ESET meldet, dass die als „DeceptiveDevelopment“ bezeichnete Gruppe Entwickler der Krypto- und Web3-Branche in Europa systematisch über gefälschte Stellengespräche kompromittiert. Als Einfallstor dient eine weiterentwickelte Form des ClickFix-Tricks; Ziel sind Krypto-Vermögen, Wallet-Schlüssel und Entwicklerzugänge.
Nach Angaben des IT-Sicherheitsunternehmens geben sich die Angreifer als Personalvermittler aus, versenden scheinbar seriöse Aufgaben und fordern Bewerber zuletzt zur Aufnahme einer Videoantwort auf. Eine gefälschte Interview-Website simuliert dabei einen Kamerafehler und liefert eine Anleitung, die zum Ausführen eines Terminalbefehls auffordert — dieser Befehl lädt nach ESET-Darstellung Schadsoftware nach, die sich zusammen mit verstecktem Code in den Aufgaben aktiviert.
ESET beschreibt die Vorgehensweise als technisch versiert und prozessual durchdacht: Die Täter sprechen potenzielle Opfer über Plattformen wie LinkedIn, Upwork, Freelancer und Crypto Jobs List an und liefern Aufgaben aus privaten Repositories auf GitHub, GitLab oder Bitbucket, die trojanisierten Code enthalten. Für die Finalisierung des Interviews nutzen die Angreifer eine angepasste Variante der ClickFix-Methode: eine gefälschte Fehlermeldung auf der Interviewseite enthält eine kurze Anweisung, deren Kopieren in die Konsole zur Nachladung von Malware führt. Die eingesetzten Schadprogramme laufen plattformübergreifend auf Windows, Linux und macOS.
ESET stuft DeceptiveDevelopment als eigenständige Gruppe mit klarem Werkzeugkasten ein und verweist auf OSINT-Analysen, die Verbindungen zu nordkoreanischen IT-Arbeitskräften in betrügerischen Beschäftigungsmodellen nahelegen. Dokumentiert sind demnach gefälschte Identitäten, manipulierte Profilfotos sowie Gesichtswechsel in Videointerviews; zudem zeige sich eine Verlagerung der Zielauswahl nach Europa. ESET hebt hervor, dass die Angreifer weniger auf spektakuläre Exploits als auf Glaubwürdigkeit, gute Profile und schnelle Abläufe setzen.
Als typische Komponenten nennt ESET Infostealer- und Downloader-Familien wie BeaverTail, OtterCookie und WeaselStore, den modularen Remote-Zugriff InvisibleFerret sowie Toolketten wie TsunamiKit; in der Backdoor-Linie zeige Tropidoor Codeüberschneidungen mit PostNapTea aus dem Lazarus-Umfeld. Primäres Ziel sei der Diebstahl finanzieller Werte und Zugangsdaten, etwa Wallet-Schlüssel, Entwicklerkonten und Cloud-Tokens.
Als Schutzmaßnahmen empfiehlt ESET, Identitäten, Profile und Referenzen sorgfältig zu prüfen, Testaufgaben nur in abgesicherten Umgebungen zu öffnen, keine Terminal- oder PowerShell-Befehle aus dem Web blind zu übernehmen und Produktiv-Tokens für Testaufgaben strikt zu trennen. Zusätzlich sollten Unternehmen Erkennungs- und Reaktionsmechanismen (EDR/XDR, zentrale Protokollauswertung, Playbooks) einsetzen sowie Recruiting-Prozesse durch Echtheitsprüfungen bei Videointerviews und Vier-Augen-Freigaben absichern. Bei Verdacht solle der Prozess gestoppt und gemeldet werden.
Weiterführende technische Details finden Sie im Blog von ESET.
