Соискателям предлагали удалённую вакансию в AccuraSoftHire, а домашнее задание в репозитории ставило на их машины вредоносные пакеты npm - менеджера библиотек для JavaScript. Компания оказалась подставной. Внешне всё выглядело как обычный наём: объявления на площадках по поиску работы, два интервью, сайт с разделами о компании, руководством и отзывами клиентов.
Описание
По данным JFrog Security Research, сайт подставной компании зарегистрировали в апреле 2026 года, а кандидату предлагали удалённую позицию и домашнее задание с репозиторием. Профили рекрутеров в LinkedIn и активная доска вакансий на сайте добавляли легенде правдоподобия. Переписку вели с адресов на домене компании и на Gmail, а задание выглядело обычной проверкой навыков для удалённой команды.
Срабатывала ловушка в момент открытия папки, без единого клика по подозрительному файлу. В проекте лежала конфигурация редактора VS Code - того самого, в котором разработчик и должен был смотреть задание. Прописанная в конфигурации задача запускалась автоматически и выполняла JavaScript под видом файла шрифта.
Адрес следующего этапа загрузчик держал не в проекте, а в публичной транзакции в блокчейне: оттуда он получал ссылку и скачивал остальные компоненты. В самом репозитории адреса сервера нет, поэтому проверка файлов задания его не выявляет. Обновлять код под новый сервер тоже не требовалось - публичная запись служила хранилищем для ссылки.
Летом ферма одноразовых npm-аккаунтов публиковала копии популярных плагинов Tailwind CSS с добавленным загрузчиком. Пакеты жили от нескольких часов до нескольких дней: npm их удалял, а вместо них появлялись новые под другим именем. В тестовом задании такие пакеты значились как зависимости, и блокировка одного автора почти ничего не меняла.
Масштаб приводят по многонациональному бюллетеню: по этой схеме заразили не менее 30 тысяч устройств, а средства выводили из криптокошельков на заражённых машинах. Речь идёт о всей схеме с копиями плагинов, а не об одной подставной компании. Отдельный эпизод связан с кражей средств у Binance - там атака тоже начиналась с рекрутера, интервью и задания с кодом.
Помимо сайта, в инфраструктуру входили GitHub-аккаунты accurasofthire, hiretechpartners и oleksandr3201, а также профиль рекрутера в LinkedIn. Один Gmail-адрес фигурировал и в npm-профиле, публиковавшем загрузчик, и в GitHub-коммите от лица рекрутера. Это позволило связать подставную компанию с публикацией пакетов. Почтовые адреса на домене компании применялись для переписки с кандидатами. Домен и профили выглядели убедительно, но были созданы сравнительно недавно и не подтверждали реальную деятельность компании. Страницы сотрудников и отзывы клиентов были сгенерированы или скопированы, а не подтверждены независимыми источниками.
Исследователи связывают операцию с давно известной схемой Contagious Interview: с 2023 года её описывали как способ доставки вредоносного ПО через фальшивые собеседования. Мерой защиты называют запуск незнакомых проектов в ограниченном режиме редактора и в одноразовой среде без токенов доступа, SSH-ключей и кошельков. Сколько кандидатов успело открыть такой проект, кто именно стоит за кампанией и какие ещё задания расходились по этой схеме, не сообщается. Точный масштаб кампании остаётся предметом дальнейших проверок.
Индикаторы компрометации
