Grupo norte-coreano usa vagas falsas no LinkedIn para infectar vítimas via ClickFix
O grupo Famous Chollima, ligado à Coreia do Norte, está se passando por recrutadores no LinkedIn (e também Discord, Telegram e email) oferecendo vagas remotas bem remuneradas para atrair candidatos a um processo seletivo falso. No fim do processo, a vítima é induzida por um pretexto técnico a colar comandos no terminal do próprio computador, instalando um RAT.
A campanha combina engenharia social clássica de golpe de emprego falso com a técnica ClickFix, que já vinha sendo usada em outros contextos de infecção por malware. Os operadores criam empresas de fachada ou se passam por marcas conhecidas do setor cripto e Web3 para dar credibilidade ao processo seletivo, atraem candidatos com promessas de altos salários em posições remotas, e conduzem uma "avaliação de habilidades" com perguntas de múltipla escolha seguida de uma etapa de gravação de vídeo.
O golpe se completa no momento em que a etapa de vídeo "falha" — a câmera aparentemente não funciona — e a vítima recebe instruções para colar um comando de correção no PowerShell ou terminal para resolver o problema. Esse comando, na verdade, baixa e executa RATs como PylangGhost ou GolangGhost, dando aos atacantes acesso remoto total à máquina da vítima. É a mesma lógica de outras campanhas ClickFix documentadas recentemente (inclusive contra usuários de macOS, caso do MacSync Stealer): usar um pretexto técnico plausível para convencer a vítima a executar o próprio comando malicioso, contornando proteções que dependem de anexos ou downloads suspeitos.
O ponto prático de defesa é simples de enunciar e difícil de internalizar sob pressão: nenhum processo seletivo, suporte técnico ou plataforma legítima jamais pede para o candidato colar comandos em terminal ou PowerShell para "corrigir" webcam, áudio ou qualquer outro problema técnico. Candidatos a vagas remotas devem desconfiar de processos aceleradamente favoráveis, verificar de forma independente a existência e reputação da empresa contratante, e empresas devem orientar seus times (especialmente em RH e áreas técnicas) a reconhecer e reportar essa abordagem antes que vire um incidente de segurança interno.