Malware en falsas pruebas de programación para empleos cripto
Cómo funciona el malware en falsas pruebas de programación para empleos cripto, las señales de alarma en mensajes de reclutadores y repos de prueba, formas seguras de ejecutar tests y qué hacer si te infectas.
Las falsas pruebas de programación para empleos cripto son un ataque de malware en el que un falso reclutador o una empresa falsa envía a un candidato un proyecto para hacer en casa o una tarea técnica que contiene código malicioso oculto; cuando el candidato lo instala o lo ejecuta, el código roba wallets, contraseñas y credenciales o instala una puerta trasera. El empleo, la empresa y a menudo el entrevistador son inventados: la prueba de programación es el mecanismo de entrega.
Los desarrolladores son objetivos atractivos porque sus equipos suelen contener wallets de cripto, claves privadas, credenciales de la nube y acceso a los sistemas de su empresa. Investigadores de seguridad han vinculado públicamente algunas de estas campañas a grupos con muchos recursos y vinculados a Estados, por lo que los señuelos pueden parecer muy profesionales. Esta guía explica cómo funciona el ataque, cómo es una versión realista y cómo protegerte.
Cómo funciona el ataque, paso a paso
- 1Primer contacto. Un reclutador se pone en contacto contigo en una red profesional, una app de mensajería o un portal de empleo con un puesto atractivo en una startup cripto: a menudo en remoto, bien pagado y urgente.
- 2Construcción de credibilidad. Recibes una descripción del puesto pulida, una web de la empresa y, a veces, una breve llamada con un amable «responsable de contratación». Los perfiles pueden ser robados o generados con IA.
- 3La prueba. Recibes un enlace a un repositorio de código o un archivo ZIP y te piden arreglar un bug, añadir una funcionalidad o «simplemente ejecutarlo y revisar la arquitectura».
- 4La ejecución. La parte maliciosa se ejecuta al instalar las dependencias o arrancar la app. Puede ser un script post-install, un paquete manipulado o una línea en un archivo de configuración que descarga y ejecuta una segunda carga maliciosa.
- 5El robo. El malware busca extensiones de wallet en el navegador, archivos de wallets, contraseñas guardadas, cookies, claves SSH y archivos de entorno, los envía al atacante y puede instalar una herramienta de acceso remoto.
- 6El cobro. Los fondos se vacían de tus wallets, a veces días después, y las credenciales de trabajo robadas pueden usarse para atacar a tu empresa actual.
Una variante se salta el repositorio: el entrevistador afirma que su software de reuniones no funciona y envía un enlace a una app de videollamadas o un controlador «arreglado», que es el malware. Nuestro artículo Falsas actualizaciones del navegador y malware de captcha dirigidos a usuarios de cripto amplía este punto.
Un ejemplo compuesto
Lo siguiente es un escenario hipotético que combina patrones habituales, no un caso real.
Imagina que un desarrollador backend, Sam, recibe el contacto de un reclutador para un puesto de «ingeniero blockchain sénior» en una nueva startup DeFi. Tras una charla agradable, Sam recibe un repositorio privado de un «panel de staking» y le piden arreglar un test que falla en menos de 24 horas. Sam lo clona en su portátil de uso diario y ejecuta el comando de instalación. El archivo del paquete contiene un script post-install que parece un paso de compilación pero descarga una carga oculta. Los tests pasan sin problema, Sam envía su arreglo y el reclutador deja de responder. Una semana después, la wallet de navegador de Sam está vacía y su cuenta de la nube del trabajo muestra inicios de sesión desde el extranjero.
Nada en esa historia requería que Sam «hiciera clic en un enlace malicioso». Bastó con ejecutar el código. Para profundizar, consulta Estafadores que se hacen pasar por reguladores y policía en cripto.
Lista de señales de alarma
| Señal de alarma | Por qué importa |
|---|---|
| Oferta no solicitada con un sueldo inusualmente alto y urgencia | La presión reduce la verificación cuidadosa |
| El reclutador o la empresa tiene una presencia online escasa, nueva o incoherente | Crear identidades falsas es barato |
| La prueba debe ejecutarse en local, rápido y con «npm install» o similar primero | El objetivo es la ejecución, no tu revisión del código |
| El repositorio tiene pocos commits, un único colaborador o archivos ofuscados | El código malicioso suele ocultarse en líneas minificadas o codificadas |
| Scripts de install, pre-start o post-install inusuales | Se ejecutan automáticamente |
| Petición de instalar software especial de reuniones, evaluación o controladores | Un método clásico de distribución de malware |
| El entrevistador evita el vídeo o el dominio de correo de la «empresa» es de un proveedor gratuito | Las empresas reales suelen usar su propio dominio |
Nuestra guía sobre falsos empleos cripto y estafas de tareas cubre otros fraudes relacionados con el empleo, y estafas cripto en LinkedIn explica cómo funciona la suplantación de reclutadores en redes profesionales. Ver también: Estafas cripto con falsas organizaciones benéficas y donaciones para catástrofes.
Cómo protegerte
Antes de ejecutar nada
- Verifica la empresa por tu cuenta. Busca tú mismo el sitio oficial de la empresa, comprueba que el puesto aparece allí y contacta con ellos por un canal publicado. Consulta cómo verificar que un sitio web es el sitio oficial de un proyecto.
- Lee antes de ejecutar. Abre los archivos del paquete o de compilación y busca scripts de instalación, dependencias desconocidas y cadenas codificadas largas.
- Desactiva los scripts automáticos cuando tu gestor de paquetes lo permita, para que las dependencias no puedan ejecutar código al instalarse sin que lo sepas.
Aísla el entorno
- Usa una máquina virtual desechable, un contenedor o un entorno de desarrollo en la nube.
- Asegúrate de que no tenga wallets, frases semilla, gestor de contraseñas, claves SSH, credenciales de la nube ni sesiones de navegador iniciadas.
- Elimínalo cuando termines la prueba.
Separa el trabajo del dinero
Guarda tus cripto en una hardware wallet y evita almacenar frases semilla o claves privadas en cualquier ordenador que uses para desarrollar. Un dispositivo dedicado a cripto, separado del que usas para experimentar, limita drásticamente lo que puede alcanzar una sola infección. Nuestra guía sobre ataques a la cadena de suministro explica por qué las dependencias maliciosas son peligrosas incluso en proyectos legítimos.
Qué hacer si ejecutaste una prueba sospechosa
- 1Desconecta el dispositivo de internet y deja de usarlo para cualquier cosa sensible.
- 2Desde un dispositivo limpio, mueve los fondos a wallets nuevas con frases semilla totalmente nuevas. No reutilices ninguna frase semilla que se haya escrito o guardado alguna vez en el equipo infectado.
- 3Cambia contraseñas y cierra sesiones del correo, los exchanges, el alojamiento de código y las cuentas en la nube, empezando por el correo. Renueva las claves de API y las claves SSH.
- 4Avisa al equipo de seguridad de tu empresa si en el dispositivo había credenciales o código del trabajo.
- 5Borra y reinstala el sistema operativo antes de volver a usar el ordenador.
- 6Denúncialo. Denuncia el perfil del falso reclutador ante la plataforma y el incidente ante las autoridades locales. También puedes reportar proyectos o dominios fraudulentos a través de nuestra página para enviar una solicitud.
Nuestra lista qué hacer de inmediato si tu wallet está comprometida detalla los pasos de recuperación.
Conclusión
Una falsa prueba de programación para un empleo cripto convierte tus propias manos en el sistema de entrega del atacante: en cuanto instalas o ejecutas el proyecto, un código oculto puede robar todo lo que hay en tu equipo. Trata cada tarea no solicitada como código no fiable, verifica al empleador por tu cuenta, ejecuta las pruebas solo en un entorno limpio y desechable, y guarda tus claves cripto en un dispositivo separado y dedicado.
Preguntas frecuentes
¿Cómo puede una prueba de programación instalar malware?
Un proyecto para hacer en casa es código real que se ejecuta en tu ordenador. Los atacantes esconden código malicioso en una dependencia, un script de instalación, un archivo de configuración o una línea ofuscada del proyecto. Cuando instalas las dependencias o arrancas la app, ese código se ejecuta con tus permisos de usuario y puede robar datos de wallets, contraseñas y cookies de sesión o instalar una puerta trasera.
¿A quién se dirigen las falsas entrevistas de trabajo cripto?
Sobre todo a desarrolladores de software, en especial a los que tienen experiencia en cripto o Web3, porque sus ordenadores suelen contener wallets, claves privadas, claves de API y acceso a sistemas de la empresa. También se ataca a diseñadores, community managers y otras personas que buscan empleo con falsas apps de reuniones o documentos.
¿Es seguro ejecutar una prueba de programación en una máquina virtual?
Es mucho más seguro que ejecutarla en tu ordenador principal, siempre que la máquina virtual o el espacio en la nube no tenga wallets, contraseñas guardadas, claves SSH ni acceso a la empresa, y la elimines después. Eso no convierte la oferta en legítima; solo limita el daño si el código es malicioso.
¿Qué hago si ejecuté una prueba de programación sospechosa?
Desconecta el dispositivo y, desde otro dispositivo limpio, mueve los fondos a wallets nuevas con frases semilla nuevas, cambia las contraseñas, revoca sesiones y claves de API y avisa a tu empresa si se expusieron cuentas de trabajo. Después, borra y reinstala el ordenador infectado antes de volver a usarlo.