Malware in nep-programmeertests voor cryptobanen

Nep-programmeertests voor cryptobanen zijn een malware-aanval waarbij een nep-recruiter of nepbedrijf een sollicitant een thuisopdracht of technische taak stuurt met verborgen schadelijke code; zodra de sollicitant die installeert of uitvoert, steelt de code wallets, wachtwoorden en inloggegevens of installeert ze een achterdeur. De baan, het bedrijf en vaak ook de interviewer zijn verzonnen – de programmeertest is het afleveringsmechanisme.

Ontwikkelaars zijn aantrekkelijke doelwitten omdat op hun computers vaak cryptowallets, privésleutels, cloudinloggegevens en toegang tot de systemen van hun werkgever staan. Beveiligingsonderzoekers hebben sommige van deze campagnes publiekelijk in verband gebracht met goed uitgeruste, aan staten gelieerde groepen, waardoor het lokaas zeer professioneel kan ogen. Deze gids legt uit hoe de aanval werkt, hoe een realistische versie eruitziet en hoe je jezelf beschermt.

Zo werkt de aanval, stap voor stap

1. 1Eerste contact. Een recruiter benadert je via een professioneel netwerk, berichtenapp of vacaturesite met een aantrekkelijke functie bij een cryptostartup – vaak remote, goedbetaald en dringend.
2. 2Geloofwaardigheid opbouwen. Je krijgt een verzorgde functieomschrijving, een bedrijfswebsite en soms een kort gesprek met een vriendelijke ‘hiring manager’. Profielen kunnen gestolen of door AI gegenereerd zijn.
3. 3De test. Je krijgt een link naar een coderepository of een ZIP-bestand en wordt gevraagd een bug te fixen, een functie toe te voegen of ‘het gewoon te draaien en de architectuur te beoordelen’.
4. 4De uitvoering. Het schadelijke deel draait wanneer je dependencies installeert of de app start. Dat kan een post-install-script zijn, een gemanipuleerd pakket of een regel in een configuratiebestand die een tweede payload downloadt en uitvoert.
5. 5De diefstal. De malware zoekt naar walletextensies in de browser, walletbestanden, opgeslagen wachtwoorden, cookies, SSH-sleutels en omgevingsbestanden, stuurt die naar de aanvaller en kan een tool voor externe toegang installeren.
6. 6De uitbetaling. Je wallets worden leeggehaald, soms pas dagen later, en gestolen werkinloggegevens kunnen worden gebruikt om je huidige werkgever aan te vallen.

Een variant slaat de repository over: de interviewer beweert dat zijn vergadersoftware niet werkt en stuurt een link naar een ‘gerepareerde’ videobelapp of driver – en dat is de malware. Ons artikel Nep-browserupdates en captcha-malware gericht op cryptogebruikers gaat hier dieper op in.

Een samengesteld voorbeeld

Het volgende is een hypothetisch scenario dat veelvoorkomende patronen combineert, geen echte zaak.

Stel je voor dat een backendontwikkelaar, Sam, door een recruiter wordt benaderd voor een functie als ‘senior blockchain engineer’ bij een nieuwe DeFi-startup. Na een prettig gesprek krijgt Sam een privérepository voor een ‘staking-dashboard’ en moet hij binnen 24 uur een falende test repareren. Sam cloont het op zijn dagelijkse laptop en voert het installatiecommando uit. Het pakketbestand bevat een post-install-script dat eruitziet als een buildstap, maar een verborgen payload ophaalt. De tests slagen, Sam levert zijn fix in en de recruiter laat niets meer van zich horen. Een week later is Sams browserwallet leeggehaald en toont zijn cloudaccount op het werk inlogpogingen uit het buitenland.

Niets in dit verhaal vereiste dat Sam ‘op een foute link klikte’. Het uitvoeren van de code was genoeg. Voor meer verdieping, zie Oplichters die zich in crypto voordoen als toezichthouders en politie.

Checklist met waarschuwingssignalen

Onze gids over nep-cryptobanen en taakfraude behandelt andere baangerelateerde fraude, en cryptofraude op LinkedIn legt uit hoe recruiterimitatie op professionele netwerken werkt. Zie ook: Nep-goede doelen en rampendonaties in crypto.

Zo bescherm je jezelf

Voordat je iets uitvoert

• Controleer het bedrijf zelfstandig. Zoek zelf de officiële website van het bedrijf op, controleer of de functie daar vermeld staat en neem contact op via een openbaar kanaal. Zie hoe je controleert of een website de officiële projectsite is.
• Lees voordat je uitvoert. Open de pakket- of buildbestanden en zoek naar installatiescripts, onbekende dependencies en lange gecodeerde strings.
• Schakel automatische scripts uit waar je pakketbeheerder dat toestaat, zodat dependencies bij installatie geen code kunnen uitvoeren zonder dat je het weet.

Isoleer de omgeving

• Gebruik een wegwerp-virtuele machine, een container of een cloudontwikkelomgeving.
• Zorg dat er geen wallets, seedphrases, wachtwoordmanager, SSH-sleutels, cloudinloggegevens of ingelogde browsersessies in staan.
• Verwijder de omgeving zodra de test klaar is.

Houd werk en geld gescheiden

Bewaar crypto op een hardware wallet en sla geen seedphrases of privésleutels op een computer op die je gebruikt voor ontwikkelwerk. Een apart apparaat voor crypto, gescheiden van het apparaat waarop je experimenteert, beperkt sterk wat één infectie kan bereiken. Onze gids over supply-chain-aanvallen legt uit waarom schadelijke dependencies zelfs in legitieme projecten gevaarlijk zijn.

Wat te doen als je een verdachte test hebt gedraaid

1. 1Koppel het apparaat los van internet en gebruik het niet meer voor iets gevoeligs.
2. 2Verplaats vanaf een schoon apparaat je geld naar nieuwe wallets met gloednieuwe seedphrases. Hergebruik geen seedphrase die ooit op de geïnfecteerde computer is ingetypt of opgeslagen.
3. 3Wijzig wachtwoorden en trek sessies in voor e-mail, exchanges, codehosting en cloudaccounts, te beginnen met e-mail. Vervang API-sleutels en SSH-sleutels.
4. 4Licht het beveiligingsteam van je werkgever in als er werkinloggegevens of code op het apparaat stonden.
5. 5Wis het besturingssysteem en installeer het opnieuw voordat je de computer weer gebruikt.
6. 6Meld het. Meld het nep-recruiterprofiel bij het platform en het incident bij de lokale autoriteiten. Je kunt frauduleuze projecten of domeinen ook melden via onze pagina om een verzoek in te dienen.

Onze checklist wat je direct moet doen als je wallet gecompromitteerd is beschrijft de herstelstappen uitgebreider.

Conclusie

Een nep-programmeertest voor een cryptobaan maakt van je eigen handen het afleveringssysteem van de aanvaller: zodra je het project installeert of uitvoert, kan verborgen code alles op je computer stelen. Behandel elke ongevraagde thuisopdracht als onbetrouwbare code, controleer de werkgever zelfstandig, draai tests alleen in een schone wegwerpomgeving en bewaar je cryptosleutels op een apart, speciaal daarvoor bestemd apparaat.