מחפשים עבודה בלינקדאין? מאחורי הצעת המשרה עלול להסתתר האקר
קבוצת תקיפה המזוהה עם איראן מתחזה למגייסים בלינקדאין ושולחת למפתחים מבחני קוד שמאפשרים חדירה למחשב; בין היעדים גם ישראל. איך פועלת השיטה, למה דווקא מפתחים נמצאים על הכוונת - ואילו סימנים צריכים להדליק נורה אדומה לפני שמורידים את מבחן הבית
הודעה ממגייס בלינקדאין היא בדרך כלל בדיוק מה שמחפש מי ששוקל להחליף עבודה. הפרופיל נראה מקצועי, המשרה מתאימה לניסיון, ואחרי כמה הודעות מגיע גם מבחן בית. אלא שבקמפיין סייבר חדש שמיוחס לקבוצת תקיפה המזוהה עם איראן, המבחן הוא בעצם המלכודת: המועמד מתבקש להוריד ולהריץ קוד שנראה כחלק מתהליך הקבלה לעבודה, ובפועל עלול לאפשר לתוקפים לחדור למחשב שלו. בין היעדים שאותרו בקמפיין נמצאת גם ישראל, והמטרה אינה בהכרח רק המידע האישי של מחפש העבודה - מחשב של מפתח עשוי להכיל קוד מקור, פרטי גישה ומפתחות למערכות החברה שבה הוא עובד, ולהפוך את התקיפה האישית לנקודת כניסה לארגון.
לפי חוקרי צוות GReAT של קספרסקי שזיהה את המתקפה, מי שעומד מאחוריה זו Mirage Kitten, קבוצת תקיפה וריגול מתקדמת המזוהה עם איראן. לפי החברה, התוקפים מתמקדים בעיקר במהנדסי תוכנה בתחומי התעופה והפינטק, ומטרות של הקמפיין אותרו בשורה של מדינות, בהן ישראל, מצרים, אתיופיה, אפגניסטן, גרמניה, טורקיה, הודו ואירלנד.
הגילוי מצטרף לממצאים שפרסמה קספרסקי ביולי, אז חשפה "דלת אחורית" חדשה שפיתחה הקבוצה למחשבים המבוססים על ווינדוז. אלא שהקמפיין החדש מצביע גם על שינוי בדרך הפעולה: במקום להסתמך רק על כלי תקיפה שמיועדים למערכת הפעלה מסוימת, התוקפים פיתחו כלים שיכולים לפעול גם בחלונות, גם במחשבי מק וגם בלינוקס.
אבל החלק המעניין יותר הוא לא בהכרח התוכנה עצמה, אלא הדרך שבה היא מגיעה למחשב. התוקפים אינם מנסים לשכנע את הקורבן לפתוח חשבונית מפוקפקת או ללחוץ על הודעה שמבטיחה לו פרס. הם מציעים לו עבודה.
המגייס מכיר את הניסיון שלכם - והמשרה נראית מתאימה
לינקדאין מספקת לתוקפים חומר גלם נוח במיוחד. בניגוד לרוב רשתות הפישינג, שבהן אותה הודעה נשלחת לאלפי אנשים, כאן אפשר לבחור מראש את המטרה ולבנות עבורה סיפור אמין.
הפרופיל המקצועי מספר לתוקף איפה האדם עובד, מה התפקיד שלו, כמה שנות ניסיון יש לו, באילו שפות תכנות וטכנולוגיות הוא משתמש ולעתים גם באילו פרויקטים עסק. מכאן הדרך קצרה לפנייה שנשמעת הגיונית: מגייס מחברה שנמצאת בתחום דומה, עם תפקיד שמתאים בדיוק לניסיון שמופיע בפרופיל.
שרשרת התקיפה מתחילה ביצירת קשר באמצעות לינקדאין. התוקפים מתחזים לאנשי גיוס בחברות טכנולוגיה ופונים למהנדסי תוכנה שעובדים בתחומים שבהם הם מעוניינים. לאחר חילופי הודעות, המועמד מוזמן לשלב הבא בתהליך - הערכה טכנית.
כאן מגיע אתגר הקידוד. המועמד מקבל קישור להורדת חבילת קבצים שאמורה להכיל מבחן תכנות. גם הקישור עצמו אינו חייב להיראות חשוד: במקרה שאותר על ידי קספרסקי, הקבצים אוחסנו בשירות ענן לגיטימי של אמזון. כלומר, גם מי שבודק את כתובת הקישור ורואה שירות מוכר עלול להניח שההורדה בטוחה.
וזו נקודה חשובה גם מעבר לקמפיין הספציפי: שירות ענן אמיתי אינו מעיד בהכרח על קובץ אמיתי. אותם שירותים שמשמשים חברות ועובדים להעברת קבצים יכולים לשמש גם תוקפים לאחסון הקבצים שלהם.
יש לכם שלוש שעות לסיים - ואל תשתמשו ב-AI
גם הלחץ הוא חלק מהשיטה. למועמדים מוקצבות בין שעה לשלוש שעות להשלמת המשימה. מבחן מוגבל בזמן אינו חריג בעולם הגיוס להייטק, ולכן גם הדרישה הזאת אינה בהכרח מעוררת חשד.
אלא שכאשר המועמד נמצא תחת שעון, יש לו פחות זמן לבדוק מי שלח את הקובץ, לעבור על הקוד לפני ההרצה או לברר אם המשרה בכלל קיימת באתר החברה. המטרה היא לגרום לו לעבור במהירות מהודעת הלינקדאין להורדה ולהפעלה.
בקמפיין שזוהה הופיעה גם דרישה מעניינת נוספת: המועמדים הוזהרו שלא להשתמש בעוזרי תכנות המבוססים על בינה מלאכותית. לכאורה, זו יכולה להיראות כמו דרישה סבירה של מעסיק שרוצה לבדוק את יכולותיו האמיתיות של המועמד. אלא שלפי החוקרים, יש לכך גם הסבר אחר - כלי AI שבוחן את הקוד עשוי לזהות את הרכיב הזדוני שהושתל בחבילה ולהזהיר את המשתמש.
מרגע שהמפתח מוריד את החבילה ומפעיל את מבחן התכנות, התקיפה יכולה להתחיל. מבחינתו הוא פותח סביבת עבודה ומנסה לפתור את המשימה שקיבל. ברקע, הקוד הזדוני מתקין את עצמו ומתחיל לפעול.
כך נוצר מצב שבו הקורבן עצמו מבצע חלק משמעותי מעבודת החדירה: הוא מוריד את הקובץ, מפעיל אותו ולעתים מעניק לו את ההרשאות הדרושות - מפני שהוא מאמין שכל אלה הם חלק מתהליך קבלה לעבודה.
- הידרוסייט גייסה 5 מיליון דולר: רוצה למפות את קרקעית הים באמצעות AI
- ג'נסן הואנג הכריז: "ה-AGI הגיע" - ובירך את OpenAI
למה התוקפים רוצים דווקא את המחשב של המפתח?
הבחירה במהנדסי תוכנה אינה מקרית. מחשב של מפתח עשוי להיות נקודת כניסה בעלת ערך גבוה הרבה יותר ממחשב ביתי רגיל. הוא יכול להכיל מאגרי קוד, קוד מקור של החברה, מפתחות גישה, אסימוני אימות, פרטי התחברות למערכות וכלים שמאפשרים גישה לסביבות פיתוח ולתשתיות ארגוניות.
גם אם המטרה הראשונית היא מחשבו של אדם מסוים, הנזק האפשרי אינו נעצר אצלו. אם המפתח מבצע את מבחן הבית על מחשב העבודה שלו, או על מחשב שמחובר למערכות החברה, התוקף עשוי לקבל דריסת רגל שממנה אפשר לנסות להתקדם הלאה ברשת הארגונית.
לכן מבחן קוד זדוני יכול להפוך מאירוע שנראה אישי - עובד שבוחן הצעת עבודה - לאירוע אבטחה של המעסיק הנוכחי שלו. במובן הזה, התוקפים מנצלים גם אזור אפור: תהליך חיפוש העבודה מתנהל מחוץ למערכות הגיוס והאבטחה של מקום העבודה, אבל המחשב שעליו מתבצע המבחן עשוי להיות מחשב ארגוני.
אותה תקיפה - גם בחלונות, גם במק וגם בלינוקס
לצד שיטת ההתחזות, קספרסקי מצביעה על שינוי בכלים שבהם משתמשת Mirage Kitten. בעבר הסתמכה הקבוצה בעיקר על תוכנות שנכתבו בשפות כמו C, C++ ו-Go והתמקדו במחשבי חלונות.
כעת זוהו כלים המבוססים על Node.js ו-JavaScript. מבחינת התוקפים, היתרון הוא האפשרות להשתמש בבסיס תוכנה דומה בכמה מערכות הפעלה במקום לפתח כלי נפרד לכל אחת. המשמעות עבור המטרה היא שמשתמשי מק ולינוקס אינם נמצאים מחוץ לטווח התקיפה רק משום שאינם עובדים עם חלונות.
החוקרים זיהו בקמפיין שתי משפחות חדשות של תוכנות זדוניות, שמופעלות בהתאם למטרה. הראשונה, NodeRabbit, היא סוס טרויאני לגישה מרחוק שמוסתר בתוך חבילות פיתוח. לאחר ההתקנה הוא מאפשר לתוקפים לקבל שליטה במחשב הנגוע.
הכלי מותאם גם להרגלי העבודה של מפתחים. לפי קספרסקי, הוא יכול להתקין הרחבות מזויפות בסביבת הפיתוח של Visual Studio Code ואף לבצע שינויים במאגרי הקוד המקומיים של המפתח. בדרך הזאת, הפעילות הזדונית יכולה להשתלב בפעולות שגרתיות כמו שמירה או מיזוג של קוד, במקום להסתמך רק על הפעלה חד-פעמית של הקובץ המקורי.
התוכנה השנייה, PollCat, מבוססת JavaScript ופועלת בצורה מעט אחרת. המועמד מתבקש להקליד "סיסמה חד-פעמית" שקיבל כביכול מהמגייס כדי לקבל גישה למבחן. לאחר מכן התוכנה יכולה לאסוף מידע על המערכת, לסרוק תיקיות ולהעביר נתונים לתוקפים.
לדברי אסף חזן, סמנכ"ל הטכנולוגיות של קספרסקי ישראל, המעבר מתוכנות מסורתיות שעוברות הידור לכלים המבוססים על JavaScript מסמן שינוי בטקטיקה של הקבוצה. לדבריו, הכנסת הקוד דרך תהליך הגיוס וכלי העבודה היומיומיים של מפתחים מאפשרת לתוקפים לנסות לעקוף חלק ממנגנוני האבטחה הארגוניים.
קיבלתם מבחן בית? מה כדאי לבדוק לפני שמורידים
השלב הראשון הוא לבדוק את האדם שפנה אליכם, ולא להסתפק בשם החברה שמופיע בפרופיל. חשבון לינקדאין שנראה מקצועי, כולל תמונה, תפקיד והיסטוריית עבודה, עדיין אינו הוכחה שמאחוריו נמצא אותו אדם.
כדאי גם לבדוק את המשרה באופן עצמאי. אם מגייס פונה בשם חברה מוכרת, אפשר לחפש את התפקיד באתר הקריירה הרשמי שלה. אם המשרה אינה מופיעה שם, זה לא בהכרח אומר שהפנייה מזויפת, אבל זו סיבה טובה לבצע בדיקה נוספת מול החברה בערוץ שאינו זה שסיפק המגייס.
צריך להקדיש תשומת לב מיוחדת למבחנים שמחייבים הורדה והרצה של קוד. קובץ ZIP, חבילת תוכנה, סקריפט, תוסף לסביבת הפיתוח או דרישה להתקין רכיב נוסף אינם בהכרח מסוכנים - מבחני קבלה אמיתיים עשויים להשתמש בהם - אבל הם שונים מהותית ממסמך או שאלה שנפתחים בדפדפן. ברגע שמריצים קוד במחשב, נותנים לו אפשרות לפעול על המערכת.
גם כתובת מוכרת אינה תעודת ביטוח. קובץ יכול להיות מאוחסן באמזון, GitHub או שירות ענן מוכר אחר ועדיין להכיל קוד זדוני. מה שחשוב הוא לא רק איפה הקובץ נמצא, אלא מי העלה אותו ומה הוא עושה כשהוא מופעל.
סימן נוסף הוא לחץ חריג. "יש לך שעה", "הקישור יפוג בקרוב" או דרישה להתחיל מיד אינם מוכיחים שמדובר בהונאה, אבל הם מצדיקים יותר זהירות, במיוחד אם במקביל מתבקשים להוריד ולהפעיל קבצים.
גם בקשה שלא להשתמש בכלי AI אינה בפני עצמה הוכחה לניסיון תקיפה. מעסיקים יכולים לקבוע מגבלה כזאת כחלק ממבחן מקצועי. אבל כשהיא מופיעה יחד עם קוד שמגיע ממקור לא מוכר ולחץ להפעיל אותו במהירות, כדאי להבין מדוע היא ניתנה לפני שממשיכים.
ובקשה למסור פרטי התחברות או קוד אימות חד-פעמי צריכה לעורר חשד מיוחד. קוד כזה נועד בדרך כלל לאמת את זהותו של המשתמש מול שירות מסוים, ולכן אין להעביר אותו לאדם אחר רק משום שהוא מציג את עצמו כמגייס.
לא על מחשב העבודה
עבור מפתחים יש עוד כלל בסיסי: מבחן קבלה ממקור שעדיין לא אומת עדיף שלא להריץ על מחשב העבודה או בסביבה שבה נמצאים נכסים של המעסיק הנוכחי. גם מבחן שנראה תמים ופשוט יכול לכלול חבילות ותלויות שמורידות ומפעילות קוד נוסף.
לפני הרצת פרויקט שהתקבל מאדם לא מוכר, כדאי לבדוק אילו קבצים הוא כולל, אילו חבילות הוא מבקש להתקין, אילו סקריפטים מופעלים במהלך ההתקנה ואם נדרשות הרשאות שאינן מתיישבות עם המשימה. דרישה להתקין הרחבה לסביבת הפיתוח, לשנות הגדרות מערכת או לתת הרשאות חריגות צריכה לקבל הסבר הגיוני.
מי שכבר הוריד והריץ מבחן חשוד לא צריך להסתפק במחיקת הקובץ שהורד. אם הקוד כבר הופעל, ייתכן שהוא התקין רכיבים נוספים או השיג גישה לפרטים שנשמרו במחשב. במקרה של מחשב ארגוני, יש מקום לערב את צוות אבטחת המידע של החברה ולא להניח שסגירת התוכנה סיימה את האירוע.
האירוע שחשפה קספרסקי אינו אומר שכל פנייה ממגייס או כל מבחן קוד צריכים לעורר חשד. דווקא משום שמדובר בפעולות רגילות לחלוטין בתהליך חיפוש עבודה, הן יכולות לשמש כיסוי יעיל לתקיפה. הפנייה "ראיתי את הפרופיל שלך ויש לי משרה שיכולה להתאים" עדיין יכולה להוביל לראיון עבודה - אבל לפני שמריצים את הקובץ שהגיע אחריה, כדאי לוודא שמי שמציע את העבודה אכן קיים.
