Malware nei falsi test di programmazione per lavori crypto
Come funziona il malware nei falsi test di programmazione per lavori crypto, i segnali d’allarme nei messaggi dei recruiter e nei repository da svolgere a casa, i modi sicuri per eseguire i test e cosa fare in caso di infezione.
I falsi test di programmazione per lavori crypto sono un attacco malware in cui un falso recruiter o una falsa azienda invia a un candidato un progetto da svolgere a casa o un compito tecnico che contiene codice dannoso nascosto; quando il candidato lo installa o lo esegue, il codice ruba wallet, password e credenziali oppure installa una backdoor. Il lavoro, l’azienda e spesso anche chi conduce il colloquio sono inventati: il test di programmazione è il meccanismo di consegna.
Gli sviluppatori sono bersagli appetibili perché sulle loro macchine si trovano spesso wallet crypto, chiavi private, credenziali cloud e accessi ai sistemi del datore di lavoro. I ricercatori di sicurezza hanno collegato pubblicamente alcune di queste campagne a gruppi ben finanziati e legati a Stati, quindi le esche possono sembrare molto professionali. Questa guida spiega come funziona l’attacco, come si presenta una versione realistica e come proteggerti.
Come funziona l’attacco, passo dopo passo
- 1Primo contatto. Un recruiter ti contatta su un social network professionale, un’app di messaggistica o un sito di annunci con una posizione allettante in una startup crypto: spesso da remoto, ben pagata e urgente.
- 2Costruzione della credibilità. Ricevi una descrizione del ruolo curata, un sito aziendale e talvolta una breve chiamata con un cordiale «hiring manager». I profili possono essere rubati o generati con l’IA.
- 3Il test. Ricevi un link a un repository di codice o un file ZIP e ti viene chiesto di correggere un bug, aggiungere una funzionalità o «semplicemente eseguirlo e valutare l’architettura».
- 4L’esecuzione. La parte dannosa viene eseguita quando installi le dipendenze o avvii l’app. Può essere uno script post-install, un pacchetto manomesso o una riga in un file di configurazione che scarica ed esegue un secondo payload.
- 5Il furto. Il malware cerca le estensioni wallet del browser, i file dei wallet, le password salvate, i cookie, le chiavi SSH e i file di ambiente, li invia all’aggressore e può installare uno strumento di accesso remoto.
- 6L’incasso. I fondi vengono prosciugati dai tuoi wallet, a volte giorni dopo, e le credenziali di lavoro rubate possono essere usate per attaccare il tuo attuale datore di lavoro.
Una variante salta il repository: chi conduce il colloquio sostiene che il software per le riunioni non funziona e invia un link a un’app per videochiamate o a un driver «corretto», che è il malware. Il nostro articolo Falsi aggiornamenti del browser e malware captcha che prendono di mira gli utenti crypto approfondisce questo punto.
Un esempio composito
Quello che segue è uno scenario ipotetico che combina schemi comuni, non un caso reale.
Immagina che uno sviluppatore backend, Sam, venga contattato da un recruiter per un ruolo di «senior blockchain engineer» in una nuova startup DeFi. Dopo una piacevole chiacchierata, Sam riceve un repository privato per una «dashboard di staking» e gli viene chiesto di correggere un test che fallisce entro 24 ore. Sam lo clona sul portatile che usa ogni giorno ed esegue il comando di installazione. Il file del pacchetto contiene uno script post-install che sembra un passaggio di build ma scarica un payload nascosto. I test passano, Sam invia la sua correzione e il recruiter sparisce. Una settimana dopo, il wallet del browser di Sam viene svuotato e il suo account cloud di lavoro mostra accessi dall’estero.
Nulla in questa storia ha richiesto che Sam «cliccasse su un link pericoloso». È bastato eseguire il codice. Per approfondire, leggi Truffatori che si spacciano per autorità di vigilanza e polizia nel mondo crypto.
Checklist dei segnali d’allarme
| Segnale d’allarme | Perché è importante |
|---|---|
| Offerta non richiesta con stipendio insolitamente alto e urgenza | La pressione riduce i controlli accurati |
| Recruiter o azienda con una presenza online scarsa, recente o incoerente | Le identità false costano poco da creare |
| Il test va eseguito in locale, in fretta, con «npm install» o simili come primo passo | L’obiettivo è l’esecuzione, non la tua revisione del codice |
| Il repository ha pochi commit, un solo contributore o file offuscati | Il codice dannoso è spesso nascosto in righe minificate o codificate |
| Script di install, pre-start o post-install insoliti | Vengono eseguiti automaticamente |
| Richiesta di installare software speciali per riunioni, valutazioni o driver | Un metodo classico di distribuzione del malware |
| Chi conduce il colloquio evita il video, o il dominio email dell’«azienda» è di un provider gratuito | Le aziende vere di solito usano il proprio dominio |
La nostra guida su falsi lavori crypto e truffe dei task tratta altre frodi legate al lavoro, e truffe crypto su LinkedIn spiega come funziona l’impersonificazione dei recruiter sui social network professionali. Vedi anche: Truffe crypto con false raccolte benefiche e donazioni per disastri.
Come proteggerti
Prima di eseguire qualsiasi cosa
- Verifica l’azienda in modo indipendente. Trova da solo il sito ufficiale dell’azienda, controlla che la posizione sia pubblicata lì e contattala tramite un canale ufficiale. Vedi come verificare che un sito sia quello ufficiale del progetto.
- Leggi prima di eseguire. Apri i file del pacchetto o di build e cerca script di installazione, dipendenze sconosciute e lunghe stringhe codificate.
- Disattiva gli script automatici dove il tuo package manager lo consente, così le dipendenze non possono eseguire codice durante l’installazione a tua insaputa.
Isola l’ambiente
- Usa una macchina virtuale usa e getta, un container o un ambiente di sviluppo cloud.
- Assicurati che non contenga wallet, seed phrase, password manager, chiavi SSH, credenziali cloud o sessioni del browser con accesso effettuato.
- Eliminalo al termine del test.
Separa il lavoro dal denaro
Conserva le crypto su un hardware wallet ed evita di salvare seed phrase o chiavi private su qualsiasi computer che usi per sviluppare. Un dispositivo dedicato alle crypto, separato da quello che usi per sperimentare, limita drasticamente ciò che una singola infezione può raggiungere. La nostra guida sugli attacchi alla supply chain spiega perché le dipendenze dannose sono pericolose anche nei progetti legittimi.
Cosa fare se hai eseguito un test sospetto
- 1Scollega il dispositivo da internet e smetti di usarlo per qualsiasi attività sensibile.
- 2Da un dispositivo pulito, sposta i fondi in nuovi wallet con seed phrase completamente nuove. Non riutilizzare nessuna seed phrase che sia mai stata digitata o salvata sulla macchina infetta.
- 3Cambia le password e revoca le sessioni di email, exchange, hosting del codice e account cloud, iniziando dall’email. Rigenera le chiavi API e le chiavi SSH.
- 4Avvisa il team di sicurezza del tuo datore di lavoro se sul dispositivo c’erano credenziali o codice di lavoro.
- 5Cancella e reinstalla il sistema operativo prima di riutilizzare il computer.
- 6Segnalalo. Segnala il falso profilo del recruiter alla piattaforma e l’incidente alle autorità locali. Puoi anche segnalare progetti o domini truffaldini tramite la nostra pagina per inviare una richiesta.
La nostra checklist cosa fare subito se il tuo wallet è compromesso descrive più nel dettaglio i passaggi di recupero.
Conclusione
Un falso test di programmazione per un lavoro crypto trasforma le tue stesse mani nel sistema di consegna dell’aggressore: nel momento in cui installi o esegui il progetto, un codice nascosto può rubare tutto ciò che si trova sulla tua macchina. Tratta ogni compito non richiesto come codice non affidabile, verifica il datore di lavoro in modo indipendente, esegui i test solo in un ambiente pulito e usa e getta, e conserva le chiavi crypto su un dispositivo separato e dedicato.
Domande frequenti
Come può un test di programmazione installare un malware?
Un progetto da svolgere a casa è codice vero che gira sul tuo computer. Gli aggressori nascondono codice dannoso in una dipendenza, uno script di installazione, un file di configurazione o una riga offuscata del progetto. Quando installi le dipendenze o avvii l’app, quel codice viene eseguito con i tuoi permessi utente e può rubare dati dei wallet, password e cookie di sessione oppure installare una backdoor.
Chi viene preso di mira dai falsi colloqui di lavoro crypto?
Soprattutto gli sviluppatori software, in particolare quelli con esperienza in crypto o Web3, perché i loro computer contengono spesso wallet, chiavi private, chiavi API e accessi ai sistemi aziendali. Anche designer, community manager e altre persone in cerca di lavoro vengono colpiti con false app per riunioni o documenti.
È sicuro eseguire un test di programmazione in una macchina virtuale?
È molto più sicuro che eseguirlo sul computer principale, a patto che la macchina virtuale o l’ambiente cloud non contenga wallet, password salvate, chiavi SSH o accessi aziendali, e che tu la elimini subito dopo. Questo non rende legittima l’offerta di lavoro; limita solo i danni se il codice è dannoso.
Cosa devo fare se ho eseguito un test di programmazione sospetto?
Scollega il dispositivo e, da un altro dispositivo pulito, sposta i fondi in nuovi wallet con nuove seed phrase, cambia le password, revoca sessioni e chiavi API e avvisa il tuo datore di lavoro se gli account di lavoro sono stati esposti. Poi cancella e reinstalla il computer infetto prima di riutilizzarlo.