` or `%UserProfile%\.pyp\` and runs `~/.npl/.pyp/python`   |
|      executing `~/.npl/main.py` (`InvisibleFerret`).                    |
|    - InvisibleFerret logs keystrokes, reads your clipboard, scans your  |
|      entire drive for `.env`, `.ssh`, `seed`, `mnemonic`, and silently  |
|      downloads/configures `AnyDesk` for full remote desktop control.    |
+-------------------------------------------------------------------------+

2. darbība: pārbaudiet precīzu BeaverTail un InvisibleFerret Kompromisa rādītāji (IoCs)¶

Kamēr inficētais Mac, Linux vai Windows dators ir pilnībā atvienots no Wi-Fi un Ethernet, atveriet termināli (vai PowerShell), lai pārbaudītu, vai 2. posms (InvisibleFerret) tika nomests jūsu diskā:

# On macOS or Linux (WITH WI-FI OFF):
ls -la ~/.npl ~/.pyp ~/.vscode
ps aux | grep -iE "npl|pyp|main\.py|anydesk|node"

# Search the cloned interview repository for hidden horizontal-scroll obfuscation or base64 evals:
grep -rnE "Buffer\.from|child_process|execSync|\.npl|\.pyp|:1224|:1244|nkbihfbeogaeaoehlefnkodbefgpgknn" /path/to/cloned/interview_repo/

# On Windows PowerShell (WITH WI-FI / ETHERNET OFF):
Get-ChildItem -Path $env:USERPROFILE -Force | Where-Object { $_.Name -match "^\.(npl|pyp)" }
Get-Process | Where-Object { $_.Path -match "npl|pyp|AnyDesk" }

3. darbība: veiciet 15 minūšu izstrādātāja akreditācijas datu un kriptovalūtu evakuāciju (no tīras ierīces)¶

Inficētajā datorā nerakstiet jaunas paroles vai sākuma frāzes. Izmantojot tīru viedtālruni (iPhone / Android) vai atsevišķu nekompromitētu datoru:

1. ** Nekavējoties evakuējiet visus kriptovalūtas karstos makus (Minutes 0 to 5)**:
2. Pat ja jūsu MetaMask, Phantom, Rabby vai Exodus maks tika bloķēts ar paroli, BeaverTail augšupielādēja jūsu šifrēto glabātuves failu (000003.log / LOCK / Local Extension Settings)un InvisibleFerret palaiž taustiņu bloķētāju/starpliktuves monitoru (un operētājsistēmā macOS tiek parādīts viltots native osascript paroles dialoglodziņš, kurā tiek prasīts atbloķēt jūsu Mac sistēmas paroli login.keychain-db).
3. Izveidojiet pilnīgi jaunu maku savā viedtālruņa vai aparatūras makā (Ledger/Trezor) ar pilnīgi jaunu 12/24 vārdu sākuma frāzi un pārsūtiet 100 procentus no saviem žetoniem, NFT un likmju pozīcijām no katra maka, kas jebkad ir pieskāries šim datoram.
4. Atsaukt visus GitHub, GitLab, Bitbucket un Cloud (AWS / GCP / Azure / Vercel) akreditācijas dati (Minutes 5 to 10):
5. GitHub: piesakieties savā tālrunī -> Iestatījumi -> SSH un GPG atslēgas -> Dzēsiet katru SSH atslēgu, kas tika saglabāta -/.ssh/ inficētajā klēpjdatorā. Pēc tam dodieties uz Iestatījumi -> Izstrādātāja iestatījumi -> Personiskās piekļuves pilnvaras (atsaukt visas pilnvaras) un Iestatījumi -> Sesijas -> Atsaukt visas sesijas.
6. AWS / GCP / Cloud: nekavējoties deaktivizējiet katru AWS_ACCESS_KEY_ID glabājas -/.aws/credentials vai iekšā jebkurā .env failu šajā klēpjdatorā (InvisibleFerret rekursīvi pārmeklē katru projekta mapi jūsu diskā .env, .npmrc, .pypirc, kubeconfig, un id_rsa).
7. Ja šajā klēpjdatorā bija darba devēja vai klienta krātuves/atslēgas: paziņojiet sava darba devēja drošības operāciju centram (SOC / CISO) nekavējoties, lai viņi varētu rotēt uzņēmumu .env noslēpumus un revīzijas saistības.
8. Atsaukt visas pārlūkprogrammas sesijas (Google, Microsoft, Apple, Slack, Discord, Telegram) (Minutes 10 to 15):
9. Atcerieties: paroles nomaiņa bieži vien nepadara nederīgus nozagtos sesijas sīkfailus, ja vien pakalpojumā Google drošība, Microsoft konts, Slack, Discord un X/Twitter tieši nenoklikšķināt uz "Izrakstīties no visām ierīcēm / atsaukt visas sesijas".
10. Mainiet savu Paroļu pārvaldnieku (1Password, Bitwarden, Keeper) galveno paroli un atsauciet inficētā klēpjdatora autorizētās ierīces pilnvaru.
11. Notīriet un atkārtoti instalējiet operētājsistēmu inficētajā darbstacijā: Jo InvisibleFerret instalē pastāvīgus fona uzdevumus, modificē pārlūkprogrammas bināros failus un atmet AnyDesk attālo piekļuvi, vienkārši dzēšot -/.npl un klonētā repozitorija nav pietiekama. Dublējiet tikai vienkāršus dokumentu/avota failus (pārbaudīts, ka tie ir tīri ar git status / git diff), pēc tam veiciet pilnu tīru OS dzēšanu un pārinstalējiet (macOS Erase All Content and Settings vai Windows USB tīra nodalījuma tīrīšana).

3. fāze: ārkārtas reaģēšana uz viltotu mājas biroja iekārtu čeku krāpniecību¶

Ja jums piedāvātu attālinātu darbu (Administrative Assistant, Data Entry, Customer Support, Project Coordinator, Graphic Designer), saņēmāt čeku (pa e-pastu PDF formātā drukāšanai un mobilajā depozītā vai ar FedEx/UPS aploksni uz nakti), lai iegādātos klēpjdatoru un mājas biroja aprīkojumu, un noguldījāt to savā bankas kontā, jūs cīnāties ar Federālo rezervju čeku dzēšanas atgriešanas logu.

1. Kāpēc bankas lietotnē uz 100% viltota čeka ir rakstīts “Pieejami līdzekļi” (The Regulation CC Float Trap)¶

+-------------------------------------------------------------------------+
| HOW THE FAKE "EQUIPMENT CHECK" FLOAT TRAP WORKS                         |
|                                                                         |
| Day 1 (Monday): You deposit the scammer's $3,500 "Equipment Check"      |
|                 using your bank's Mobile Deposit app.                   |
| Day 2 (Tuesday): Under US Federal Law (Regulation CC), your bank MUST   |
|                  release the funds within 1-2 business days. Your app   |
|                  now shows: "Available Balance: +$3,500.00".            |
| Day 2 (Tuesday PM): "Hiring Manager" tells you to Zelle/Wire $2,800     |
|                     immediately to their "Approved MacBook Vendor" so   |
|                     your laptop arrives by Friday.                      |
| Day 8 (Next Tuesday): The real corporate bank whose routing/account     |
|                       number was forged on the check rejects it as      |
|                       COUNTERFEIT / ALTERED (`Return Code R29 / Refer   |
|                       to Maker`).                                       |
| RESULT ON DAY 8:                                                        |
|   - Your bank claws back the full $3,500.00 from your balance.          |
|   - The $2,800 you sent via Zelle/Wire is gone forever.                 |
|   - Your account drops to -$2,800.00 overdraft, and your bank's risk    |
|     algorithm may freeze/close your account and report you to           |
|     ChexSystems as a check-fraud risk.                                  |
+-------------------------------------------------------------------------+

2. Soli pa solim bankas aizsardzības protokols, ja noguldījāt čeku¶

Lieta A: Jūs noguldījāt čeku, bet vēl NESŪTĪT NESĪT nekādu naudu "pārdevējam".¶

Tu esi zaudējis $0 līdz šim, un jūs varat neļaut savai bankai slēgt jūsu kontu, ja rīkojaties tūlīt: 1. ** NEIZŅEMTIET, NETĒRĒTIET un nepārskaitiet nevienu centu no iemaksātajiem čeku līdzekļiem**. Atstāj pilnu $3,500 neskarta sēžot kontā, lai tad, kad čeks atlec 5-10 darbadienu laikā, banka tīri atgūtu savu provizorisko kredītu ar $0 overdrafts. 2. Nekavējoties zvaniet savas bankas Krāpšanas nodaļai (vai dodieties uz fizisku filiāli un runājiet ar filiāles vadītāju): - Kad viltots čeks klusi un bez paskaidrojumiem atlec, automatizēti bankas riska dzinēji (Early Warning Services / ChexSystems) nevar pateikt, vai jūs bijāt krāpnieks vai nevainīgs darba meklētāja upuris. - Skaidri pasakiet bankas pārstāvim: "Es pieteicos attālinātam darbam, un krāpnieks man atsūtīja 3500 ASV dolāru aprīkojuma čeku, ko šodien noguldīju mobilajā ierīcē. Es tikko sapratu, ka tā ir viltota darba čeka krāpniecība. ES NAV iztērējis vai pārskaitījis nevienu dolāru. Lūdzu, ievietojiet manā profilā piezīmi par nodarbinātības krāpniecības upuri un atgrieziet čeku, ja manam kontam netiek atdots kredīts. - Lūdziet bankai atteikties no $15 to $35 Atgrieziet noguldītās preces maksu un apstipriniet, ka jūsu konts netiks atzīmēts kā slēgšana.

B gadījums: jūs noguldījāt čeku UN jau nosūtījāt naudu (Zelle, Venmo, Wire, Cash App, Crypto, vai Gift Cards)¶

1. 60 sekunžu laikā zvaniet savas bankas Krāpšanas nodaļai:
2. Ziņojiet par abām nozieguma pusēm: (a) ienākošā čeka depozīts ir viltots darba krāpniecības čeks, kas gatavojas atlēkt, un (b) izejošo Zelle/Venmo/Wire/ACH pārskaitījumu izraisīja krāpšana darbā.
3. Ja nosūtījāt bankas pārskaitījumu (Fedwire / SWIFT) pēdējo 24 līdz 72 stundu laikā: pieprasiet tūlītēju krāpniecisku vadu atsaukšanu (SWIFT MT192 / pacs.004) un iesniedziet steidzamu ziņojumu uz ic3.gov tātad FIB Atgūšanas līdzekļu komanda (RAT) var izdot finanšu krāpšanas nogalināšanas ķēdi (FFKC) iesaldē saņēmēja mūļa kontu.
4. Ja nosūtījāt Zelle, Venmo, vai Lielbritānijā Faster Payments: iesniedziet autorizētu maksājumu (APP) prasību par krāpšanu un pieprasiet saņēmējbankas maršrutēšanas/iestādes informāciju (Zelle Network Fraud).
5. Ja krāpnieks lika jums iegādāties Apple, Razer Gold, Steam vai Target dāvanu kartes: nekavējoties zvaniet dāvanu karšu izsniedzēja krāpšanas dienestam, norādot čeka sērijas numurus, lai iesaldētu neizpirktās kartes atlikumu.
6. ** Sagatavojieties $3,500 pārbaudiet atgūšanu, lai jūsu konts netiktu negatīvs ChexSystems maksas norakstīšanai**:
7. Kad viltus $3,500 čeku atlēcienus 5-10 dienu laikā, jūsu banka tos atskaitīs $3,500 no sava konta. Sadarbojieties ar savas bankas krāpniecības atgūšanas komandu, lai izveidotu nulles procentu atmaksas plānu jebkuram negatīvam atlikumam pirms 30. dienas, lai banka neziņotu par piespiedu konta slēgšanu ChexSystems vai Agrīnās brīdināšanas pakalpojumiem (EWS).

4. fāze: savas identitātes bloķēšana, ja iesniedzāt I-9, W-4, SSN, pase vai tiešā depozīta veidlapa¶

Viltus vervētāji gandrīz vienmēr nosūta "Ieslēgšanās paketi" (Form W-4, Form I-9, Direct Deposit Authorization, un jūsu autovadītāja apliecības, pases vai sociālās apdrošināšanas kartes priekšpuses un aizmugures fotoattēli) pirms čeka vai ļaunprātīgas programmatūras slazda. Ja nosūtījāt kādu no šiem dokumentiem, šodien izpildiet šo 5 pakāpju identitātes bloķēšanu:

1. Aizveriet atklāto bankas konta numuru (Direct Deposit veidlapa): tiešā depozīta veidlapa sniedz krāpniekam jūsu Bankas maršruta numuru (ABA) un pilnu norēķinu konta numuru, kā arī anulēta čeka kopiju ar jūsu parakstu, kas ir viss, kas nepieciešams, lai izdrukātu krāpnieciskus papīra čekus vai uzsāktu neatļautu ACH Debit izņem no jūsu konta. Pastāstiet savai bankai, lai tā aizver šo konta numuru un pārskaita savus līdzekļus uz pilnīgi jaunu iekšējo konta numuru.
2. Iesniedziet bezmaksas kredīta iesaldēšanu visos trīs kredītu birojos:
3. Equifax (equifax.com/personal/credit-report-services/credit-freeze/ / 1-888-298-0045)
4. Pieredze (experian.com/freeze/ / 1-888-397-3742)
5. TransUnion (transunion.com/credit-freeze / 1-800-916-8800)
6. Sasaldēt ChexSystems (chexsystems.com) un NCTUE: bankas izmanto ChexSystems (nevis Equifax/Experian), kad kāds atver norēķinu kontu uz jūsu vārda. Ievietojiet bezmaksas ChexSystems Security Freeze tiešsaistē, lai krāpnieki nevarētu atvērt mūļu bankas kontus, izmantojot jūsu nozagto autovadītāja apliecību un I-9 paketi.
7. ** Bloķējiet savu sociālās apdrošināšanas numuru myE-Verify (USCIS)**: dodieties uz myeverify.uscis.gov un aktivizēt Self Lock, kas neļauj ikvienam izmantot jūsu SSN federālajā E-Verify nodarbinātības sistēmā.
8. Saņemiet an IRS Identity Protection PIN (IP PIN) (irs.gov/ippin): neļaujiet krāpniekiem iesniegt krāpniecisku nodokļu atmaksas deklarāciju uz jūsu vārda, nekavējoties reģistrējot 6 ciparu IRS IP PIN.

5. fāze: droša krāpniecības “Paku pārsūtīšanas mūļa” vai “Kriptouzdevuma” apturēšana¶

Kā būtu, ja jūs tiktu pieņemts darbā vienam no šiem diviem nekontrolējamiem attālināta darba krāpniekiem?

1. scenārijs: jūs pieņēmāt darbu "Kvalitātes kontrole/paku pārsūtīšana" un jums ir pakas jūsu mājā¶

Ja saņēmāt MacBooks, iPhone vai elektronikas ierīces savā mājas adresē un jums tika izsniegtas priekšapmaksas USPS/UPS/FedEx PDF piegādes etiķetes, lai tās pārsūtītu: - Nekavējoties PĀRTRAUKT sūtījumu piegādi. Katra paka, kas ieradās jūsu mājā, tika iegādāta, izmantojot nozagtu kredītkarti, kurā krāpnieks ievadīja jūsu vārdu un mājas adresi kā Ship To adrese. - NEATgrieziet pakas uz krāpnieka adresi: saglabājiet neatvērtās kastes, saglabājiet katru e-pastu, telegrammas tērzēšanu, PDF nosūtīšanas uzlīmi un darba līgumu kā pierādījumus un sazinieties ar vietējo policiju un ASV. Pasta inspekcijas dienests (1-877-876-2455 / uspis.gov) (vai Action Fraud Apvienotajā Karalistē), lai vienotos par preču atgriešanu apkrāptajiem mazumtirgotājiem.

2. scenārijs: jūs tikāt pieņemts darbā, izmantojot WhatsApp/Telegram, kriptogrāfijas uzdevumam “Lietotņu optimizēšana/produktu vērtējums”¶

• Kā darbojas slazds: "darba devējs" jums maksā $50 to $150 reāli USDT 1. dienā par noklikšķināšanu uz pogām viltotā tīmekļa portālā. 2. vai 3. dienā jūsu konts sasniedz "kombinācijas uzdevumu", kas liek jūsu portāla bilanci uz -$400 un jums ir jāiemaksā depozīts $400 jūsu pašu USDT lai "pabeigtu 40 uzdevumu komplektu". Brīdī, kad veicat depozītu $400, vajadzīgs otrs uzdevums $1,800, tad $6,000, tad $25,000 par "nodokļiem".
• Tūlītēja rīcība: Nekavējoties PĀRTRAUJIET kriptovalūtas noguldīšanu. Cipari uzdevuma vietnē ir viltotas HTML vērtības, ko kontrolē krāpnieks; negatīvā bilances samaksa nekad neatbloķēs izņemšanu. Pārtrauciet visus kontaktus un izvairieties no "kriptovalūtu atkopšanas hakeriem" Telegram vai Instagram.

Reģionālie neatliekamās palīdzības numuri un aģentūru protokoli¶

Ziņot par attālās intervijas ļaunprātīgu programmatūru (Contagious Interview), krāpšana ar nodarbinātības čeku un identitātes zādzības uzsākšana jūsu reģiona oficiālajām kiber- un finanšu iestādēm:

• ASV un Kanāda: sastādiet 911 jebkurai fiziskās drošības ārkārtas situācijai. Ziņot par izstrādātāju ļaunprātīgu programmatūru (Lazarus / BeaverTail) un viltotas darba pārbaudes/uzdevumu zaudēšanas FBI IC3 (ic3.gov), FTC (ReportFraud.ftc.gov un IdentityTheft.gov) un USPIS (1-877-876-2455). Kanādā sazinieties ar Kanādas krāpšanas apkarošanas centru (1-888-495-8501) un Kanādas kiberdrošības centrs (1-833-CYBER-88).
• Apvienotā Karaliste: sastādiet 999 ārkārtas gadījumos vai 101 vietējai policijai. Zvanīt 159 lai izveidotu savienojumu ar savas bankas krāpšanas nodaļu un ziņotu par viltus darba krāpniecību un izstrādātāju ļaunprātīgu programmatūru Action Fraud (0300 123 2040 / actionfraud.police.uk) un NCSC (ncsc.gov.uk). Apsveriet CIFAS aizsardzības reģistrāciju (cifas.org.uk).
• Eiropas Savienība: sastādiet 112 visās ES dalībvalstīs nekavējoties ziņojiet savas bankas krāpšanas dienestam un iesniedziet ziņojumu valsts policijas kibernoziedzības apkarošanas vienībai un valsts CSIRT.
• Austrālija un Jaunzēlande: sastādiet 000 Austrālijā vai 111 Jaunzēlandē. Ziņojiet par nodarbinātības un uzdevumu krāpniecību vietnei Scamwatch (scamwatch.gov.au), ReportCyber (cyber.gov.au, 1300 CYBER1) un sazinieties ar IDCARE (1800 595 160 ĀS / 0800 121 068 NZ).
• Indija un Āzijas un Klusā okeāna valstis: sastādiet 112 Indijā ārkārtas gadījumos un zvaniet uz Nacionālo kibernoziegumu palīdzības līniju (1930 / cybercrime.gov.in) nekavējoties iesaldēt krāpnieciskus bankas pārskaitījumus. Singapūrā zvaniet uz Anti-Scam palīdzības līniju (1799).

Bieži uzdotie jautājumi¶

Es klonēju vervētāja GitHub repozitoriju (git clone ...), atvēra failus programmā VS Code, lai tos izlasītu, un NEKAD nepalaida npm install vai npm start. Vai es joprojām esmu inficēts?¶

Atšķirībā no `npm install` (kas darbojas `package.json` skripti), darbojas tukši `git clone` un lasa vienkārši `.js` faili paši neizpilda kodu JA vien repozitorijā NAV ietverts ļaunprātīgs saturs `.vscode/tasks.json` failu ar `"runOn": "folderOpen"` UN jūs noklikšķinājāt uz "Jā, es uzticos autoriem", kad VS Code atvēra mapi. Pārbaudiet, vai a `.vscode/tasks.json` fails eksistē klonētajā repo (`cat /path/to/repo/.vscode/tasks.json`) un pārbaudiet, vai `-/.npl` vai `-/.pyp` tika izveidots jūsu mājas direktorijā. Ja neeksistē ne viens, ne otrs un jūs nekad neskrējāt `npm`, `yarn`, `python`, vai `node`, jūsu sistēma neizpildīja lietderīgo slodzi: vienkārši izdzēsiet klonēto mapi.

Ko darīt, ja es veiktu intervijas kodēšanas testu Docker konteinerā (docker compose up) manā Mac vai Windows datorā? Vai konteiners mani pasargāja?¶

Tas ir atkarīgs no tā, kādi apjomi tika uzstādīti iekšpusē `docker-compose.yml` vai `Dockerfile`. Ja palaidāt konteineru ar izolētu failu sistēmu, ļaunprogrammatūra nevarēja redzēt jūsu resursdatora Chrome sīkfailus vai paplašinājumu MetaMask. Tomēr daudzi `Contagious Interview` krātuvēs ietilpst a `docker-compose.yml` kas slepeni savieno jūsu resursdatora mājas direktoriju (`volumes: - -/.ssh:/root/.ssh` vai `- -/:/host_home`) vai skrien ar `privileged: true`. Pārbaudīt `docker-compose.yml` repo nekavējoties: ja tas ir uzstādīts `-`, `$HOME`, vai `/Users`, uzskatiet savu klēpjdatoru par apdraudētu.

Kā gan čeks var būt viltots, ja tas bija FedEx Overnight piegādātais "kases čeks" ar ūdenszīmi un bankas kasieris to pieņēma pie kases?¶

Viltotie kases čeki tiek drukāti uz īsta ķīmisko čeku krājuma, izmantojot derīgu maršruta numuru un magnētisko `MICR` lielas bankas tintes fonts. Cilvēks bankas kasieris filiāles logā pārbauda tikai to, vai maršrutēšanas numurs ir derīgs un čeks izskatās fiziski autentisks; kasieris nevar redzēt citas bankas iekšējā virsgrāmatā, lai uzzinātu, vai čeka sērijas numurs patiešām ir izsniegts. Tikai tad, kad čeka attēls ceļo caur Federālo rezervju norēķinu centru (`5 to 10 business days later`), vai izdevējbanka to noraida kā viltotu.

Vai es varu nokļūt cietumā, ja es neapzināti noguldīju viltotu darba čeku un iztērēju daļu naudas, pirms tas atlēca?¶

Pieviltam ar nodarbinātības čeku krāpniecību nav noziedzīga nolūka (`mens rea`), ja jūs nemelojat bankai un neziņojat par krāpniecību bankas Krāpšanas departamentam un policijai (`IC3` / vietējās policijas ziņojums) nekavējoties. Tomēr saskaņā ar jūsu bankas depozīta konta līgumu un **Vienoto komerckodeksu (`UCC § 4-207 / § 4-214`)**, konta īpašnieks, kurš apstiprina un iemaksā čeku, ir civiltiesiski un saskaņā ar līgumu atbildīgs bankai atmaksāt 100 procentus no jebkura negatīva overdrafta atlikuma, ja iemaksātais čeks tiek atgriezts neapmaksāts.

Kāpēc vervētājs veica īstu 30 minūšu videozvanu ar mani pakalpojumā Zoom/Google Meet, ja viņi bija Ziemeļkorejas Lazarus hakeri?¶

KTDR**`Contagious Interview` (`UNC4899` / `Famous Chollima`)** operatori nodarbina brīvi angliski runājošus cilvēkus, lai veiktu pārliecinošus 20-45 minūšu HR pārbaudes zvanus pakalpojumos Zoom, Google Meet vai Calendly. Tā kā bieži vien ir viena izstrādātāja darbstacija `$50,000 to $2,000,000+` DeFi protokola atslēgās, kases multisig piekļuves vai korporatīvās mākoņdatošanas akreditācijas datos, pavadot 30 minūtes tiešraides videozvanā, lai pārliecinātu jūs palaist `npm install` pēc viņu vērtējuma, repo ir augsta riska dalībnieka ieguldījumu atdeve.

Ko darīt, ja "darba devējs" nosūtītu naudu manā bankas kontā, izmantojot ACH/Zelle, un lūgtu izņemt skaidru naudu vai nopirkt Bitcoin, ko nosūtīt savam klientam?¶

Tas ir **naudas mūlis (`Layering`)** darbība. Atšķirībā no papīra čeka (kas atlec pirms norēķināšanās), ja `$4,000` faktiski nokļuva jūsu kontā, izmantojot `ACH`, `Zelle`, vai `Wire`, **tas `$4,000` tika nozagts no nevainīga uzlaušanas vai krāpniecības upura bankas konta**. Ja jūs to izņemat vai konvertējat uz Bitcoin savam "darba devējam", tiesībaizsardzības iestādes un cietušā banka izseko nozagtos līdzekļus tieši jūsu bankas kontā. Neizņemiet un nepārsūtiet nevienu centu; nekavējoties zvaniet savas bankas Krāpšanas nodaļai un lūdziet atdot neautorizēto pārvedumu veicējai iestādei.

Saistītie ceļveži¶

• Viltus darba piedāvājumu krāpniecība, aprīkojuma pārbaudes krāpšana un identitātes zādzība
• Piegādes ķēdes npm/PyPI pakotnes kompromiss un izstrādātāja darbstacijas atslēgu rotācija
• Sesijas sīkfailu nolaupīšana, informācijas zagšanas ļaunprātīga programmatūra un piekļuves atslēgas atsaukšana
• Viltus CAPTCHA ClickFix PowerShell "Win+R" starpliktuves ļaunprātīga programmatūra un Lumma Infostealer labošana
• Kriptovalūtas maka aizplūšana un sēklu frāzes kompromiss
• Atļauta push maksājumu (APP) krāpšana lietotnē: Zelle, Venmo un Faster Payments uzdošanās un atlīdzības tiesības
• Reakcija uz identitātes zādzību
• Ārkārtas palīdzības numuri pa valstīm

Avoti un oficiālās vadlīnijas¶

• Federālais izmeklēšanas birojs (FBI), Kiberdrošības un infrastruktūras drošības aģentūra (CISA), un DoD kibernoziegumu centrs (DC3) (ASV): Kopīgs padomdevējs: Ziemeļkoreja (DPRK) Sociālās inženierijas kampaņas, kuru mērķauditorija ir programmatūras izstrādātāji (Contagious Interview / BeaverTail / InvisibleFerret).
• Palo Alto tīklu 42. nodaļa (unit42.paloaltonetworks.com): Ziemeļkorejas draudu aktieri vilina tehnoloģiju darba meklētājus kā viltus vervētājus (Contagious Interview Analīze).
• Federālā tirdzniecības komisija (FTC) un Federālo rezervju padome (Amerikas Savienotās Valstis): * Padomi patērētājiem par viltotu čeku izkrāpšanu, paku mūļiem un Regulation CC (12 CFR Part 229) Noteikumi*.
• ASV pilsonības un imigrācijas dienesti (USCIS):myE-Verify Pašbloķēšanas identitātes aizsardzības norādījumi.
• Nacionālais kiberdrošības centrs (NCSC) & Krāpšanas rīcība (Apvienotā Karaliste): Ļaunprātīgo kodu krātuvju un vervēšanas krāpšanas mazināšana.