В сообществе блокчейн-разработчиков зафиксирована новая волна высокотехнологичного фишинга. Жертвой злоумышленников едва не стал веб-разработчик из Сербии Борис Вуйчич, столкнувшийся с детально проработанной легендой о найме в компанию Genusix Labs. Несмотря на опыт работы в сфере кибербезопасности, специалист попался на уловку из-за беспрецедентного уровня подготовки мошенников, имитировавших реальный процесс трудоустройства.
Многоступенчатая социальная инженерия
Схема началась со стандартного сообщения в LinkedIn. Злоумышленники создали убедительный цифровой след: у компании был профессиональный сайт с фотографиями руководства и активный профиль в социальной сети. В отличие от типичных спам-рассылок, этот случай включал полноценные этапы собеседования с использованием видеосвязи.
- Первый этап: видеозвонок в Zoom с HR-менеджером. По словам Вуйчича, внешность и речь собеседника были естественными и не напоминали низкокачественный дипфейк (технологию подмены лица).
- Второй этап: техническое интервью с двумя инженерами. Стороны обсуждали профессиональные темы и даже шутили о безопасности и хакерских атаках на криптокомпании, что окончательно усыпило бдительность кандидата.
Вредоносный код под видом тестового задания
В финале технического интервью разработчику предложили пройти тест на написание кода в реальном времени. Когда Вуйчич выразил опасения по поводу безопасности запуска стороннего репозитория, «инженеры» спокойно предложили ему самостоятельно проверить код на наличие бэкдоров — скрытых лазеек для несанкционированного доступа. Такая уверенность убедила специалиста запустить проект локально.
Сразу после запуска в системе macOS появилось уведомление о попытке запуска фонового процесса patch.sh. Программист немедленно отключил Wi-Fi и приступил к анализу скрипта, который был обнаружен во временной папке под видом драйвера камеры. В обзоре отмечается, что вредоносное ПО было крайне сложным: скрипт определял архитектуру процессора и загружал соответствующий вирус, написанный на языке Go.
Последствия атаки и связь с КНДР
Несмотря на то что соединение было разорвано, вредоносный код успел проработать 56 секунд. За этот короткий промежуток времени злоумышленники смогли похитить значительный объем данных:
- 634 сохраненных пароля из браузера Chrome, включая доступы к банковским аккаунтам и электронной почте;
- данные из связки ключей macOS (Keychain);
- информацию криптокошелька MetaMask.
Вуйчич успел сменить все пароли и заявил, что средства с его счетов не пропали. Расследование, проведенное специалистами фирмы zeroShadow, показало, что за атакой стоят хакерские группировки, связанные с правительством КНДР. Ранее этот же код использовался при взломе платформы Step Finance, который привел к краже криптовалюты на сумму около 40 миллионов долларов.
Будущее киберугроз при трудоустройстве
В обзоре инцидента подчеркивается пугающая эволюция методов социальной инженерии. Мошенники готовы тратить время на многочасовые видеопереговоры, чтобы войти в доверие к экспертам. По мнению специалистов по безопасности, следующим этапом развития подобных схем может стать имитация полноценного онбординга (процесса адаптации сотрудника).
Предполагается, что хакеры могут «принимать на работу» удаленных сотрудников, добавлять их в фейковые каналы Slack или Discord и внедрять вирусы через рабочую документацию или задачи уже после того, как у разработчика не останется никаких сомнений в легитимности работодателя.
28.04.2026