Ponarejena ponudba za delo in prevara na razgovoru na daljavo: severnokorejski Lazarus BeaverTail Zlonamerna programska oprema npm Repo, lažni pregledi opreme in zaklepanje identitete¶

Če sredi razgovora za službo na daljavo ali procesa vključevanja ugotovimo, da "zaposlovalec" ali "vodja zaposlovanja" izvaja prefinjeno kibernetsko ali finančno past, je nujna situacija na dveh straneh. Današnje goljufije pri zaposlovanju na daljavo se delijo na dve zelo destruktivni operaciji, ki so ju identificirali FBI, CISA in globalne kibernetske agencije: (1) Razvijalec programske opreme in zlonamerna programska oprema Crypto "Coding Assessment" (Contagious Interview / skupina Lazarus DLRK BeaverTail & InvisibleFerret), kjer nabornik na LinkedIn, Upwork ali Telegram prosi programskega inženirja ali kandidata za Web3/AI, naj klonira repozitorij GitHub, GitLab ali Bitbucket in zažene npm install && npm start (ali zgradbo Python/Docker) na njihovem primarnem prenosnem računalniku, da "popravijo napako pred intervjujem v živo," tiho izvedejo krajo informacij, ki izlušči vsak piškotek seje brskalnika, trezor upravitelja gesel, .ssh ključ, .env datoteko in denarnico za kriptovalute v manj kot 5 sekundah; in (2) prevare s ponarejenimi čeki "Home Office Equipment" in Reshipping Mule Scams, pri katerih podjetje, ki se je lažno predstavljalo, izvede besedilo/razgovor s skupinami, po e-pošti pošlje ponarejeno $2,500 to $5,000 preverite »MacBook Pro in nastavitev domače pisarne« in vam naroči, da ček položite na mobilni telefon in pošljete $2,200 prek Zelle, Venmo, žičnih ali darilnih kartic njihovemu "odobrenemu prodajalcu IT opreme", preden ček nekaj dni kasneje vrne. Za vključevanje kraje identitete SSN/I-9 in splošne goljufije s čeki glejte prevara z lažno ponudbo za delo, goljufija s preverjanjem opreme in kraja identitete pri vkrcanju; za rotacijo ključev paketa npm/PyPI in krajo piškotkov brskalnika se posvetujte ogroženost paketa dobavne verige npm/PyPI in rotacija ključev delovne postaje razvijalca in ugrabitev sejnih piškotkov, zlonamerna programska oprema infostealer in preklic gesla. Če se soočite s takojšnjo fizično prisilo, grožnjami z udarcem ali osebnim soočenjem s kurirjem, pokličite lokalno številko za klic v sili (911 v ZDA in Kanadi, 112 po vsej Evropski uniji, 999 v Združenem kraljestvu) ali preverite naš imenik številke za klic v sili.

Naredi to zdaj¶

1. ČE STE TEKLI npm install, npm test, yarn, pip install, ali lažni Zoom/Teams/Miro .dmg/.exe za zaposlitveni razgovor: ODKLOPITE RAČUNALNIK IZ WI-FI IN ETHERNETA V 3 SEKUNDAH:
2. Izvlecite ethernetni kabel ali takoj IZKLOP Wi-Fi.
3. BeaverTail Koristni tovor JavaScript/Node.js prenese prenosno okolje Python (-/.npl oz %UserProfile%\.pyp) in zažene InvisibleFerret zadnja vrata, ki se povezujejo z ukazno-nadzornim (C2) strežnik (:1224 / :1244) pretakanje vaših pritiskov tipk, odložišča in datotečnega sistema v živo.
4. Uporabite ločen, čist pametni telefon (iPhone oz Android na mobilnih podatkih), da izpraznite vse denarnice za kriptovalute in prekličete vsako aktivno sejo brskalnika (Google, GitHub, AWS, Microsoft, Apple):
5. BeaverTail cilji MetaMask, Phantom, Rabby, Coinbase Wallet, Trust Wallet, Exodus, Electrum in Solana CLI (-/.config/solana/id.json) datoteke trezorja, skupaj z Login Data in Cookies iz Chroma, Brave, Edge, Arc in Firefoxa ter vašega macOS login.keychain-db.
6. Iz čiste naprave prenesite vsa kripto sredstva na vročih denarnicah v povsem novo seme strojne denarnice, prekličite vse aktivne spletne seje v Googlu (myaccount.google.com/security), GitHub (github.com/settings/sessions) in konzole AWS/Cloud ter izbrišite svoje ogrožene ključe SSH in GPG iz GitHub/GitLab.
7. ČE STE DEPONIRALI ČEK ZA "DOMAČO PISARNIŠKO OPREMO" OD DELODAJALCA: NE POŠALJTE NITI DOLARJA NOBENEMU "PRODAJALCU" IN TAKOJ POKLIČITE ODDELEK ZA PROTI GOLJUFIJAM SVOJE BANKE:
8. Tudi če vaša bančna aplikacija prikazuje $3,500 označite kot "Razpoložljivo stanje / Sproščena sredstva," ta denar NI počiščen. Po Uredbi CC ameriške centralne banke (Expedited Funds Availability Act) morajo banke dati čekovne depozite začasno na voljo v roku 1 to 2 business days, medtem ko odkritje, da je usmerjanje čeka/številka računa ponarejena, zahteva 5 to 14 business days.
9. Pokličite številko na hrbtni strani vaše debetne kartice in sporočite: "Bil sem tarča prevare s čeki za zaposlitev in sem nevede položil domnevno ponarejen ček; prosim označite depozit, da moj račun ne bo zaprt zaradi goljufije."
10. ČE STE ŽE POSLALI SREDSTVA ZELLE, VENMO, WIRE ALI BITCOIN ATM "PRODAJALCU OPREME": Takoj pokličite službo za goljufije/odpoklic bančnih nakazil (za nakazila zahtevajte takojšen SWIFT / Fedwire Recall in FBI IC3 Recovery Asset Team zamrznitev; za Zelle/Faster Payments prijavite Authorized Push Payment (APP) prevara z lažnim predstavljanjem pod avtorizirane goljufije v aplikaciji za potisno plačilo in pravice do povračila).
11. ČE STE NALOŽILI SVOJ SSN, POTNI LIST, VOZNIŠKO DOVOLJENJE, W-4, I-9 ALI NEPOSREDNO DEPOZITNO ŠTEVILKO BANKE: Zamrznite kredit pri Equifax, Experian in TransUnion, zamrznite ChexSystems, zaklenite svoj SSN na myE-Verify (myeverify.uscis.gov) in prosite svojo banko, da zapre razkrito številko tekočega računa in odpre nadomestno številko računa.
12. ČE STE SPREJELI DELO "PREGLED PAKETOV / LOGISTIČNI KOORDINATOR" S PREJEMANJEM IN PONOVNIM POŠILJANJEM PAKETOV OD DOMA: TAKOJ PRENEHAJTE POŠILJANJE PAKETOV: Tista elektronika (iPhones, MacBooks, camera lenses) so bile kupljene z ukradenimi kreditnimi karticami in poslane na vaš domači naslov (Parcel Mule Scam). Shranite vse oznake pošiljk in dnevnike klepetov ter se obrnite na lokalno policijo ali Poštno inšpekcijsko službo ZDA (USPIS).

Odločitveno drevo: intervju na daljavo in triaža lažnih zaposlitev v nujnih primerih¶

Uporabite ta diagram poteka, da skočite naravnost na zadrževalni protokol, ki se ujema z natančno različico prevare pri delu, na katero ste naleteli:

flowchart TD
    Start["Nujni primer: domnevno lažni razgovor za službo, preizkus kodiranja ali prevara pri vkrcanju"] --> ScamType{"Kaj je od vas zahteval 'zaposlovalec' ali 'delodajalec'?"}

    ScamType -->|"1. Klonirajte Git Repo in zaženite npm / Python / Docker ALI namestite aplikacijo za videoklic po meri"| DevTrap["KRITIČNO: DPRK Contagious Interview (BeaverTail / InvisibleFerret) Info-Stealer"]

    ScamType -->|"2. Položite ček (PDF/pošta) in pošljite denar 'odobrenemu prodajalcu opreme'"| CheckTrap["Prevara s preplačilom ponarejenih čekov: začasno knjižen ček bo zavrnjen v 5-14 dneh"]

    ScamType -->|"3. Izpolnite obrazec I-9 / W-4 / SSN / potni list / neposredni depozit, preden odkrijete prevaro"| IdTrap["Tatvina identitete in plačilne liste: zamrznitev kredita, ChexSystems, IRS IP PIN in bančni račun"]

    ScamType -->|"4. Prejmite pakete na dom, jih preglejte in ponovno pošljite s priloženimi nalepkami ALI plačajte kripto »Task«"| MuleOrTask["Ponovna pošiljka Parcel Mule ALI Prevara s kripto nalogo 'Optimizacija aplikacije'"]

    DevTrap --> CutNet["1. IZKLOPITE Wi-Fi / Takoj odklopite Ethernet na delovni postaji razvijalca"]
    CutNet --> EvacPhone["2. Na čistem telefonu: premaknite kripto sredstva + prekličite seje Google/GitHub/AWS + zavrtite ključe SSH"]
    EvacPhone -->ForensicClean["3. Preglejte -/.npl, -/.pyp, package.json in profile brskalnika -> Čisto obrišite in ponovno namestite OS"]

    CheckTrap --> SentMoney{"Ste že poslali denar 'prodajalcu opreme'?"}
    SentMoney -->|"Ne: ček položen, 0 USD poslano"| WarnBank["NE DITAJTE SE SREDSTEV -> Takoj pokličite oddelek za bančne goljufije, da označite neznansko slab čekovni depozit"]
    SentMoney -->|"Da: Poslano prek Zelle/Wire/Crypto/Darilne kartice"| RecallFunds["Takoj pokličite bančno službo za nakazila/prevare -> Pokrijte negativno prekoračitev pred zavrnitvijo čekov -> Dajte poročilo IC3"]

    IdTrap --> LockCredit["Zamrzni Equifax/Experian/TransUnion + ChexSystems -> Zapri izpostavljeno številko bančnega računa -> Zakleni myE-Verify"]
    MuleOrTask --> StopShip["Ustavite ponovno pošiljanje paketov in prenehajte z deponiranjem kriptovalut -> Ohranite tovorne liste in poročajte USPIS / IC3"]

Faza 1: Kako pod pokrovom delujeta dve glavni pasti za delo na daljavo¶

Primerjajte tehnično mehaniko in indikatorje rdečih zastavic treh primarnih vektorjev nujnih primerov zaposlovanja, ki so dejavni po vsem svetu:

2. faza: Odziv v sili za razvijalce programske opreme (Contagious Interview / BeaverTail / InvisibleFerret)¶

Če ste razvijalec programske opreme, ki je kloniral repozitorij od nabornika ali anketarja in zagnal npm install, npm start, yarn, pnpm, python, cargo, ali izvršljivo datoteko na vaši delovni postaji Windows, macOS ali Linux, sledite temu natančnemu zaporedju odzivov na incident, ki temelji na Palo Alto Networks Unit 42, CrowdStrike in CISA/FBI obveščevalnih podatkih o grožnjah severnokorejskega Contagious Interview akcija.

1. korak: Razumejte 2-stopenjsko BeaverTail -> InvisibleFerret Kill Chain na vašem disku¶

Kako je na videz običajno skladišče React/Node.js okužilo vaš Mac ali PC, ne da bi sprožilo pojavno okno protivirusnega programa?

+-------------------------------------------------------------------------+
| ANATOMY OF A CONTAGIOUS INTERVIEW (BEAVERTAIL) MALICIOUS REPO           |
|                                                                         |
| 1. The Decoy Repo (e.g., "mern-ecommerce-assessment" or "defi-dex-ui"): |
|    - 99% of the repo is real, working React/Express boilerplate code.   |
|    - Hidden at the very end of `server/routes/api/auth.js` or           |
|      `backend/controllers/userController.js` (often scrolled 300 spaces |
|      to the right on one line so you do not see it in VS Code) is an    |
|      obfuscated `eval(Buffer.from(...))` or `axios.get(...)` call.      |
|                                                                         |
| 2. Stage 1: BeaverTail (JavaScript Info-Stealer inside Node.js):        |
|    - Scans Chrome, Brave, Opera, Edge, Vivaldi (`Default` & `Profile N`)|
|      for `Login Data`, `Local Extension Settings` (MetaMask `nkbihfbeog`|
|      Phantom `bfnaelmome`, Rabby `acmacodkjb`), and Solana `id.json`.   |
|    - Uploads stolen vaults & cookies immediately to `http://<C2>:1224`. |
|                                                                         |
| 3. Stage 2: InvisibleFerret (Python Backdoor + AnyDesk Persistence):    |
|    - BeaverTail downloads a standalone portable Python 3.11 zip into    |
|      `~/.npl/` or `%UserProfile%\.pyp\` and runs `~/.npl/.pyp/python`   |
|      executing `~/.npl/main.py` (`InvisibleFerret`).                    |
|    - InvisibleFerret logs keystrokes, reads your clipboard, scans your  |
|      entire drive for `.env`, `.ssh`, `seed`, `mnemonic`, and silently  |
|      downloads/configures `AnyDesk` for full remote desktop control.    |
+-------------------------------------------------------------------------+

2. korak: preverite natančno BeaverTail in InvisibleFerret Indikatorji kompromisa (IoCs)¶

Medtem ko je vaš okuženi računalnik Mac, Linux ali Windows popolnoma prekinjen z Wi-Fi in Ethernet, odprite terminal (ali PowerShell), da preverite, ali je stopnja 2 (InvisibleFerret) je bil spuščen na vaš disk:

# On macOS or Linux (WITH WI-FI OFF):
ls -la ~/.npl ~/.pyp ~/.vscode
ps aux | grep -iE "npl|pyp|main\.py|anydesk|node"

# Search the cloned interview repository for hidden horizontal-scroll obfuscation or base64 evals:
grep -rnE "Buffer\.from|child_process|execSync|\.npl|\.pyp|:1224|:1244|nkbihfbeogaeaoehlefnkodbefgpgknn" /path/to/cloned/interview_repo/

# On Windows PowerShell (WITH WI-FI / ETHERNET OFF):
Get-ChildItem -Path $env:USERPROFILE -Force | Where-Object { $_.Name -match "^\.(npl|pyp)" }
Get-Process | Where-Object { $_.Path -match "npl|pyp|AnyDesk" }

3. korak: Izvedite 15-minutno evakuacijo poverilnice razvijalca in kripto (iz čiste naprave)¶

Ne ne vnašajte novih gesel ali semenskih fraz v okuženi računalnik. Uporaba čistega pametnega telefona (iPhone / Android) ali ločen nekompromitiran računalnik:

1. Takoj evakuirajte vse vroče denarnice za kriptovalute (Minutes 0 to 5):
2. Tudi če je bila vaša denarnica MetaMask, Phantom, Rabby ali Exodus zaklenjena z geslom, BeaverTail naložil vašo šifrirano datoteko trezorja (000003.log / LOCK / Local Extension Settings) in InvisibleFerret zažene zapisovalnik tipk/monitor odložišča (in v macOS prikaže ponarejeno izvorno osascript pogovorno okno z geslom, ki vas prosi za sistemsko geslo za Mac za odklepanje login.keychain-db).
3. Ustvarite popolnoma novo denarnico na svojem pametnem telefonu ali denarnici za strojno opremo (Ledger / Trezor) s popolnoma novo 12/24-besedno začetno frazo in prenesite 100 odstotkov svojih žetonov, NFT-jev in stavnih pozicij iz vsake denarnice, ki se je kdaj dotaknila tega računalnika.
4. Prekliči vse GitHub, GitLab, Bitbucket in Cloud (AWS / GCP / Azure / Vercel) poverilnice (Minutes 5 to 10):
5. GitHub: Prijavite se v telefonu -> Nastavitve -> Ključi SSH in GPG -> Izbriši vse ključe SSH, ki so bili shranjeni v -/.ssh/ na okuženem prenosniku. Nato pojdite na Nastavitve -> Nastavitve razvijalca -> Žetoni osebnega dostopa (prekliči vse žetone) in Nastavitve -> Seje -> Prekliči vse seje.
6. AWS / GCP / Cloud: Takoj deaktiviraj vsak AWS_ACCESS_KEY_ID shranjeno v -/.aws/credentials ali znotraj katerega koli .env datoteka na tem prenosniku (InvisibleFerret rekurzivno preišče vsako mapo projekta na vašem pogonu za .env, .npmrc, .pypirc, kubeconfig, in id_rsa).
7. Če ste imeli na tem prenosnem računalniku repozitorije/ključe delodajalca ali odjemalca: obvestite delodajalčev center za varnostne operacije (SOC / CISO) takoj, da lahko zamenjajo podjetje .env skrivnosti in revizijske obveznosti.
8. Prekliči vse seje brskalnika (Google, Microsoft, Apple, Slack, Discord, Telegram) (Minutes 10 to 15):
9. Ne pozabite: sprememba gesla pogosto ne razveljavi piškotkov ukradene seje, razen če izrecno kliknete »Odjava iz vseh naprav / Prekliči vse seje« v Google Security, Microsoft Account, Slack, Discord in X/Twitter.
10. Spremenite svoj Upravitelj gesel (1Password, Bitwarden, Keeper) glavno geslo in prekliče žeton avtorizirane naprave okuženega prenosnika.
11. Izbrišite in znova namestite operacijski sistem na okuženi delovni postaji: Ker InvisibleFerret namesti trajna opravila v ozadju, spremeni binarne datoteke brskalnika in spusti AnyDesk oddaljen dostop, preprosto brisanje -/.npl in klonirano skladišče ne zadostuje. Varnostno kopirajte samo navadne dokumente/izvorne datoteke (preverjeno čiste z git status / git diff), nato izvedite popolno čisto brisanje OS in znova namestite (macOS Erase All Content and Settings ali Windows USB clean partition wipe).

3. faza: Nujni odziv na goljufije s čeki lažne "domače pisarniške opreme"¶

Če bi vam ponudili službo na daljavo (Administrative Assistant, Data Entry, Customer Support, Project Coordinator, Graphic Designer), prejeli ček (prek e-pošte PDF za tiskanje in prenos na mobilni telefon ali prek FedEx/UPS nočne ovojnice) za nakup prenosnega računalnika in opreme za domačo pisarno ter ga položili na svoj bančni račun, ste v tekmi proti oknu za vračilo čekov Federal Reserve.

1. Zakaj bančna aplikacija na 100-odstotno ponarejenem čeku piše "Sredstva so na voljo" (The Regulation CC Float Trap)¶

+-------------------------------------------------------------------------+
| HOW THE FAKE "EQUIPMENT CHECK" FLOAT TRAP WORKS                         |
|                                                                         |
| Day 1 (Monday): You deposit the scammer's $3,500 "Equipment Check"      |
|                 using your bank's Mobile Deposit app.                   |
| Day 2 (Tuesday): Under US Federal Law (Regulation CC), your bank MUST   |
|                  release the funds within 1-2 business days. Your app   |
|                  now shows: "Available Balance: +$3,500.00".            |
| Day 2 (Tuesday PM): "Hiring Manager" tells you to Zelle/Wire $2,800     |
|                     immediately to their "Approved MacBook Vendor" so   |
|                     your laptop arrives by Friday.                      |
| Day 8 (Next Tuesday): The real corporate bank whose routing/account     |
|                       number was forged on the check rejects it as      |
|                       COUNTERFEIT / ALTERED (`Return Code R29 / Refer   |
|                       to Maker`).                                       |
| RESULT ON DAY 8:                                                        |
|   - Your bank claws back the full $3,500.00 from your balance.          |
|   - The $2,800 you sent via Zelle/Wire is gone forever.                 |
|   - Your account drops to -$2,800.00 overdraft, and your bank's risk    |
|     algorithm may freeze/close your account and report you to           |
|     ChexSystems as a check-fraud risk.                                  |
+-------------------------------------------------------------------------+

2. Protokol zaščite banke po korakih, če ste položili ček¶

Primer A: Deponirali ste ček, vendar še niste poslali denarja "prodajalcu".¶

Izgubili ste $0 do zdaj in lahko preprečite, da bi vaša banka zaprla vaš račun, če ukrepate takoj: 1. NE dvigujte, porabite ali prenašajte niti enega centa položenih čekovnih sredstev. Pusti polno $3,500 ostane nedotaknjena na računu, tako da banka, ko ček v 5 do 10 delovnih dneh vrne račun, popolnoma izvleče svoje začasno dobroimetje $0 prekoračitev. 2. Takoj pokličite oddelek za goljufije vaše banke (ali stopite v fizično poslovalnico in se pogovorite z vodjo podružnice): - Ko se ponarejen ček tiho vrne brez pojasnila, avtomatizirani bančni mehanizmi za tveganje (Early Warning Services / ChexSystems) ne more ugotoviti, ali ste bili goljuf ali nedolžna žrtev iskalca zaposlitve. - Bančnemu predstavniku jasno povejte: »Prijavil sem se za zaposlitev na daljavo in prevarant mi je poslal ček za opremo v vrednosti '3500 $', ki sem ga danes nakazal prek mobilnega telefona. Pravkar sem ugotovil, da gre za lažno prevaro s preverjanjem zaposlitve. NISEM porabil ali prenesel niti enega dolarja sredstev. Prosim, da na moj profil dodate opombo Victim of Employment Scam in razveljavite/zadržite začasno dobroimetje, da moj račun ne bo kaznovan, ko se ček vrne neplačano." - Prosite banko, da se odpove $15 to $35 Provizija za vrnjen deponirani predmet in potrdite, da vaš račun ne bo označen za zaprtje.

Primer B: Deponirali ste ček IN že poslali denar (Zelle, Venmo, Wire, Cash App, Crypto, oz Gift Cards)¶

1. Pokličite oddelek za goljufije svoje banke v 60 sekundah:
2. Prijavite obe strani zločina: (a) dohodni ček je ponarejen ček za prevaro pri zaposlovanju, ki bo zavrnjen, in (b) odhodno nakazilo Zelle/Venmo/Wire/ACH je povzročila goljufija pri zaposlovanju.
3. Če ste poslali bančno nakazilo (Fedwire / SWIFT) v zadnjih 24 do 72 urah: zahtevajte takojšen prevarantski odpoklic (SWIFT MT192 / pacs.004) in vložite nujno poročilo na ic3.gov zato FBI-jeva Ekipa za izterjavo sredstev (RAT) lahko izda verigo ubijanja finančnih goljufij (FFKC) zamrznitev računa prejemnika.
4. Če ste poslali Zelle, Venmo, ali ZK Faster Payments: Vložite Avtorizirano potisno plačilo (APP) zahtevek za goljufijo in zahtevajte podatke o usmerjanju/instituciji prejemne banke (Zelle Network Fraud).
5. Če vam je prevarant rekel, da kupite darilne kartice Apple, Razer Gold, Steam ali Target: Takoj pokličite številko goljufij izdajatelja darilnih kartic s serijsko številko potrdila, da zamrznete vsa neunovčena stanja na kartici.
6. Pripravite se na $3,500 preverite povratno povračilo, da vaš račun ne postane negativen pri bremenitvi ChexSystems:
7. Ko je ponaredek $3,500 Čeki se vrnejo v 5 do 10 dneh, bo vaša banka odštela $3,500 iz vašega računa. Sodelujte z ekipo vaše banke za odpravo goljufij, da nastavite načrt odplačevanja brez obresti za kakršno koli negativno stanje pred 30. dnem, tako da banka ne bo poročala o nenamernem zaprtju računa ChexSystems ali Early Warning Services (EWS).

Faza 4: Zaklepanje vaše identitete, če ste predložili I-9, W-4, SSN, potni list ali obrazec za neposredni depozit¶

Lažni naborniki skoraj vedno pošljejo "paket za vkrcanje" (Form W-4, Form I-9, Direct Deposit Authorization, in fotografije spredaj in zadaj vašega vozniškega dovoljenja, potnega lista ali kartice socialnega zavarovanja), preden sprožite ček ali past zlonamerne programske opreme. Če ste poslali katerega od teh dokumentov, izvedite to zaklepanje identitete v 5 korakih danes:

1. Zaprite izpostavljeno številko bančnega računa (Direct Deposit obrazec): obrazec za neposredni depozit prevarantu da vašo bančno usmerjevalno številko (ABA) in polno številko tekočega računa ter kopijo razveljavljenega čeka z vašim podpisom, kar je vse potrebno za tiskanje lažnih papirnatih čekov ali sprožitev nepooblaščenega ACH Debit potegne iz vašega računa. Povejte svoji banki, naj zapre to številko računa in prenese vaša sredstva na popolnoma novo interno številko računa.
2. Izvedite brezplačno zamrznitev kredita pri vseh treh kreditnih uradih:
3. Equifax (equifax.com/personal/credit-report-services/credit-freeze/ / 1-888-298-0045)
4. Experian (experian.com/freeze/ / 1-888-397-3742)
5. TransUnion (transunion.com/credit-freeze / 1-800-916-8800)
6. Zamrzni ChexSystems (chexsystems.com) in NCTUE: Banke uporabljajo ChexSystems (ne Equifax/Experian), ko nekdo odpre tekoči račun na vaše ime. Postavite brezplačno ChexSystems Security Freeze na spletu, da prevaranti ne morejo odpreti bančnih računov z uporabo vašega ukradenega vozniškega dovoljenja in paketa I-9.
7. Zaklenite svojo številko socialnega zavarovanja myE-Verify (USCIS): Pojdi na myeverify.uscis.gov in aktiviraj Self Lock, ki nikomur prepreči uporabo vaše številke socialne številke v zveznem sistemu zaposlovanja E-Verify.
8. Pridobite IRS Identity Protection PIN (IP PIN) (irs.gov/ippin): Preprečite goljufom, da bi v vašem imenu vložili goljufivo napoved za vračilo davka, tako da takoj vnesete 6-mestno kodo IRS IP PIN.

Faza 5: Varno zaustavite prevaro »Mule za ponovno pošiljanje paketov« ali »Crypto Task«¶

Kaj pa, če bi vas najeli za eno od teh dveh prevar brez preverjanja zaposlitve na daljavo?

1. scenarij: sprejeli ste posel "Nadzor kakovosti/pošiljanje paketov" in imate pakete doma¶

Če ste na domači naslov prejeli računalnike MacBook, iPhone ali elektroniko in ste prejeli predplačniške nalepke za pošiljanje PDF USPS/UPS/FedEx, da jih posredujete: - Takoj USTAVITE pošiljanje paketov. Vsak paket, ki je prispel v vašo hišo, je bil kupljen z ukradeno kreditno kartico, kjer je prevarant vnesel vaše ime in domači naslov kot Ship To naslov. - NE vračajte paketov na naslov goljufa: shranite neodprte škatle, shranite vsako e-pošto, klepet v Telegramu, nalepko za pošiljanje PDF in pogodbo o zaposlitvi kot dokaz ter se obrnite na lokalno policijo in U.S. Poštna inšpekcijska služba (1-877-876-2455 / uspis.gov) (ali Action Fraud v Združenem kraljestvu), da uredite vračilo blaga ogoljufanim trgovcem na drobno.

Scenarij 2: Prek WhatsApp/Telegrama ste bili izbrani za nalogo kripto naloge »Optimizacija aplikacije/ocena izdelka«¶

• Kako deluje past: "Delodajalec" vam plača $50 to $150 v resnici USDT 1. dan zaradi klikanja gumbov na lažnem spletnem portalu. 2. ali 3. dan vaš račun doseže "Kombinacijsko nalogo", ki vaše stanje na portalu postavi na -$400 in od vas zahteva polog $400 svojega USDT da "izpolnite sklop 40 nalog." V trenutku, ko položite $400, zahteva druga naloga $1,800, potem $6,000, potem $25,000 za "davke".
• Takojšen ukrep: NEHAJTE takojšnje polaganje kriptovalute. Številke na spletnem mestu nalog so lažne vrednosti HTML, ki jih nadzoruje prevarant; plačilo negativnega stanja ne bo nikoli sprostilo dviga. Prekinite vse stike in se izogibajte "hekerjem za obnovitev kriptovalut" na Telegramu ali Instagramu.

Regionalne številke za klic v sili in protokoli agencije¶

Prijavite zlonamerno programsko opremo za razgovor na daljavo (Contagious Interview), goljufije pri preverjanju zaposlitve in kraje identitete pri vkrcanju uradnim kibernetskim in finančnim organom v vaši regiji:

• Združene države in Kanada: Pokličite 911 za vse fizične varnostne nujne primere. Prijavite zlonamerno programsko opremo razvijalca (Lazarus / BeaverTail) in ponarejene izgube delovnih mest/nalog FBI IC3 (ic3.gov), FTC (ReportFraud.ftc.gov in IdentityTheft.gov) in USPIS (1-877-876-2455). V Kanadi se obrnite na Kanadski center za boj proti goljufijam (1-888-495-8501) in Kanadski center za kibernetsko varnost (1-833-CYBER-88).
• Združeno kraljestvo: Pokliči 999 za nujne primere ali 101 za lokalno policijo. Pokliči 159, da se povežete z oddelkom za goljufije vaše banke in prijavite goljufije z lažnimi zaposlitvami in zlonamerno programsko opremo razvijalcev na Action Fraud (0300 123 2040 / actionfraud.police.uk) in NCSC (ncsc.gov.uk). Razmislite o zaščitni registraciji CIFAS (cifas.org.uk).
• Evropska unija: Pokličite 112 v vseh državah članicah EU nemudoma obvestite službo za goljufije svoje banke in vložite poročilo pri nacionalni policijski enoti za kibernetski kriminal in nacionalni CSIRT.
• Avstralija in Nova Zelandija: Pokličite 000 v Avstraliji ali 111 na Novi Zelandiji. Prijavite prevare pri zaposlovanju in opravilih na Scamwatch (scamwatch.gov.au), ReportCyber (cyber.gov.au, 1300 CYBER1) in kontaktirajte IDCARE (1800 595 160 v AU / 0800 121 068 na Novi Zelandiji).
• Indija in Azija-Pacifik: Pokličite 112 v Indiji za nujne primere in pokličite nacionalno linijo za pomoč pri kibernetskem kriminalu (1930 / cybercrime.gov.in) takoj za zamrznitev goljufivih bančnih nakazil. V Singapurju pokličite Anti-Scam Helpline (1799).

Pogosta vprašanja¶

Kloniral sem rekruterjev repozitorij GitHub (git clone ...), je odprl datoteke v kodi VS, da bi jih prebral, in NIKOLI ni zagnal npm install oz npm start. Ali sem še okužen?¶

Za razliko od `npm install` (ki teče `package.json` skripte), teče golo `git clone` in preprosto branje `.js` datoteke ne izvaja kode sama RAZEN ČE skladišče vsebuje zlonamerno `.vscode/tasks.json` datoteka z `"runOn": "folderOpen"` IN ste kliknili "Da, zaupam avtorjem", ko je VS Code odprl mapo. Preverite, če a `.vscode/tasks.json` datoteka obstaja znotraj kloniranega repoja (`cat /path/to/repo/.vscode/tasks.json`) in preverite, če `-/.npl` oz `-/.pyp` je bil ustvarjen v vašem domačem imeniku. Če nobeno ne obstaja in nikoli niste tekli `npm`, `yarn`, `python`, oz `node`, vaš sistem ni izvedel obremenitve: preprosto izbrišite klonirano mapo.

Kaj pa, če bi preizkus kodiranja intervjuja izvedel znotraj vsebnika Docker (docker compose up) na mojem računalniku Mac ali Windows? Me je posoda zaščitila?¶

Odvisno od tega, kateri volumni so bili nameščeni v notranjosti `docker-compose.yml` ali `Dockerfile`. Če ste zagnali vsebnik z izoliranim datotečnim sistemom, zlonamerna programska oprema ni mogla videti piškotkov gostitelja Chrome ali razširitve MetaMask. Vendar pa mnogi `Contagious Interview` repozitoriji vključujejo a `docker-compose.yml` ki na skrivaj poveže domači imenik vašega gostitelja (`volumes: - -/.ssh:/root/.ssh` oz `- -/:/host_home`) ali deluje z `privileged: true`. Preglejte `docker-compose.yml` v repo takoj: če je nameščen `-`, `$HOME`, oz `/Users`, svoj gostiteljski prenosni računalnik obravnavajte kot ogroženega.

Kako je lahko ček ponarejen, če je šlo za "blagajniški ček", ki ga je FedEx čez noč dostavil z vodnim žigom in ga je bančni blagajnik sprejel na okencu?¶

Ponarejeni blagajniški čeki so natisnjeni na pravo kemično zalogo čekov z uporabo veljavne usmerjevalne številke in magnetnega `MICR` pisava velike banke. Človeški bančni blagajnik v okencu poslovalnice samo preveri, ali je usmerjevalna številka veljavna in je ček videti fizično pristen; blagajnik ne more videti notranje knjige druge banke, da bi vedel, ali je bila serijska številka čeka dejansko izdana. Samo ko slika čeka potuje skozi klirinško hišo Federal Reserve (`5 to 10 business days later`) ali ga banka izdajateljica zavrne kot ponaredek.

Ali lahko grem v zapor, če sem nevede položil ponarejen ček za službo in porabil nekaj denarja, preden se je vrnil?¶

Biti prevaran s prevaro pri preverjanju zaposlitve nima kaznivega namena (`mens rea`), pod pogojem, da ne lažete banki in prijavite prevaro bančnemu oddelku za goljufije in policiji (`IC3` / lokalno policijsko poročilo) takoj. Vendar v skladu s pogodbo o depozitnem računu vaše banke in **Enotnim trgovinskim zakonikom (`UCC § 4-207 / § 4-214`)** je imetnik računa, ki indosira in deponira ček, civilno in pogodbeno odgovoren, da banki povrne 100 odstotkov morebitne negativne prekoračitve stanja, ko se deponirani ček vrne neplačan.

Zakaj je nabornik opravil pravi 30-minutni videoklic z menoj na Zoomu/Google Meetu, če so bili severnokorejski hekerji Lazarus?¶

DLRK **`Contagious Interview` (`UNC4899` / `Famous Chollima`)** operaterji zaposlujejo tekoče govorce angleščine za izvedbo prepričljivih 20- do 45-minutnih klicev s kadrovskim pregledom v storitvah Zoom, Google Meet ali Calendly. Ker ena sama razvijalska delovna postaja pogosto drži `$50,000 to $2,000,000+` v ključih protokola DeFi, dostopu do blagajne z več vpisi ali poverilnicah za produkcijo v oblaku podjetja, porabi 30 minut za video klic v živo, da te prepriča, da tečeš `npm install` po njihovi oceni ima repo visoko donosnost naložbe za akterja grožnje.

Kaj pa, če je "delodajalec" poslal denar na moj bančni račun prek ACH/Zelle in me prosil, naj dvignem gotovino ali kupim Bitcoin za pošiljanje njihovi stranki?¶

To je **Money Mule (`Layering`)** delovanje. Za razliko od papirnatega čeka (ki odskoči pred poravnavo), če `$4,000` dejansko prispel na vaš račun prek `ACH`, `Zelle`, oz `Wire`, **to `$4,000` je bil ukraden z bančnega računa žrtve nedolžnega vdora ali romantične prevare**. Če ga dvignete ali pretvorite v Bitcoin za svojega "delodajalca", organi pregona in žrtvina banka izsledijo ukradena sredstva neposredno na vašem bančnem računu. Ne dvignite ali posredujte niti enega centa; Takoj pokličite oddelek za goljufije vaše banke in jih prosite, naj vrnejo nepooblaščeno nakazilo instituciji izvora.

Sorodni vodniki¶

• Prevara z lažnimi ponudbami za delo, goljufija pri preverjanju opreme in kraja identitete pri vkrcanju
• Kompromis paketa npm/PyPI v dobavni verigi in rotacija ključev delovne postaje razvijalca
• Ugrabitev sejnih piškotkov, zlonamerna programska oprema infostealer in preklic gesla
• Lažna CAPTCHA ClickFix PowerShell zlonamerna programska oprema odložišča Win+R in popravek Lumma Infostealer
• Izčrpavanje denarnice za kriptovalute in kompromis začetne fraze
• Prevare v aplikacijah za avtorizirana potisna plačila (APP): Zelle, Venmo in Faster Payments lažno predstavljanje in pravice do povračila
• Odziv na krajo identitete
• Številke za klic v sili po državah

Viri in uradna navodila¶

• Zvezni preiskovalni urad (FBI), Agencija za kibernetsko varnost in varnost infrastrukture (CISA), & Center za kibernetski kriminal Ministrstva za obrambo (DC3) (Združene države): Skupno svetovanje: Severna Koreja (DPRK) Kampanje socialnega inženiringa, namenjene razvijalcem programske opreme (Contagious Interview / BeaverTail / InvisibleFerret).
• Enota Palo Alto Networks 42 (unit42.paloaltonetworks.com): Severnokorejski akterji groženj zvabijo iskalce zaposlitve v tehniki kot lažni naborniki (Contagious Interview Analiza).
• Zvezna komisija za trgovino (FTC) & Odbor zveznih rezerv (Združene države): Nasveti potrošnikom o prevarah z lažnimi čeki, paketnimi mulami in Regulation CC (12 CFR Part 229) Pravila.
• Služba ZDA za državljanstvo in priseljevanje (USCIS): myE-Verify Navodila za zaščito identitete s samozaklepanjem.
• Nacionalni center za kibernetsko varnost (NCSC) & Action Fraud (Združeno kraljestvo): Blaženje repozitorijev zlonamerne kode in goljufij pri zaposlovanju.