Sledeći kandidat za vozača u vašem inboxu može biti haker

Da li je ovo stvaran, dokumentovan napad ili samo teoretski rizik?

Evo šta se zapravo dešava: bezbednosni istraživači dokumentovali su više aktivnih kampanja u kojima se napadači predstavljaju kao kandidati za posao i šalju malver maskiran kao CV, propratno pismo ili link ka portfoliju direktno ljudima koji pregledaju prijave. Ovo nije hipotetičko proširenje treninga o phishingu. To je imenovan i praćen obrazac sa stvarnim žrtvama, a ceo mehanizam zavisi upravo od ponašanja na kojem je izgrađen svaki recruiting inbox: otvaranja priloga od nepoznatih ljudi zato što je to deo posla.

Kako zapravo funkcioniše napad lažnog kandidata?

Bezbednosna firma DomainTools identifikovala je kampanju finansijski motivisane grupe FIN6, poznate i kao Skeleton Spider. Napadači su pravili uverljive profile kandidata na platformama poput LinkedIna i Indeeda, vodili profesionalnu prepisku sa recruiterima kako bi izgradili poverenje, a zatim slali linkove ka CV-ju koji nisu mogli da se kliknu, već su morali ručno da se ukucaju u browser. Ova tehnika je napravljena da zaobiđe email zaštitu koja skenira ugrađene linkove. Stranice su bile smeštene na legitimnoj cloud infrastrukturi i isporučivale su malver recruiterima koji nastave proces.

Druga kampanja, praćena kao TA4557 ili Venom Spider, koristi sličan pristup sa malverom More_eggs. Kada se instalira, može da ukrade podatke za pristup emailu, banci i administratorskim nalozima. Trend Micro je dokumentovao stvaran slučaj u kojem je osoba zadužena za zapošljavanje preuzela fajl John Cboins.zip verujući da je CV kandidata i pokrenula backdoor infekciju. Aryaka je kasnije dokumentovala zlonamerne CV-jeve poslate HR odeljenjima kao ISO priloge koji su nakon otvaranja pokretali skrivene PowerShell komande.

Ovo nije ni mali, rubni problem. Amazon je javno saopštio da je tokom 17 meseci blokirao više od 1.800 prijava za posao za koje je sumnjao da dolaze od aktera povezanih sa Severnom Korejom. To pokazuje razmere i pre nego što se uračunaju finansijski motivisane kriminalne grupe koje vode slične kampanje.

Zašto je recruiting inbox za vozače posebno dobra meta?

Regrutovanje vozača zavisi od otvorenosti prema nepoznatim ljudima, velikog broja prijava i brzog odgovora. Recruiter koji obrađuje CDL prijave treba da otvara CV-jeve, skenove dozvola i dokumenta ljudi koje nikada nije upoznao. To često radi pod pritiskom da brzo popuni prazna sedišta, jer svaki kamion bez vozača znači izgubljen prihod. Upravo takvo radno okruženje ove kampanje koriste: pregledanje dokumenata nepoznatih pošiljalaca ovde nije neobično ponašanje. To je posao.

Bezbednosni istraživači ovu profesionalnu obavezu opisuju kao ulaznu tačku. Kada napadač prođe kroz recruiting, njegova aktivnost može delovati legitimnije od spoljnog napada jer počinje unutar normalnog razgovora o zapošljavanju.

Kako izgleda zlonamerna prijava?

• ★Profesionalno napisana poruka bez očiglednih upozorenja. Moderne lažne prijave često koriste sređen tekst bez grešaka.
• ★Link ka CV-ju koji mora ručno da se kopira i otvori. Tako može da zaobiđe automatsku proveru klikabilnih linkova.
• ★ZIP ili ISO fajl umesto normalnog PDF ili Word dokumenta. Arhiva može da sakrije prečicu ili izvršni fajl.
• ★Prava prepiska pre nego što fajl stigne. Neki napadači grade poverenje kroz više poruka.
• ★Fajl smešten na poznatoj cloud platformi. Legitimna infrastruktura može da učini opasno preuzimanje rutinskim.

Šta prevoznici mogu da urade?

Zaštita recruiting inboxa ne zahteva odbijanje pravih kandidata niti usporavanje zapošljavanja:

• ★Otvarajte priloge prijava u izolovanom okruženju gde god je moguće, ne na primarnom računaru recruitera.
• ★Budite oprezni sa linkovima ka CV-ju koji moraju ručno da se ukucaju ili kopiraju. To je dokumentovana tehnika izbegavanja zaštite.
• ★Tretirajte ZIP i ISO priloge nepoznatih kandidata kao visok rizik. Prava prijava za vozača retko zahteva te formate.
• ★Držite endpoint zaštitu aktivnom na svakom računaru koji obrađuje recruiting emailove i dokumenta kandidata.
• ★Obučite recruiting tim o kampanjama lažnih kandidata, ne samo o generičkim phishing porukama.