Malware em falsos testes de programação para vagas de cripto
Como funciona o malware em falsos testes de programação para vagas de cripto, os sinais de alerta em mensagens de recrutadores e repositórios de teste, formas seguras de rodar testes e o que fazer em caso de infecção.
Os falsos testes de programação para vagas de cripto são um ataque de malware em que um falso recrutador ou uma empresa falsa envia a um candidato um projeto para fazer em casa ou uma tarefa técnica com código malicioso escondido; quando o candidato instala ou executa o projeto, o código rouba carteiras, senhas e credenciais ou instala um backdoor. A vaga, a empresa e muitas vezes o entrevistador são inventados — o teste de programação é o mecanismo de entrega.
Desenvolvedores são alvos atraentes porque suas máquinas costumam guardar carteiras de cripto, chaves privadas, credenciais de nuvem e acesso aos sistemas do empregador. Pesquisadores de segurança associaram publicamente algumas dessas campanhas a grupos com muitos recursos e ligados a Estados, por isso as iscas podem parecer extremamente profissionais. Este guia explica como o ataque funciona, como é uma versão realista e como se proteger.
Como o ataque funciona, passo a passo
- 1Primeiro contato. Um recrutador aborda você em uma rede profissional, um app de mensagens ou um site de vagas com uma oportunidade atraente em uma startup de cripto — muitas vezes remota, bem paga e urgente.
- 2Construção de credibilidade. Você recebe uma descrição de vaga caprichada, um site da empresa e, às vezes, uma conversa rápida com um “gerente de contratação” simpático. Os perfis podem ser roubados ou gerados por IA.
- 3O teste. Você recebe um link para um repositório de código ou um arquivo ZIP e é solicitado a corrigir um bug, adicionar uma funcionalidade ou “só rodar e avaliar a arquitetura”.
- 4A execução. A parte maliciosa roda quando você instala as dependências ou inicia o app. Pode ser um script de pós-instalação, um pacote adulterado ou uma linha em um arquivo de configuração que baixa e executa uma segunda carga maliciosa.
- 5O roubo. O malware procura extensões de carteira no navegador, arquivos de carteiras, senhas salvas, cookies, chaves SSH e arquivos de ambiente, envia tudo ao atacante e pode instalar uma ferramenta de acesso remoto.
- 6O saque. Os fundos são drenados das suas carteiras, às vezes dias depois, e credenciais de trabalho roubadas podem ser usadas para atacar seu empregador atual.
Uma variação dispensa o repositório: o entrevistador alega que o software de reunião não está funcionando e envia um link para um app de videochamada ou driver “corrigido”, que é o malware. Nosso artigo Falsas atualizações de navegador e malware de captcha voltados a usuários de cripto aprofunda esse ponto.
Um exemplo composto
O que segue é um cenário hipotético que combina padrões comuns, não um caso real.
Imagine que um desenvolvedor backend, Sam, é contatado por um recrutador para uma vaga de “engenheiro blockchain sênior” em uma nova startup DeFi. Depois de uma conversa agradável, Sam recebe um repositório privado de um “painel de staking” e precisa corrigir um teste que está falhando em até 24 horas. Sam clona o projeto no notebook que usa no dia a dia e roda o comando de instalação. O arquivo de pacote contém um script de pós-instalação que parece uma etapa de build, mas baixa uma carga oculta. Os testes passam, Sam envia a correção e o recrutador some. Uma semana depois, a carteira de navegador de Sam é esvaziada e a conta de nuvem do trabalho dele mostra logins vindos do exterior.
Nada nessa história exigiu que Sam “clicasse em um link malicioso”. Rodar o código bastou. Para se aprofundar, veja Golpistas que se passam por reguladores e pela polícia no mundo cripto.
Checklist de sinais de alerta
| Sinal de alerta | Por que importa |
|---|---|
| Oferta não solicitada com salário incomumente alto e urgência | A pressão reduz a verificação cuidadosa |
| Recrutador ou empresa com presença online rasa, recente ou inconsistente | Identidades falsas são baratas de criar |
| O teste precisa ser rodado localmente, rápido, com “npm install” ou similar primeiro | O objetivo é a execução, não a sua revisão de código |
| Repositório com poucos commits, um único colaborador ou arquivos ofuscados | Código malicioso costuma ficar escondido em linhas minificadas ou codificadas |
| Scripts de install, pre-start ou post-install incomuns | Eles rodam automaticamente |
| Pedido para instalar software especial de reunião, avaliação ou driver | Um método clássico de distribuição de malware |
| O entrevistador evita vídeo, ou o domínio de e-mail da “empresa” é de um provedor gratuito | Empresas reais costumam usar o próprio domínio |
Nosso guia sobre falsas vagas de cripto e golpes de tarefas aborda outras fraudes relacionadas a emprego, e golpes de cripto no LinkedIn explica como funciona a falsificação de recrutadores em redes profissionais. Veja também: Golpes de cripto com falsas instituições de caridade e doações para desastres.
Como se proteger
Antes de rodar qualquer coisa
- Verifique a empresa por conta própria. Encontre você mesmo o site oficial da empresa, confira se a vaga está listada lá e entre em contato por um canal divulgado publicamente. Veja como verificar se um site é o site oficial do projeto.
- Leia antes de rodar. Abra os arquivos de pacote ou de build e procure scripts de instalação, dependências desconhecidas e strings codificadas longas.
- Desative scripts automáticos quando o seu gerenciador de pacotes permitir, para que as dependências não possam rodar código na instalação sem você saber.
Isole o ambiente
- Use uma máquina virtual descartável, um contêiner ou um ambiente de desenvolvimento na nuvem.
- Garanta que ele não tenha carteiras, frases-semente, gerenciador de senhas, chaves SSH, credenciais de nuvem ou sessões de navegador logadas.
- Apague-o assim que terminar o teste.
Separe trabalho e dinheiro
Guarde suas criptos em uma hardware wallet e evite armazenar frases-semente ou chaves privadas em qualquer computador que você use para desenvolvimento. Um dispositivo dedicado a cripto, separado daquele que você usa para experimentos, limita bastante o que uma única infecção consegue alcançar. Nosso guia sobre ataques à cadeia de suprimentos explica por que dependências maliciosas são perigosas até em projetos legítimos.
O que fazer se você rodou um teste suspeito
- 1Desconecte o dispositivo da internet e pare de usá-lo para qualquer coisa sensível.
- 2A partir de um dispositivo limpo, transfira os fundos para carteiras novas com frases-semente totalmente novas. Não reutilize nenhuma frase-semente que já tenha sido digitada ou armazenada na máquina infectada.
- 3Troque as senhas e encerre as sessões de e-mail, corretoras, hospedagem de código e contas na nuvem, começando pelo e-mail. Gere novas chaves de API e chaves SSH.
- 4Avise a equipe de segurança do seu empregador se havia credenciais ou código de trabalho no dispositivo.
- 5Formate e reinstale o sistema operacional antes de reutilizar o computador.
- 6Denuncie. Denuncie o perfil do falso recrutador à plataforma e o incidente às autoridades locais. Você também pode denunciar projetos ou domínios fraudulentos pela nossa página de envio de solicitações.
Nosso checklist o que fazer imediatamente se sua carteira for comprometida detalha melhor as etapas de recuperação.
Conclusão
Um falso teste de programação para uma vaga de cripto transforma suas próprias mãos no sistema de entrega do atacante: no momento em que você instala ou roda o projeto, um código oculto pode roubar tudo o que está na sua máquina. Trate toda tarefa não solicitada como código não confiável, verifique o empregador por conta própria, rode testes apenas em um ambiente limpo e descartável e mantenha suas chaves de cripto em um dispositivo separado e dedicado.
Perguntas frequentes
Como um teste de programação pode instalar malware?
Um projeto para fazer em casa é código de verdade que roda no seu computador. Os atacantes escondem código malicioso em uma dependência, um script de instalação, um arquivo de configuração ou uma linha ofuscada do projeto. Quando você instala as dependências ou inicia o app, esse código roda com as suas permissões de usuário e pode roubar dados de carteiras, senhas e cookies de sessão ou instalar um backdoor.
Quem é alvo de falsas entrevistas de emprego em cripto?
Principalmente desenvolvedores de software, sobretudo os que têm experiência com cripto ou Web3, porque os computadores deles costumam guardar carteiras, chaves privadas, chaves de API e acesso a sistemas da empresa. Designers, gerentes de comunidade e outros candidatos também são alvo de falsos apps de reunião ou documentos.
É seguro rodar um teste de programação em uma máquina virtual?
É muito mais seguro do que rodá-lo no seu computador principal, desde que a máquina virtual ou o ambiente na nuvem não tenha carteiras, senhas salvas, chaves SSH ou acesso à empresa, e que você o apague depois. Isso não torna a vaga legítima; apenas limita o estrago se o código for malicioso.
O que devo fazer se rodei um teste de programação suspeito?
Desconecte o dispositivo e, a partir de outro dispositivo limpo, transfira os fundos para carteiras novas com novas frases-semente, troque as senhas, revogue sessões e chaves de API e avise seu empregador se contas de trabalho foram expostas. Depois, formate e reinstale o computador infectado antes de usá-lo novamente.