{"id":1088,"date":"2025-12-07T14:15:57","date_gmt":"2025-12-07T13:15:57","guid":{"rendered":"https:\/\/vali.now\/2025\/12\/07\/das-ansteckende-vorstellungsgespraech\/"},"modified":"2026-02-02T11:15:35","modified_gmt":"2026-02-02T10:15:35","slug":"das-ansteckende-vorstellungsgespraech","status":"publish","type":"post","link":"https:\/\/vali.now\/de\/2025\/12\/07\/das-ansteckende-vorstellungsgespraech\/","title":{"rendered":"Das ansteckende Vorstellungsgespr\u00e4ch"},"content":{"rendered":"\n

Als Entwickler denkst du im Allgemeinen, dass du eine ziemlich intelligente Person bist und dass du nie auf einen dieser \u201edummen\u201c Social<\/a>–Engineering<\/a>-Tricks hereinfallen wirst. Das ansteckende Vorstellungsgespr\u00e4ch ist ein Angriff, den die meisten nicht kommen sehen. Im folgenden Artikel werden wir die Schritte dieses Angriffs auf verst\u00e4ndliche Weise aufschl\u00fcsseln. <\/strong><\/p>\n\n

Ein unschuldiges Stellenangebot<\/h2>\n\n

Das ansteckende Vorstellungsgespr\u00e4ch beginnt harmlos genug. Als Entwickler erh\u00e4ltst du eine Nachricht auf LinkedIn<\/a> und ein Personalvermittler von einem amerikanischen KI-Startup fragt, ob du dir vorstellen k\u00f6nntest, mit ihnen zusammenzuarbeiten. Klar sagst du und fragst nach dem Gehalt. Sie bieten 210.000 Dollar pro Jahr, was sich f\u00fcr dich ziemlich gut anh\u00f6rt. Du hast in den letzten Jahren DevOps-Entwicklung f\u00fcr eine SAP-Beratung gemacht und bist offen f\u00fcr etwas Neues. Diese neue Gelegenheit ist ziemlich lukrativ. Du bist ein wenig gelangweilt und das Gehalt w\u00e4re eine deutliche Erh\u00f6hung. <\/p>\n\n

Soweit so gut \u2013 der n\u00e4chste Schritt im Vorstellungsgespr\u00e4ch ist ein Videointerview mit einem HR-Manager aus Oklahoma. Du buchst das Interview und peppst vorher deinen Lebenslauf auf. Du bist auf alles vorbereitet, was sie dir entgegenwerfen k\u00f6nnen, einschlie\u00dflich nat\u00fcrlich einer Programmieraufgabe. Der Tag des Interviews kommt und du klickst auf den Link f\u00fcr das Google Meet. Etwas Seltsames passiert jedoch. Es sieht so aus, als ob Google Meet<\/a> einen Fehler hat. Es erscheint ein Popup-Fenster mit der Meldung \u201eVersuchen Sie, das Problem zu beheben\u201c, auf das du klickst. Dann wirst du aufgefordert, die Windows-Taste und Strg+V zu dr\u00fccken. Du bist gespannt auf das Interview und genervt von dem technischen Problem, also dr\u00fcckst du die Tasten wie angewiesen. <\/p>\n\n

Gekapert<\/h2>\n\n

Du wei\u00dft es noch nicht, aber dieser unschuldige Klick auf \u201eVersuchen Sie, das Problem zu beheben\u201c hat einen b\u00f6sartigen Befehl aus der gef\u00e4lschten Version von Google Meet, die die Hacker gebaut haben, um dich auszutricksen, in deine Zwischenablage kopiert. Von dort aus befehlt die Website, zwei Malware-Pakete von einem nordkoreanischen Cybercrime-Kommando- und Kontrollzentrum herunterzuladen und in deine Zwischenablage zu installieren. Als du die Windows-Taste und \u201eStrg + V\u201c gedr\u00fcckt hast, wurde dieser unsichtbare Befehl ausgef\u00fchrt. Jetzt sind sie auf deinem Rechner. Du bist das, was in Hackerkreisen als \u201epwned\u201c bekannt ist. Das bedeutet, dass sie deine Verteidigung durchbrochen haben. Von dort aus werden sie versuchen, sich seitw\u00e4rts durch dein Netzwerk zu bewegen, um Informationen von deinen Kollegen und deiner Infrastruktur zu exfiltrieren oder zu stehlen. Ungl\u00fccklicherweise f\u00fcr dich bedeutet das, dass der Wirkungsbereich auch die Operationen deiner Kunden umfassen k\u00f6nnte. Als DevOps-Profi bist du f\u00fcr die Schl\u00fcssel zur Infrastruktur verantwortlich \u2013 jetzt ist ein Gro\u00dfteil dieser Infrastruktur anf\u00e4llig. Dies ist ein echter Angriff, der hier<\/a> detailliert dokumentiert wurde. <\/p>\n\n

Schritte im ansteckenden Vorstellungsgespr\u00e4ch<\/h2>\n\n

Der Kern dieses Hacks kombiniert einen Social-Engineering-Angriff mit der Installation von Malware. <\/p>\n\n

Schritt 1: Hacker beuten deine Gier aus \u2013 das Stellenangebot ist wirklich attraktiv und sieht wirklich legitim aus.<\/p>\n\n

Schritt 2: Hacker manipulieren dich dazu, unbekannte Software im Rahmen des \u201eVorstellungsgespr\u00e4chs\u201c auszuf\u00fchren<\/p>\n\n

Varianten des Angriffsvektors<\/h2>\n\n

Die nordkoreanische Lazarus-Gruppe<\/a> hat diesen Angriff weiterentwickelt und einige neuere Angriffe beinhalten Videointerviews mit \u201epotenziellen Arbeitgebern\u201c, die tats\u00e4chlich Deep Fakes sind. Die Angreifer sehen aus und klingen, als k\u00e4men sie aus dem Land, das sie vorgeben zu sein. Sie verwenden jedoch \u201eFace-Swapping\u201c- und \u201eVoice-Swapping\u201c-Technologie, um ihre echten Stimmen und Gesichter zu maskieren. Dies ist besonders \u00fcberzeugend, weil sie in der Lage sind, ein \u201eechtes Interview\u201c zu f\u00fchren und dich w\u00e4hrend des Interviews davon zu \u00fcberzeugen, \u201eOpen-Source\u201c-Software f\u00fcr das Code-Interview zu installieren. <\/p>\n\n

Normalerweise haben sie ein echtes Open-Source-Repository wie ein NPM-Paket geklont und mit Malware verseucht. Sobald der Entwickler dies installiert (normalerweise \u00fcber einen Curl<\/a>-Befehl), tritt das gleiche Ergebnis auf und die Malware wird ausgef\u00fchrt. <\/p>\n\n

Viele Benutzer w\u00fcrden nicht einmal wissen, dass etwas nicht stimmt, bis Wochen sp\u00e4ter, wenn sie geleerte Finanzkonten oder installierte Ransomware finden, die den Zugriff auf kritische Gesch\u00e4ftsdaten sperrt, oder Konto\u00fcbernahmen im gesamten Unternehmen. <\/p>\n\n

So sch\u00fctzt du dich vor dem ansteckenden Vorstellungsgespr\u00e4ch<\/h2>\n\n
    \n
  1. Behandle Kaltakquise von Personen, die du noch nie pers\u00f6nlich getroffen hast, als potenziell b\u00f6sartig.<\/li>\n\n\n\n
  2. \u00dcberpr\u00fcfe die Links f\u00fcr Videoanrufe und Kalendereinladungen, indem du vor der Ausf\u00fchrung mit der Maus dar\u00fcber f\u00e4hrst. Diese Vorgehensweise erm\u00f6glicht es dir, die Websites, zu denen du navigierst, zu \u00fcberpr\u00fcfen, bevor du dorthin navigierst. <\/li>\n\n\n\n
  3. Wenn ein Link etwas seltsam aussieht, ist er es wahrscheinlich auch \u2013 klicke nicht durch. google.com ist beispielsweise nicht dasselbe wie go0gle.com. Wenn dein Verdacht fr\u00fchzeitig geweckt wird, kannst du den Betrug stoppen, bevor du \u00fcberhaupt an den Punkt gelangst, an dem die Malware ins Spiel kommt. <\/li>\n\n\n\n
  4. Zu guter Letzt: F\u00fchre niemals Code aus oder unternehme Aktionen, die im Rahmen eines Vorstellungsgespr\u00e4chs Code herunterladen und ausf\u00fchren k\u00f6nnten. \n