Vorsicht vor gefälschten Indeed-Interview-Apps, die zur Installation von Spyware verwendet werden.

Aus mehreren unabhängigen Berichten geht hervor, dass Betrüger gefälschte Dokumente verwenden. Android „Interview“-Apps sollen Jobsuchende auf der Indeed-Plattform gezielt ansprechen.

Indeed ist eine der weltweit größten Stellenbörsen und bietet Betrügern damit Zugang zu einem riesigen Pool potenzieller Opfer, insbesondere auf einem wettbewerbsintensiven Arbeitsmarkt.

Was wir herausgefunden haben

Ein Nutzer aus Großbritannien meldete sich in unserem Forum , nachdem er von einem vermeintlichen Arbeitgeber auf Indeed aufgefordert worden war, eine „Interview-App“ zu installieren.

Ein Nutzer in Brasilien reichte einen anonymisierten Bericht ein, nachdem er während eines Vorstellungsgesprächs ähnliche Anweisungen zur Installation einer APK-Datei namens MyInterview über einen ihm zugesandten Link erhalten hatte.

Unterdessen diskutierten Reddit-Nutzer über eine „Indeed Interview“-App, die angeblich das Telefon eines Nutzers vollständig kompromittiert hatte.

Das Opfer, das die MyInterview-APK installiert hatte, gab an, dass sich sein Telefon nach der Installation selbstständig Apps schloss. Es teilte außerdem einen Screenshot, auf dem MyInterview unter „Apps“ aufgeführt war. Android 's heruntergeladene Barrierefreiheitsdienste.

Zu den gängigen Ködern, die von Betrügern verwendet werden, gehören:

• „Schließen Sie Ihr Vorstellungsgespräch ab, indem Sie die Indeed-App installieren.“
• „Aktualisiere deine Indeed-Bewerbung.“
• „ Identity „Nachweis erforderlich.“
• „Laden Sie unser Rekrutierungsportal herunter.“
• „Gehaltsvereinbarung nach App-Installation verfügbar.“

Eine Analyse von Malwarebytes Android Die Malware- Forscherin Nazeeh Sulaiman zeigte, dass diese Android Apps geben sich vor, die Anmeldeseite von Indeed zu sein, bevor sie ein Konto erstellen. VPN Nachdem ein Antragsteller eine E-Mail-Adresse eingegeben hat, wurde eine Verbindung hergestellt. Eine statische Analyse identifizierte die Apps als Trojan.Droppers , die in der Lage sind, weitere nicht vertrauenswürdige Apps zu installieren.

Zum Zeitpunkt der Erstellung dieses Dokuments handelte es sich bei der finalen Schadsoftware um Spyware, obwohl wir ursprünglich einen Banking-Trojaner erwartet hatten. Sobald die Malware die Berechtigung für Bedienungshilfen erhält, übernimmt sie die Kontrolle über das Gerät. Interessanterweise kann sie Benutzer daran hindern, die schädliche App zu deinstallieren. Wenn der Benutzer auf „Deinstallieren “ tippt, … Android Die Malware kann aufgrund der Einstellungen einfach zum Zurückspringen des Bildschirms gezwungen werden, wodurch eine Entfernung verhindert wird.

Wie es funktioniert

Betrüger inserieren gefälschte Stellenangebote auf Indeed und verleiten Bewerber dazu, eine gefälschte Software zu installieren. Android Eine App, die sich als Indeed ausgibt und sich als Interviewtool präsentiert.

Nach Bestätigung ihrer Bewerbung erhalten Arbeitssuchende Anweisungen wie diese:

In diesem Beispiel wird der Arbeitssuchende von einer „Personalvermittlungsfirma“ angewiesen, die App herunterzuladen und zu installieren, sich mit dem VPN zu verbinden, ein Konto zu erstellen und einen Einladungscode einzugeben. Anschließend soll er die App geöffnet lassen, während er auf die Bestätigung wartet.

Diese schädliche App steht in keiner Verbindung zu Indeed. Android Die App Indeed Job Search wird über Google Play vertrieben, nicht über eine APK-Datei, die in einer Rekrutierungsnachricht oder auf einer unbekannten Interview-Website bereitgestellt wird.

Der Bewerbungsprozess bei Indeed erfordert von den Bewerbern nicht die Installation einer separaten App, wie ein Sprecher von Indeed bestätigte:

„Bewerbungsgespräche über die Indeed-Plattform finden ausschließlich im Browser statt und erfordern niemals das Herunterladen einer speziellen App. Jede Nachricht, in der Bewerber aufgefordert werden, eine App für die Teilnahme an einem Bewerbungsgespräch herunterzuladen, ist nicht seriös. Wir raten Bewerbern dringend davon ab, auf Links zu klicken oder Dateien aus solchen Nachrichten herunterzuladen.“

Es ist wichtig zu betonen, dass der sogenannte Dropper nicht zwangsläufig die endgültige Schadsoftware darstellt. Es handelt sich um eine App im Vorfeld, die eine weitere schädliche oder unerwünschte App auf dem Gerät installiert, oft nachdem sie die Vorsicht des Opfers mit einem scheinbar legitimen Vorwand umgangen hat. Selbst wenn die gefälschte Indeed-App selbst keine sichtbaren Daten stiehlt, kann sie als Verbreitungsmechanismus für gefährlichere Malware dienen.

A VPN Die Kontaktaufnahme ist in vielen Situationen durchaus legitim, es gibt jedoch keinen ersichtlichen Grund dafür, dass eine Bewerbungs-App unmittelbar nach Angabe der E-Mail-Adresse durch den Bewerber eine solche Kontaktaufnahme herstellt.

In einem bösartigen Arbeitsablauf, ein VPN kann einer App erheblichen Einfluss auf den Netzwerkverkehr des Geräts verleihen. Angreifer können dadurch die Kommunikation über von ihnen kontrollierte Systeme leiten, die Aktivitäten der App verbergen oder spätere Phasen des Angriffs unterstützen. VPN Das Verhalten allein beweist noch nicht, dass der Datenverkehr abgefangen oder verändert wurde, aber in Kombination mit Markenimitation und Dropper-Funktionalität ist es ein ernstzunehmendes Warnsignal.

Die Anwesenheit der gefälschten App in den Bedienungshilfen ist ebenfalls besorgniserregend. Bedienungshilfen können Bildschirminhalte einsehen und Aktionen im Namen des Nutzers ausführen, was sie für Malware-Entwickler attraktiv macht. Auf dem uns vorliegenden Screenshot war MyInterview deaktiviert, sodass es keine Hinweise darauf gibt, dass der Dienst auf diesem Gerät aktiv war. Dennoch ist seine Präsenz als heruntergeladener Bedienungshilfendienst für die Gesamtrisikobewertung relevant.

Wie man sicher bleibt

Ein Vorstellungsgespräch sollte nicht erfordern, dass Sie ein externes Programm installieren. Android App, aktivieren Sie eine VPN Verbindung herstellen oder Software aus einer unbekannten Quelle installieren.

Bei dieser Kampagne ist die vermeintliche Interview-App lediglich der Köder: Sie gibt sich als Indeed aus, stellt eine verdächtige Netzwerkverbindung her und ist darauf ausgelegt, zusätzliche Schadsoftware zu liefern.

Bevor Sie eine Rekrutierungsplattform nutzen, vergewissern Sie sich, dass Sie deren Einstellungsprozess verstehen und seien Sie misstrauisch gegenüber Anfragen, die davon abweichen oder Sie auf eine andere Plattform weiterleiten sollen.

Installieren Sie keine Apps nur, weil Ihnen jemand dazu rät, insbesondere nicht, wenn Sie sie außerhalb von Google Play installieren müssen.

Überprüfen Sie Stellenangebote über unabhängige Kanäle. In einigen der gemeldeten Fälle existierten die Unternehmen entweder gar nicht oder hatten keine Niederlassungen in den Städten, in denen sie angeblich Mitarbeiter suchten.

Der Sprecher von Indeed fügte hinzu:

„Bei uns stehen Jobsuchende im Mittelpunkt, und ihre Sicherheit und ihr Vertrauen haben höchste Priorität. Wir sind uns Betrugsversuchen bewusst, bei denen Jobsuchende aufgefordert werden, eine App herunterzuladen, um ein virtuelles Vorstellungsgespräch zu führen. Diese Betrugsversuche stehen in keinerlei Verbindung zu Indeed, und wir verurteilen Betrüger, die das Vertrauen von Jobsuchenden in unsere Plattform und Marke ausnutzen, aufs Schärfste.“  

Weitere Informationen darüber, wie Sie eine legitime Indeed-App überprüfen und die Warnzeichen einer gefälschten App erkennen können, finden Sie in unserem Hilfecenter .“

Indikatoren für Kompromittierung (IOCs)

Trojanische Dropper:

Abgelegte Malware-Payload:

Domäne: startcareer[.]org