Falsk jobbtilbud og fjernintervjusvindel: Nordkoreanske Lazarus BeaverTail npm Repo-malware, falske utstyrssjekker og identitetssperring¶

Å innse midt i et eksternt jobbintervju eller ombordstigningsprosess at "rekruttereren" eller "ansettelseslederen" kjører en sofistikert cyber- eller finansfelle, er en nødsituasjon med to fronter. Dagens svindel med eksterne jobber deler seg i to svært destruktive operasjoner identifisert av FBI, CISA og globale cyberbyråer: (1) Programvareutvikler og Crypto "Coding Assessment" Malware (Contagious Interview / DPRK Lazarus Group BeaverTail & InvisibleFerret), der en rekrutterer på LinkedIn, Upwork eller Telegram ber en programvareingeniør eller Web3/AI-kandidat om å klone et GitHub-, GitLab- eller Bitbucket-depot og kjøre npm install && npm start (eller en Python/Docker-bygg) på den primære bærbare datamaskinen deres for å "fikse en feil før liveintervjuet," stille utføring av en info-tyver som eksfiltrerer hver nettleserøkt-informasjonskapsel, passordbehandlerhvelv, .ssh nøkkel, .env fil og cryptocurrency lommebok på under 5 sekunder; og (2) Falsk sjekk "hjemmekontorutstyr" og reshipping av muldyrsvindel, der et etterlignet selskap gjennomfører et tekst-/teamintervju, sender en forfalskning via e-post $2,500 to $5,000 se etter "MacBook Pro og hjemmekontoroppsett", og instruerer deg om å sette inn sjekken på mobilen og sende den $2,200 via Zelle, Venmo, wire eller gavekort til deres "godkjente IT-utstyrsleverandør" før sjekken spretter dager senere. For onboarding SSN/I-9 identitetstyveri og generell kontrollsvindel, se falsk jobbtilbudsvindel, svindel med utstyrssjekk og identitetstyveri ombord; for npm/PyPI-pakkenøkkelrotasjon og tyveri av nettleserinformasjonskapsler, se forsyningskjede npm/PyPI-pakkekompromiss og nøkkelrotasjon for utviklere arbeidsstasjon og kapring av øktinformasjonskapsler, malware fra infostealer og tilbakekalling av passord. Hvis du står overfor umiddelbar fysisk tvang, trusler eller en personlig kurerkonfrontasjon, ring ditt lokale nødnummer (911 i USA og Canada, 112 over hele EU, 999 i Storbritannia) eller sjekk katalogen vår over nødnummer.

Gjør dette nå¶

1. HVIS DU LØP npm install, npm test, yarn, pip install, eller en falsk Zoom/Teams/Miro .dmg/.exe for et jobbintervju: KOPPE DATAMASKINEN DIN FRA WI-FI OG ETHERNET INNEN 3 SEKUNDER:
2. Trekk i Ethernet-kabelen eller slå Wi-Fi AV umiddelbart.
3. Den BeaverTail JavaScript/Node.js nyttelast laster ned et bærbart Python-miljø (-/.npl eller %UserProfile%\.pyp) og starter InvisibleFerret bakdør, som kobles til en kommando-og-kontroll (C2) server (:1224 / :1244) streaming av tastetrykk, utklippstavle og filsystem live.
4. Bruk en separat, ren smarttelefon (iPhone eller Android på mobildata) for å evakuere alle kryptovaluta-lommebøker og tilbakekalle hver aktiv nettleserøkt (Google, GitHub, AWS, Microsoft, Apple):
5. BeaverTail målretter mot MetaMask, Phantom, Rabby, Coinbase Wallet, Trust Wallet, Exodus, Electrum og Solana CLI (-/.config/solana/id.json) hvelvfiler, sammen med Login Data og Cookies fra Chrome, Brave, Edge, Arc og Firefox, pluss macOS login.keychain-db.
6. Fra en ren enhet, overfør eventuelle kryptoaktiva på hot wallets til et splitter nytt maskinvarelommebokfrø, tilbakekall alle aktive nettøkter i Google (myaccount.google.com/security), GitHub (github.com/settings/sessions), og AWS/Cloud-konsoller, og slett dine kompromitterte SSH- og GPG-nøkler fra GitHub/GitLab.
7. HVIS DU satte inn EN "HJEMMEKONTORUTSTYR"-SJEKK FRA EN ARBEIDSGIVER: IKKE SEND EN ENKELT DOLLAR TIL NOEN "LEVERANDØR", OG RING UMIDDELBART DIN BANKS SVINDELAVDELING:
8. Selv om bankappen din viser $3,500 sjekk som "Tilgjengelig saldo / midler frigitt," at pengene er IKKE klarert. Under US Federal Reserve Regulation CC (Expedited Funds Availability Act), må bankene gjøre sjekkinnskudd foreløpig tilgjengelig innen 1 to 2 business days, mens det å oppdage at sjekkens rute-/kontonummer er forfalsket tar 5 to 14 business days.
9. Ring nummeret på baksiden av debetkortet ditt og rapporter: "Jeg ble målrettet av en svindel med ansettelsessjekk og satte ubevisst inn en mistenkt falsk sjekk. Vennligst flagg innskuddet slik at kontoen min ikke er stengt for svindel."
10. HVIS DU ALLEREDE SENDTE ZELLE-, VENMO-, WIRE- ELLER BITCOIN-minibankmidler TIL "UTSTYRSLEVERANDØREN": Ring bankens svindel-/innkallingsskranke umiddelbart (for ledninger, be om en umiddelbar SWIFT / Fedwire Recall og FBI IC3 Recovery Asset Team fryse; for Zelle/Raskere betalinger, rapporter en Autorisert Push-betaling (APP) sysselsettingssvindel under autoriserte push-betalingsappsvindel og refusjonsrettigheter).
11. HVIS DU LASTET OPP DITT SSN, PASS, FØRERLISENS, W-4, I-9, ELLER DIREKTE DEPOSITJONSBANKS RUTENUMMER: Plasser en kredittfrys på Equifax, Experian og TransUnion, frys ChexSystems, lås SSN-en på myE-Verifymyeverify.uscis.gov), og be banken din om å lukke det synlige brukskontonummeret og åpne et erstatningskontonummer.
12. HVIS DU GODTAR EN "PAKKEINSPEKSJON / LOGISTIKKKOORDINATOR" JOBB MOTTA OG RESENDE PAKKER FRA HJEMME: SLUTT SENDING AV PAKKER UMIDDELBART: Disse elektronikkene (iPhones, MacBooks, camera lenses) ble kjøpt med stjålne kredittkort og sendt til hjemmeadressen din (Parcel Mule Scam). Ta vare på alle fraktetiketter og chat-logger og kontakt lokalt politi eller US Postal Inspection Service (USPIS).

Beslutningstre: fjernintervju og falsk jobbkrising¶

Bruk dette flytskjemaet for å hoppe rett til inneslutningsprotokollen som samsvarer med den eksakte jobbsvindelvarianten du møtte:

flowchart TD
    Start["Nødsituasjon: Mistanke om falsk jobbintervju, kodetest eller onboarding-svindel"] --> ScamType{"Hva ba 'Rekruttereren' eller 'Arbeidsgiveren' deg om å gjøre?"}

    ScamType -->|"1. Klon en Git Repo og kjør npm / Python / Docker ELLER installer en tilpasset videoanropsapp"| DevTrap["KRITISK: DPRK Smittsomt intervju (BeaverTail / InvisibleFerret) Info-Stealer"]

    ScamType -->|"2. Sett inn en sjekk (PDF/e-post) og send penger til en 'godkjent utstyrsleverandør'"| CheckTrap["Svindel med falske sjekkoverbetalinger: Foreløpig kreditert sjekk vil returnere i løpet av 5-14 dager"]

    ScamType -->|"3. Fyll ut I-9 / W-4 / SSN / Pass / Direkte innskuddsskjema før du oppdaget svindel"| IdTrap["Identitets- og lønnstyveri ombord: Frys kreditt, ChexSystems, IRS IP PIN-kode og bankkonto"]

    ScamType -->|"4. Motta pakker hjemme, inspiser dem og send på nytt med medfølgende etiketter ELLER betal 'Task' Crypto"| MuleOrTask["Reshipping av pakkemule ELLER 'App Optimization' Crypto Task Scam"]

    DevTrap --> CutNet["1. Slå AV Wi-Fi / Koble fra Ethernet umiddelbart på Developer Workstation"]
    CutNet --> EvacPhone["2. På ren telefon: Flytt kryptoaktiva + tilbakekall Google/GitHub/AWS-økter + roter SSH-nøkler"]
    EvacPhone -->ForensicClean["3. Inspiser -/.npl, -/.pyp, package.json og nettleserprofiler -> Tørk og installer OS på nytt"]

    CheckTrap --> SentMoney{"Har du allerede sendt penger til 'utstyrsleverandøren'?"}
    SentMoney -->|"Nei: Sjekk satt inn, $0 sendt ut"| WarnBank["IKKE rør midlene -> Ring banksvindelavdelingen umiddelbart for å flagge uvitende dårlig sjekkinnskudd"]
    SentMoney -->|"Ja: Sendt via Zelle / Wire / Crypto / Gavekort"| RecallFunds["Ring bankoverføring/svindelskranke umiddelbart -> Dekk negativ kassekreditt før sjekk tilbakeviser -> Fil IC3-rapport"]

    IdTrap --> LockCredit["Frys Equifax/Experian/TransUnion + ChexSystems -> Lukk eksponert bankkontonummer -> Lock myE-Verify"]
    MuleOrTask --> StopShip["Slutt å sende pakker på nytt og slutt å sette inn krypto -> Bevar fraktsedler og rapporter til USPIS / IC3"]

Fase 1: Hvordan de to store fjernjobbfellene fungerer under panseret¶

Sammenlign den tekniske mekanikken og rødflaggindikatorene til de tre primære sysselsettingsberedskapsvektorene som er aktive over hele verden:

Fase 2: Nødberedskap for programvareutviklere (Contagious Interview / BeaverTail / InvisibleFerret)¶

Hvis du er en programvareutvikler som klonet et depot fra en rekrutterer eller intervjuer og løp npm install, npm start, yarn, pnpm, python, cargo, eller en kjørbar fil på din Windows-, macOS- eller Linux-arbeidsstasjon, følg denne eksakte responssekvensen basert på Palo Alto Networks Unit 42, CrowdStrike og CISA/FBI trusseletterretning om den nordkoreanske Contagious Interview kampanje.

Trinn 1: Forstå 2-stadiet BeaverTail -> InvisibleFerret Kill Chain på disken din¶

Hvordan infiserte et tilsynelatende normalt React/Node.js-lager din Mac eller PC uten å utløse en antivirus-popup?

+-------------------------------------------------------------------------+
| ANATOMY OF A CONTAGIOUS INTERVIEW (BEAVERTAIL) MALICIOUS REPO           |
|                                                                         |
| 1. The Decoy Repo (e.g., "mern-ecommerce-assessment" or "defi-dex-ui"): |
|    - 99% of the repo is real, working React/Express boilerplate code.   |
|    - Hidden at the very end of `server/routes/api/auth.js` or           |
|      `backend/controllers/userController.js` (often scrolled 300 spaces |
|      to the right on one line so you do not see it in VS Code) is an    |
|      obfuscated `eval(Buffer.from(...))` or `axios.get(...)` call.      |
|                                                                         |
| 2. Stage 1: BeaverTail (JavaScript Info-Stealer inside Node.js):        |
|    - Scans Chrome, Brave, Opera, Edge, Vivaldi (`Default` & `Profile N`)|
|      for `Login Data`, `Local Extension Settings` (MetaMask `nkbihfbeog`|
|      Phantom `bfnaelmome`, Rabby `acmacodkjb`), and Solana `id.json`.   |
|    - Uploads stolen vaults & cookies immediately to `http://<C2>:1224`. |
|                                                                         |
| 3. Stage 2: InvisibleFerret (Python Backdoor + AnyDesk Persistence):    |
|    - BeaverTail downloads a standalone portable Python 3.11 zip into    |
|      `~/.npl/` or `%UserProfile%\.pyp\` and runs `~/.npl/.pyp/python`   |
|      executing `~/.npl/main.py` (`InvisibleFerret`).                    |
|    - InvisibleFerret logs keystrokes, reads your clipboard, scans your  |
|      entire drive for `.env`, `.ssh`, `seed`, `mnemonic`, and silently  |
|      downloads/configures `AnyDesk` for full remote desktop control.    |
+-------------------------------------------------------------------------+

Trinn 2: Se etter nøyaktig BeaverTail og InvisibleFerret Indikatorer for kompromiss (IoCs)¶

Mens din infiserte Mac-, Linux- eller Windows-datamaskin er fullstendig frakoblet Wi-Fi og Ethernet, åpne en terminal (eller PowerShell) for å sjekke om trinn 2 (InvisibleFerret) ble sluppet på disken din:

# On macOS or Linux (WITH WI-FI OFF):
ls -la ~/.npl ~/.pyp ~/.vscode
ps aux | grep -iE "npl|pyp|main\.py|anydesk|node"

# Search the cloned interview repository for hidden horizontal-scroll obfuscation or base64 evals:
grep -rnE "Buffer\.from|child_process|execSync|\.npl|\.pyp|:1224|:1244|nkbihfbeogaeaoehlefnkodbefgpgknn" /path/to/cloned/interview_repo/

# On Windows PowerShell (WITH WI-FI / ETHERNET OFF):
Get-ChildItem -Path $env:USERPROFILE -Force | Where-Object { $_.Name -match "^\.(npl|pyp)" }
Get-Process | Where-Object { $_.Path -match "npl|pyp|AnyDesk" }

Trinn 3: Utfør 15-minutters utviklerlegitimasjon og kryptoevakuering (fra en ren enhet)¶

Ikke skriv inn nye passord eller startfraser på den infiserte datamaskinen. Bruke en ren smarttelefon (iPhone / Android) eller en separat kompromissløs datamaskin:

1. Evakuer alle Cryptocurrency Hot Wallets umiddelbart (Minutes 0 to 5):
2. Selv om MetaMask-, Phantom-, Rabby- eller Exodus-lommeboken din var låst med et passord, BeaverTail lastet opp din krypterte hvelvfil (000003.log / LOCK / Local Extension Settings) og InvisibleFerret kjører en keylogger/utklippstavlemonitor (og på macOS dukker opp en falsk innfødt osascript passorddialog som ber om Mac-systempassordet for å låse opp login.keychain-db).
3. Lag en splitter ny lommebok på smarttelefon- eller maskinvarelommeboken (Ledger / Trezor) med en splitter ny 12/24-ords frøsetning og overfør 100 prosent av dine tokens, NFT-er og innsatsposisjoner fra hver lommebok som noen gang har rørt den datamaskinen.
4. Opphev alle GitHub, GitLab, Bitbucket og Cloud (AWS / GCP / Azure / Vercel) legitimasjon (Minutes 5 to 10):
5. GitHub: Logg på telefonen din -> Innstillinger -> SSH- og GPG-nøkler -> Slett hver SSH-nøkkel som ble lagret i -/.ssh/ på den infiserte bærbare datamaskinen. Gå deretter til Innstillinger -> Utviklerinnstillinger -> Personlige tilgangstokener (opphev alle tokens) og Innstillinger -> Økter -> Tilbakekall alle økter.
6. AWS / GCP / Cloud: Deaktiver hver AWS_ACCESS_KEY_ID lagret i -/.aws/credentials eller inne i noen .env fil på den bærbare datamaskinen (InvisibleFerret gjennomsøker rekursivt hver prosjektmappe på stasjonen for .env, .npmrc, .pypirc, kubeconfig, og id_rsa).
7. Hvis du hadde arbeidsgiver- eller klientlager/nøkler på den bærbare datamaskinen: Gi beskjed til arbeidsgiverens sikkerhetsoperasjonssenter (SOC / CISO) umiddelbart slik at de kan rotere bedriften .env hemmeligheter og revisjonsforpliktelser.
8. Tilbakekalle alle nettleserøkter (Google, Microsoft, Apple, Slack, Discord, Telegram) (Minutes 10 to 15):
9. Husk: å endre et passord ugyldiggjør ofte ikke stjålne øktinformasjonskapsler med mindre du eksplisitt klikker på "Logg av alle enheter / Tilbakekall alle økter" i Google Security, Microsoft Account, Slack, Discord og X/Twitter.
10. Endre Passordbehandling (1Password, Bitwarden, Keeper) hovedpassord og tilbakekall den infiserte bærbare datamaskinens autoriserte enhetstoken.
11. Tørk og installer operativsystemet på nytt på den infiserte arbeidsstasjonen: Fordi InvisibleFerret installerer vedvarende bakgrunnsoppgaver, endrer nettleserbinærfiler og dropper AnyDesk fjerntilgang, bare sletting -/.npl og det klonede depotet er utilstrekkelig. Sikkerhetskopier kun vanlige dokument-/kildefiler (verifisert ren med git status / git diff), utfør deretter en fullstendig ren OS-sletting og installer på nytt (macOS Erase All Content and Settings eller Windows USB-rengjøring av partisjon).

Fase 3: Nødberedskap for falsk "hjemmekontorutstyr"-sjekksvindel¶

Hvis du ble tilbudt en ekstern jobb (Administrative Assistant, Data Entry, Customer Support, Project Coordinator, Graphic Designer), mottok en sjekk (via e-post PDF for å skrive ut og mobilinnskudd, eller via FedEx/UPS-konvolutt over natten) for å kjøpe en bærbar datamaskin og hjemmekontorutstyr, og sette den inn på bankkontoen din, er du i et kappløp mot Federal Reserve-sjekkens returvindu.

1. Hvorfor bankappen sier «tilgjengelige midler» på en 100 % falsk sjekk (The Regulation CC Float Trap)¶

+-------------------------------------------------------------------------+
| HOW THE FAKE "EQUIPMENT CHECK" FLOAT TRAP WORKS                         |
|                                                                         |
| Day 1 (Monday): You deposit the scammer's $3,500 "Equipment Check"      |
|                 using your bank's Mobile Deposit app.                   |
| Day 2 (Tuesday): Under US Federal Law (Regulation CC), your bank MUST   |
|                  release the funds within 1-2 business days. Your app   |
|                  now shows: "Available Balance: +$3,500.00".            |
| Day 2 (Tuesday PM): "Hiring Manager" tells you to Zelle/Wire $2,800     |
|                     immediately to their "Approved MacBook Vendor" so   |
|                     your laptop arrives by Friday.                      |
| Day 8 (Next Tuesday): The real corporate bank whose routing/account     |
|                       number was forged on the check rejects it as      |
|                       COUNTERFEIT / ALTERED (`Return Code R29 / Refer   |
|                       to Maker`).                                       |
| RESULT ON DAY 8:                                                        |
|   - Your bank claws back the full $3,500.00 from your balance.          |
|   - The $2,800 you sent via Zelle/Wire is gone forever.                 |
|   - Your account drops to -$2,800.00 overdraft, and your bank's risk    |
|     algorithm may freeze/close your account and report you to           |
|     ChexSystems as a check-fraud risk.                                  |
+-------------------------------------------------------------------------+

2. Trinn-for-trinn bankbeskyttelsesprotokoll hvis du deponerte sjekken¶

Tilfelle A: Du satte inn sjekken, men du har IKKE sendt noen penger til "leverandøren" ennå¶

Du har tapt $0 så langt, og du kan hindre banken din i å stenge kontoen din hvis du handler akkurat nå: 1. IKKE ta ut, bruk eller overfør en eneste cent av de innsatte sjekkmidlene. La det være fullt $3,500 sitter urørt på kontoen slik at når sjekken spretter i løpet av 5 til 10 virkedager, tar banken tilbake sin egen foreløpige kreditt rent med $0 kassekreditt. 2. Ring bankens svindelavdeling umiddelbart (eller gå inn i en fysisk filial og snakk med en filialsjef): - Når en falsk sjekk spretter lydløst uten forklaring, vil automatiserte bankrisikomotorer (Early Warning Services / ChexSystems) kan ikke si om du var svindleren eller et uskyldig offer for jobbsøker. - Fortell bankrepresentanten tydelig: "Jeg søkte på en ekstern jobb, og svindleren sendte meg en utstyrssjekk på 3500 $ som jeg satte inn på mobilen i dag. Jeg innså nettopp at det er en falsk jobbsjekk-svindel. Jeg har IKKE brukt eller overført en eneste dollar av pengene. Vennligst plasser en Svindel-seddel for offeret på profilen min og reverser/behold tilbakebetalingen av kontoen min." - Be banken om å gi avkall på $15 to $35 Returnert innskuddsgebyr og bekreft at kontoen din ikke vil bli flagget for stenging.

Tilfelle B: Du satte inn sjekken OG har allerede sendt penger (Zelle, Venmo, Wire, Cash App, Crypto, eller Gift Cards)¶

1. Ring bankens svindelavdeling innen 60 sekunder:
2. Rapporter begge sider av forbrytelsen: (a) det innkommende sjekkinnskuddet er en falsk sysselsettingssvindelsjekk som kommer til å sprette, og (b) den utgående Zelle / Venmo / Wire / ACH-overføringen ble indusert av sysselsettingssvindel.
3. Hvis du sendte en bankoverføring (Fedwire / SWIFT) i løpet av de siste 24 til 72 timene: Krev en umiddelbar svindel tilbakekalling (SWIFT MT192 / pacs.004) og send inn en hastemelding på ic3.gov så FBIs Recovery Asset Team (RAT) kan utstede en Financial Fraud Kill Chain (FFKC) fryse på den mottakende muldyrkontoen.
4. Hvis du har sendt Zelle, Venmo, eller Storbritannia Faster Payments: Send inn en Autorisert Push-betaling (APP) svindelkrav og be om den mottakende bankens rutings-/institusjonsdetaljer (Zelle Network Fraud).
5. Hvis svindleren ba deg kjøpe Apple-, Razer Gold-, Steam- eller Target-gavekort: Ring øyeblikkelig gavekortutstederens svindellinje med kvitteringens serienumre for å fryse eventuell uinnløst kortsaldo.
6. ** Forbered deg på $3,500 sjekk clawback slik at kontoen din ikke blir negativ til ChexSystems charge-off**:
7. Når den falske $3,500 sjekk tilbakevisninger i 5 til 10 dager, vil banken din trekke fra $3,500 fra kontoen din. Samarbeid med bankens team for gjenoppretting av svindel for å sette opp en null-rente tilbakebetalingsplan for eventuell negativ saldo før dag 30, slik at banken ikke rapporterer en ufrivillig kontostenging til ChexSystems eller Early Warning Services (EWS).

Fase 4: Låsing av identiteten din hvis du sendte inn en I-9, W-4, SSN, pass eller direkte innskuddsskjema¶

Falske rekrutterere sender nesten alltid en "Onboarding-pakke" (Form W-4, Form I-9, Direct Deposit Authorization, og bilder på forsiden og baksiden av førerkortet, passet eller personnummeret ditt) før du springer ut sjekken eller skadevarefellen. Hvis du sendte noen av disse dokumentene, utfør denne 5-trinns identitetssperren i dag:

1. Lukk det synlige bankkontonummeret (Direct Deposit skjema): Et direkteinnskuddsskjema gir svindleren ditt Bankrutingsnummer (ABA) og fullt sjekkkontonummer, pluss en kopi av en ugyldig sjekk med signaturen din, som er alt som trengs for å skrive ut falske papirsjekker eller starte uautorisert ACH Debit trekker fra kontoen din. Be banken din om å lukke kontonummeret og flytte pengene dine til et helt nytt internt kontonummer.
2. Plasser en gratis kredittfrys hos alle tre kredittbyråene:
3. Equifax (equifax.com/personal/credit-report-services/credit-freeze/ / 1-888-298-0045)
4. Experian (experian.com/freeze/ / 1-888-397-3742)
5. TransUnion (transunion.com/credit-freeze / 1-800-916-8800)
6. Fryse ChexSystems (chexsystems.com) og NCTUE: Banker bruker ChexSystems (ikke Equifax/Experian) når noen åpner en brukskonto i ditt navn. Plasser en gratis ChexSystems Security Freeze på nettet slik at svindlere ikke kan åpne muldyrbankkontoer ved å bruke ditt stjålne førerkort og I-9-pakken.
7. Lås personnummeret ditt inne myE-Verify (USCIS): Gå til myeverify.uscis.gov og aktiver Self Lock, som blokkerer alle fra å bruke ditt SSN i ​​det føderale E-Verify sysselsettingssystemet.
8. Få en IRS Identity Protection PIN (IP PIN) (irs.gov/ippin): Hindre svindlere fra å sende inn en uredelig skatterefusjonsmelding i ditt navn ved å registrere deg for en 6-sifret IRS IP PIN umiddelbart.

Fase 5: Stoppe en "Parcel Reshipping Mule" eller "Crypto Task"-svindel trygt¶

Hva om du ble ansatt for en av disse to ikke-kontrollerte eksterne jobbsvindlene?

Scenario 1: Du godtok en "Kvalitetskontroll / Pakkevideresending"-jobb og har pakker hjemme hos deg¶

Hvis du mottok MacBooks, iPhones eller elektronikk på hjemmeadressen din og fikk forhåndsbetalte USPS/UPS/FedEx PDF-fraktetiketter for å videresende dem: - STOPP å sende pakker umiddelbart. Hver pakke som ankom huset ditt ble kjøpt med et stjålet kredittkort der svindleren oppga navnet ditt og hjemmeadressen som Ship To adresse. - IKKE returner pakkene til svindlerens adresse: Behold de uåpnede boksene, lagre hver e-post, Telegram-chat, PDF-fraktetikett og arbeidskontrakt som bevis, og kontakt lokalt politi og U.S.A. Postinspeksjonstjeneste (1-877-876-2455 / uspis.gov) (eller Action Fraud i Storbritannia) for å arrangere retur av varene til de svindlet forhandlere.

Scenario 2: Du ble rekruttert via WhatsApp/Telegram for en "App Optimization / Product Rating" Crypto Task Job¶

• Slik fungerer fellen: «Arbeidsgiveren» betaler deg $50 to $150 i virkeligheten USDT på dag 1 for å klikke på knapper i en falsk nettportal. På dag 2 eller dag 3 treffer kontoen din en "kombinasjonsoppgave" som setter portalsaldoen din til -$400 og krever at du setter inn $400 av dine egne USDT for å "fullføre settet med 40 oppgaver." Øyeblikket du setter inn $400, krever en annen oppgave $1,800, da $6,000, da $25,000 for "skatter".
• Umiddelbar handling: STOPP innskudd av kryptovaluta umiddelbart. Tallene på oppgavenettstedet er falske HTML-verdier kontrollert av svindleren; å betale den negative saldoen vil aldri låse opp et uttak. Kutt all kontakt og unngå "krypto recovery hackere" på Telegram eller Instagram.

Regionale nødnumre og byråprotokoller¶

Rapporter eksternt intervju malware (Contagious Interview), svindel med ansettelsessjekker og identitetstyveri ombord til de offisielle cyber- og finansmyndighetene i din region:

• USA og Canada: Tast 911 for enhver fysisk sikkerhetssituasjon. Rapporter skadelig programvare for utviklere (Lazarus / BeaverTail) og falsk jobbsjekk/oppgavetap til FBI IC3 (ic3.gov), FTC (ReportFraud.ftc.gov og IdentityTheft.gov), og USPIS (1-877-876-2455). I Canada, kontakt Canadian Anti-Fraud Center (1-888-495-8501) og Canadian Center for Cyber ​​Security (1-833-CYBER-88).
• Storbritannia: Tast 999 for nødsituasjoner eller 101 for lokalt politi. Ring 159 for å koble til bankens svindelavdeling, og rapportere falsk jobbsvindel og skadevare fra utviklere til Action Fraud (0300 123 2040 / actionfraud.police.uk) og NCSC (ncsc.gov.uk). Vurder CIFAS Protective Registration (cifas.org.uk).
• EU: Tast 112 på tvers av alle EU-medlemsstater, varsle bankens svindelkontor umiddelbart, og send inn en rapport til din nasjonale politienhet for nettkriminalitet og nasjonale CSIRT.
• Australia og New Zealand: Tast 000 i Australia eller 111 i New Zealand. Rapporter sysselsetting og oppgavesvindel til Scamwatch (scamwatch.gov.au), ReportCyber ​​(cyber.gov.au, 1300 CYBER1), og kontakt IDCARE (1800 595 160 i AU / 0800 121 068 i NZ).
• India og Asia-Stillehavet: Ring 112 i India for nødssituasjoner og ring National Cyber ​​Crime Helpline (1930 / cybercrime.gov.in) umiddelbart for å fryse falske bankoverføringer. I Singapore ringer du Anti-Scam Helpline (1799).

Ofte stilte spørsmål¶

Jeg klonet rekruttererens GitHub-lager (git clone ...), åpnet filene i VS Code for å lese dem, og kjørte ALDRI npm install eller npm start. Er jeg fortsatt smittet?¶

I motsetning til `npm install` (som kjører `package.json` skript), kjører bare `git clone` og lese vanlig `.js` filer kjører ikke kode av seg selv MED MINDRE depotet inneholdt en skadelig `.vscode/tasks.json` fil med `"runOn": "folderOpen"` OG du klikket "Ja, jeg stoler på forfatterne" da VS Code åpnet mappen. Sjekk om a `.vscode/tasks.json` fil finnes inne i den klonede repoen (`cat /path/to/repo/.vscode/tasks.json`) og sjekk om `-/.npl` eller `-/.pyp` ble opprettet i hjemmekatalogen din. Hvis ingen av dem eksisterer og du aldri løp `npm`, `yarn`, `python`, eller `node`, systemet ditt utførte ikke nyttelasten: slett bare den klonede mappen.

Hva om jeg kjørte intervjukodingstesten inne i en Docker-beholder (docker compose up) på min Mac eller Windows PC? Beskyttet beholderen meg?¶

Det avhenger av hvilke volumer som ble montert inne `docker-compose.yml` eller den `Dockerfile`. Hvis du kjørte beholderen med et isolert filsystem, kunne ikke skadelig programvare se vertens Chrome-informasjonskapsler eller MetaMask-utvidelsen. Imidlertid mange `Contagious Interview` depoter inkluderer en `docker-compose.yml` som i hemmelighet bind-monterer vertens hjemmekatalog (`volumes: - -/.ssh:/root/.ssh` eller `- -/:/host_home`) eller kjører med `privileged: true`. Undersøke `docker-compose.yml` i repoen umiddelbart: hvis den monterte `-`, `$HOME`, eller `/Users`, behandle den bærbare vertsmaskinen din som kompromittert.

Hvordan kunne en sjekk være falsk hvis det var en "kassesjekk" levert av FedEx Overnight med et vannmerke og bankkassen godtok den ved skranken?¶

Falske kasserersjekker skrives ut på ekte kjemikaliesjekkbeholdning ved bruk av gyldig rutenummer og magnetisk `MICR` blekkskrift for en storbank. En menneskelig bankkasse ved et filialvindu bekrefter bare at rutenummeret er gyldig og sjekken ser fysisk autentisk ut; Telleren kan ikke se inn i en annen banks interne hovedbok for å vite om sjekkens serienummer faktisk ble utstedt. Bare når sjekkebildet går gjennom Federal Reserve clearinghouse (`5 to 10 business days later`) avviser den utstedende banken den som falsk.

Kan jeg gå i fengsel hvis jeg ubevisst satte inn en falsk jobbsjekk og brukte noen av pengene før den spratt?¶

Å bli lurt av svindel med ansettelsessjekk mangler kriminelle hensikter (`mens rea`), forutsatt at du ikke lyver for banken og rapporterer svindelen til bankens svindelavdeling og politi (`IC3` / lokal politirapport) umiddelbart. Imidlertid, under bankens innskuddskontoavtale og **Uniform Commercial Code (`UCC § 4-207 / § 4-214`)**, er kontoinnehaveren som godkjenner og setter inn en sjekk sivilt og kontraktsmessig ansvarlig for å tilbakebetale banken for 100 prosent av eventuell negativ kassekreditt når en deponert sjekk returnerer ubetalt.

Hvorfor gjennomførte rekruttereren en ekte 30-minutters videosamtale med meg på Zoom/Google Meet hvis de var nordkoreanske Lazarus-hackere?¶

DPRK **`Contagious Interview` (`UNC4899` / `Famous Chollima`)** Operatører bruker flytende engelsktalende for å gjennomføre overbevisende 20- til 45-minutters HR-screeningsamtaler på Zoom, Google Meet eller Calendly. Fordi en enkelt utviklerarbeidsstasjon ofte holder `$50,000 to $2,000,000+` i DeFi-protokollnøkler, treasury multisig-tilgang eller bedriftens skyproduksjonslegitimasjon, bruk 30 minutter på en direktesendt videosamtale for å overbevise deg om å kjøre `npm install` på deres vurdering har repo høy avkastning på investeringen for trusselaktøren.

Hva om "arbeidsgiveren" sendte penger inn på bankkontoen min via ACH/Zelle og ba meg ta ut penger eller kjøpe Bitcoin for å sende til klienten deres?¶

Det er en **Money Mule (`Layering`)** operasjon. I motsetning til en papirsjekk (som spretter før oppgjør), hvis `$4,000` faktisk kommet inn på kontoen din via `ACH`, `Zelle`, eller `Wire`,**det `$4,000` ble stjålet fra bankkontoen til et uskyldig hacking- eller romantikk-svindeloffer**. Hvis du tar det ut eller konverterer det til Bitcoin for din "arbeidsgiver", sporer politi og offerets bank de stjålne midlene direkte til bankkontoen din. Ikke trekk ut eller videresend en eneste cent; ring bankens svindelavdeling umiddelbart og be dem returnere den uautoriserte overføringen til den opprinnelige institusjonen.

Relaterte guider¶

• Falsk jobbtilbudssvindel, svindel med utstyrssjekk og identitetstyveri ombord
• Supply chain npm/PyPI-pakkekompromiss og nøkkelrotasjon for utviklere arbeidsstasjon
• Kapring av øktinformasjonskapsler, malware fra infostealer og tilbakekalling av passord
• Falsk CAPTCHA ClickFix PowerShell Win+R utklippstavle malware og Lumma Infostealer remediation
• Cryptocurrency lommebok drenering og frøfrase kompromiss
• Autorisert push-betaling (APP)-appsvindel: Zelle, Venmo og Faster Payments etterligning og refusjonsrettigheter
• Svar på identitetstyveri
• Nødnumre etter land

Kilder og offisiell veiledning¶

• Federal Bureau of Investigation (FBI), Cybersecurity and Infrastructure Security Agency (CISA), & DoD Cyber Crime Center (DC3) (USA): Felles rådgivende: nordkoreansk (DPRK) Social Engineering-kampanjer rettet mot programvareutviklere (Contagious Interview / BeaverTail / InvisibleFerret).
• Palo Alto Networks Unit 42 (unit42.paloaltonetworks.com): Nordkoreanske trusselskuespillere lokker tekniske jobbsøkere som falske rekrutterere (Contagious Interview Analyse).
• Federal Trade Commission (FTC) & Federal Reserve Board (USA): Forbrukerråd om falske sjekkesvindel, pakkemuldyr og Regulation CC (12 CFR Part 229) Regler.
• U.S.S. statsborgerskap og immigrasjonstjenester (USCIS): myE-Verify Selvlåst identitetsbeskyttelsesveiledning.
• Nasjonalt cybersikkerhetssenter (NCSC) & Action Fraud (Storbritannia): Bekjempe ondsinnet kodelagre og rekrutteringssvindel.