In questo articolo Indice dei contenuti 3 sezioni
Chi cerca lavoro online in questi mesi ha un motivo in più per stare attento, perché sono state individuate false app per colloqui di lavoro su Indeed che in realtà installano spyware sul telefono. La scoperta arriva dai ricercatori di Malwarebytes, che dopo diverse segnalazioni indipendenti hanno ricostruito il meccanismo della truffa. Il ragionamento dei criminali informatici è semplice e piuttosto cinico: Indeed è una delle piattaforme di ricerca di lavoro più grandi al mondo, e chi sta cercando un impiego difficilmente si tira indietro davanti a una richiesta che sembra arrivare da un recruiter.
Le esche cambiano poco da un caso all’altro, ma funzionano tutte allo stesso modo. C’è il messaggio che invita a completare il colloquio installando l’app Indeed, quello che chiede di aggiornare l’applicazione già in uso, la richiesta di una verifica dell’identità, l’invito a scaricare il fantomatico portale di reclutamento aziendale. E poi ce n’è una particolarmente efficace, quella che promette l’accordo salariale disponibile solo dopo l’installazione dell’app. Difficile resistere quando si sta trattando uno stipendio.
Come funziona lo spyware nascosto dietro il finto colloquio
Nazeeh Sulaiman, ricercatore specializzato in malware Android presso Malwarebytes, ha mostrato nel dettaglio cosa succede una volta scaricato il file. L’app mostra una schermata di accesso identica a quella di Indeed, chiede l’indirizzo email e, subito dopo che l’utente lo ha inserito, stabilisce una connessione VPN. Da lì in poi la partita si sposta su un altro piano: il software chiede il permesso di accessibilità, quello che su Android consente a un’applicazione di leggere e controllare praticamente tutto ciò che accade sullo schermo. Ottenuto quel via libera, lo spyware prende il controllo del dispositivo.
Il permesso di accessibilità nasce per aiutare le persone con disabilità e proprio per questo ha poteri enormi. Concederlo a un’app scaricata al di fuori degli store ufficiali significa, di fatto, consegnare il telefono a qualcun altro. Ed è esattamente il punto su cui questa truffa costruisce tutto il suo funzionamento.
La risposta di Indeed e cosa non fa mai la piattaforma
L’azienda ha preso posizione in modo netto. Un portavoce di Indeed ha spiegato che i colloqui che passano dalla piattaforma si svolgono interamente tramite browser e non richiedono mai il download di applicazioni dedicate. Tradotto: qualsiasi messaggio che chieda a un candidato di scaricare un’app per partecipare a un colloquio non è legittimo, punto. L’invito è quello di evitare di cliccare su link o scaricare file da messaggi di questo tipo.
Il portavoce ha aggiunto che l’azienda è a conoscenza di truffe in cui qualcuno invita i candidati a scaricare un’app per completare un colloquio virtuale, precisando che queste operazioni non hanno alcun collegamento con Indeed e che l’azienda condanna fermamente chi sfrutta la fiducia riposta dai candidati nella piattaforma e nel marchio. La sicurezza e la fiducia di chi cerca lavoro, ha spiegato, restano una priorità assoluta.
Gli indicatori di compromissione pubblicati dai ricercatori
Per chi lavora nella sicurezza informatica o gestisce dispositivi aziendali, Malwarebytes ha reso pubblici gli indicatori di compromissione attualmente noti legati a queste finte app per colloqui.
I trojan dropper, cioè i file che fanno da vettore iniziale, presentano gli hash MD5 D6B7F7C2514AC5AC93C5EB93E80EF317 e 7796C6ADC5D9EC00EA41B80648329B37, con i nomi di pacchetto com.rodugasewubawo.rzfwhQfswMDX e com.pogupijabedoku.VXCBLuvjmRcZzL.
Il payload malevolo effettivamente scaricato sul dispositivo corrisponde invece all’MD5 8EA8F77C03AC58ACC19C25DDC6D1CD48, con nome di pacchetto com.dupahu.nTTpEllELgMgD.
Nomi di pacchetto generati in modo casuale, difficili da ricordare e ancora più difficili da riconoscere per un occhio non allenato. Un dettaglio che dice parecchio su quanto queste campagne puntino sulla fretta e sull’urgenza di chi risponde a un’offerta di lavoro.
