Eine laufende Kampagne auf LinkedIn nutzt fingierte Jobangebote für Software-Entwickler, um Schadsoftware zu verbreiten. Die Bitdefender Labs identifizieren Verbindungen zur nordkoreanischen Lazarus-Gruppe (APT 38). Die vermeintlichen Bewerbungsverfahren dienen als Tarnung für die Verbreitung eines Infostealers, der auf Kryptowallets abzielt.

Foto: Bitdefender Abbildung 1: Initiale Kontaktaufnahme mit vielversprechendem, aber unklarem Jobangebot. Foto: Bitdefender Abbildung 2: Im Rahmen des vermeintlichen Aufnahmeverfahrens muss der Kandidat auch seine Meinung zur Produktdemonstration äußern. Foto: Bitdefender Abbildung 3: Der scheinbar unverdächtige Code der Hacker verbirgt ein Skript, um bösartigen Code von einem fremden Endpunkt dynamisch herunterzuladen. LinkedIn wird zunehmend von Cyberkriminellen genutzt, um gezielt Opfer zu täuschen. Aktuell haben die Bitdefender Labs eine Kampagne identifiziert, die sich an Software-Entwickler richtet. Die Angreifer bieten angebliche Stellen in der Entwicklung von Krypto-Plattformen an, um Bewerber dazu zu bringen, manipulierte Dateien auszuführen. Dabei wird ein Schadprogramm installiert, das sensible Daten ausliest und die Kontrolle über das System des Opfers ermöglicht.

Tarnung als Jobangebot – Verbreitung von Malware

Die Hacker kontaktieren Entwickler über LinkedIn und locken mit lukrativen Stellenangeboten in der Krypto- oder Finanzbranche. Im Verlauf des Bewerbungsprozesses verlangen sie persönliche Informationen wie Lebenslauf oder Github-Profile, um die Seriosität zu suggerieren. In der nächsten Phase senden die Angreifer ein vermeintliches „Minimum Viable Product“ (MVP), das Opfer zur Analyse ausführen sollen. Tatsächlich handelt es sich dabei um einen Infostealer, der gezielt nach Zugangsdaten zu Kryptowallets sucht und gleichzeitig weitere Schadsoftware auf das System bringt.

Die Malware analysiert installierte Browser-Erweiterungen, exfiltriert relevante Dateien und ermöglicht den Angreifern, über verschiedene Kanäle – darunter Tor und HTTP – mit dem infizierten System zu kommunizieren. Darüber hinaus werden Keylogger und Skripte aktiviert, die weitere Systemdaten auslesen und an die Hacker übermitteln.

Hintergrund und Schutzmaßnahmen

Bitdefender ordnet diese Kampagne der nordkoreanischen Lazarus-Gruppe (APT 38) zu, die für ihre gezielten Angriffe auf den Finanzsektor bekannt ist. Entwickler werden eindringlich gewarnt, auf derartige Jobangebote zu reagieren.

Folgende Maßnahmen können helfen, sich zu schützen:

• Unklare Jobangebote sollten kritisch hinterfragt werden, insbesondere wenn sie außerhalb offizieller Kanäle geführt werden.

• Unbekannte Repositories mit geringer Dokumentation sind verdächtig.

• Auffällige Schreibfehler oder mangelnde Kommunikation über offizielle Unternehmenskanäle sind Warnsignale.

• Unbekannter Code sollte ausschließlich in isolierten Testumgebungen (z. B. virtuelle Maschinen oder Sandboxen) geprüft werden, niemals auf Unternehmenssystemen.

Bitdefender empfiehlt Entwicklern, bei verdächtigen Anfragen Vorsicht walten zu lassen und im Zweifelsfall IT-Sicherheitsexperten zu konsultieren.