Gefälschte Recruiter-Malware verbreitet sich über Programmieraufgaben in Bewerbungsgesprächen

Jobsuchende Entwickler sehen sich einer neuen Art gezielter Angriffe ausgesetzt. Statt verdächtiger Anhänge ahmen Kriminelle nun reale Bewerbungsprozesse nach. Die Kampagne mit gefälschter Recruiter-Malware basiert auf technischen Interviewaufgaben, die normal wirken, aber heimlich Schadsoftware installieren, sobald sie ausgeführt werden.

Angreifer geben sich als Unternehmen aus

Forscher stellten fest, dass Bedrohungsakteure überzeugende Recruiter-Identitäten und Firmenprofile online erstellen. Sie kontaktieren Entwickler über berufliche Netzwerke und laden sie ein, sich auf Entwicklerstellen zu bewerben.

Nach ersten Gesprächen erhalten Kandidaten eine Programmieraufgabe. Die Aufgabe wirkt legitim und enthält Anleitungen, Dokumentation und Projektdateien. Nichts im sichtbaren Code weist sofort auf eine bösartige Absicht hin, was Vertrauen schafft.

Die Infektion erfolgt erst, wenn der Entwickler das Projekt lokal zu Testzwecken ausführt.

Schadcode in Projektkomponenten verborgen

Das schädliche Verhalten befindet sich nicht in den Hauptquellcodedateien. Stattdessen lädt das Projekt während der Ausführung zusätzliche Komponenten herunter.

Diese externen Elemente installieren im Hintergrund eine Fernzugriffs-Payload. Da Entwickler Abhängigkeiten in Programmierprojekten erwarten, erscheint das Verhalten bei einer schnellen Prüfung normal.

In einigen Fällen erhalten zuvor saubere Pakete später schädliche Updates. Diese verzögerte Änderung verringert den Verdacht und erhöht die Wahrscheinlichkeit, dass das Ziel den Code ausführt.

Systemzugriff und Datensammlung

Sobald aktiv, ermöglicht die Malware Angreifern die Interaktion mit dem infizierten System. Sie können Befehle ausführen, Dateien untersuchen und Systeminformationen sammeln.

Forscher beobachteten Versuche, Browserdaten und Erweiterungen von Krypto-Wallets zu identifizieren. Das deutet darauf hin, dass Angreifer neben allgemeinem Zugriff auch Zugangsdaten und finanzielle Werte sammeln wollen.

Die Kampagne richtet sich gegen technisch versierte Nutzer und zeigt, dass Angreifer darauf vertrauen, dass Opfer im Rahmen von Bewertungsaufgaben unbekannten Code ausführen.

Laufende Kampagne gegen Entwickler

Die Operation mit gefälschter Recruiter-Malware läuft weiterhin mit wechselnder Infrastruktur. Wenn Sicherheitsteams Teile des Netzwerks aufdecken, erscheinen schnell neue Repositories und Konten.

Experten betonen, dass die Strategie funktioniert, weil sie sich in normale Arbeitsabläufe einfügt. Entwickler erwarten, während Bewerbungstests Code zu kompilieren, zu debuggen und auszuführen, wodurch der Angriff schwerer zu erkennen ist als klassisches Phishing.

Sicherheitsempfehlungen raten inzwischen dazu, Abhängigkeiten sorgfältig zu prüfen und unbekannte Projekte in isolierten Umgebungen auszuführen.

Fazit

Gefälschte Recruiter-Malware macht den Bewerbungsprozess zu einer Infektionsmethode. Durch das Einbetten schädlicher Komponenten in glaubwürdige Programmieraufgaben nutzen Angreifer berufliche Gewohnheiten statt Unachtsamkeit aus. Die Kampagne zeigt, dass selbst erfahrene Entwickler externe Projekte vor der Ausführung prüfen und Interviewaufgaben als potenzielle Sicherheitsrisiken behandeln müssen.