Тестовое задание, которое ворует кошелёк: как фейковые собеседования охотятся на разработчиков
Рекрутер крипто-стартапа, зарплата выше рынка, вежливое видеособеседование. Финальный шаг — тестовое: склонировать проект, запустить, поправить баг. Проект запускается, баг правится. А в фоне на машине уже работает программа, которая забирает пароли, ключи и кошельки. Разбираю, как устроена одна из самых методичных кампаний последних лет.
Кто за этим стоит
Исследователи называют кампанию Contagious Interview, в ESET её отслеживают как DeceptiveDevelopment, в Trend Micro — как Void Dokkaebi. Её связывают с северокорейскими хакерскими группами. Цель — не конкретный человек, а доступ: криптокошельки, ключи подписи, рабочие репозитории и CI/CD.
Как выглядит «работодатель»
- Настоящая витрина. В 2025 году Silent Push описала три фейковые компании, созданные под эту кампанию, две из них зарегистрированы в США. Сайты, вакансии, страницы в соцсетях.
- Сгенерированные сотрудники. Фото «команды» на сайтах — лица, созданные нейросетью.
- Свой «сервис собеседований». Исследователи находили и полноценную платформу для найма с «ИИ-интервью», собранную ради той же цели.
Как происходит заражение
Схема почти всегда одна: на каком-то этапе кандидату нужно запустить чужой код. Тестовый проект, «исправь баг в нашем репозитории», утилита для видеосвязи, которую «надо поставить перед звонком». Внутри — загрузчик. По данным ESET, чаще всего это инфостилеры BeaverTail, OtterCookie, WeaselStore и модульный инструмент удалённого доступа InvisibleFerret. Под атакой Windows, macOS и Linux.
Отдельно Trend Micro описывает самораспространение: вредоносный код прячут в задачах VS Code, и заражённый репозиторий разработчика становится вектором для следующих жертв. То есть одно «тестовое» может уйти дальше по цепочке — к коллегам и в рабочие проекты.
Почему это работает
- Контекст снимает подозрения. Разработчик каждый день запускает чужой код: зависимости, примеры, пулреквесты. Тестовое выглядит как обычная работа.
- Мотивация сильнее осторожности. Хорошая вакансия, вежливые люди, дедлайн «до завтра».
- Компьютер разработчика — ценная цель. Там одновременно кошельки, токены доступа, ключи и пароли браузера.
Поэтому защита здесь не в антивирусе, а в привычках.
Правила для кандидата
- Чужой код из тестового — только в изоляции. Виртуальная машина или отдельное устройство без кошельков, ключей и рабочих доступов.
- Проверяйте компанию, а не только сайт. Возраст домена, упоминания вне собственных страниц, реальные следы сотрудников.
- «Запусти скрипт, чтобы пройти этап» — красный флаг. Нормальное тестовое можно обсудить и показать без выполнения непонятного кода на вашей машине.
- Не ставьте «специальный софт для звонка». Для собеседования хватает браузера.
Лучшая вакансия в вашей жизни может оказаться установщиком.
Источники:
Иллюстрации нарисованы для статьи, команды в терминале — условный пример.