Attention aux fausses applications Indeed d'entretien d'embauche utilisées pour installer des logiciels espions

Plusieurs rapports indépendants ont mis en évidence l'utilisation de faux comptes par des escrocs. Android Des applications « d’entretien » pour cibler les demandeurs d’emploi sur la plateforme Indeed.

Indeed est l'un des plus grands sites web d'emploi au monde, offrant aux escrocs un accès à un immense vivier de victimes potentielles, notamment sur un marché du travail concurrentiel.

Ce que nous avons découvert

Un utilisateur au Royaume-Uni a publié un message sur nos forums après avoir reçu pour instruction d'un prétendu employeur trouvé sur Indeed d'installer une « application d'entretien ».

Un utilisateur brésilien a soumis un rapport anonyme après avoir reçu des instructions similaires pour installer un fichier APK nommé MyInterview à partir d'un lien partagé lors d'un entretien d'embauche.

Parallèlement, des utilisateurs de Reddit ont discuté d'une application « Indeed Interview » qui aurait totalement compromis le téléphone d'un utilisateur.

La victime qui a installé l'APK MyInterview a déclaré que son téléphone fermait automatiquement les applications après l'installation. Elle a également partagé une capture d'écran montrant MyInterview listé sous Android a téléchargé les services d'accessibilité.

Les appâts couramment utilisés par les escrocs comprennent :

• « Finalisez votre entretien en installant l’application Indeed. »
• « Mettez à jour votre candidature Indeed. »
• « Identity Vérification requise.
• «Téléchargez notre portail de recrutement.»
• « Contrat salarial disponible après l’installation de l’application. »

Une analyse par Malwarebytes Android La chercheuse en logiciels malveillants Nazeeh Sulaiman a démontré que ces Android Des applications imitent la page de connexion d'Indeed avant de créer un compte. VPN Une connexion est établie après la saisie d'une adresse électronique par le candidat. L'analyse statique a identifié les applications comme étant des Trojan.Droppers , capables d'installer d'autres applications non fiables.

Au moment de la rédaction de cet article, la charge utile finale était un logiciel espion, bien que nous nous attendions initialement à un cheval de Troie bancaire. Une fois que le logiciel malveillant obtient l'autorisation d'accessibilité, il prend effectivement le contrôle de l'appareil. Le plus intéressant, c'est qu'il peut empêcher les utilisateurs de désinstaller l'application malveillante. Lorsque l'utilisateur appuie sur Désinstaller dans Android Dans les paramètres, le logiciel malveillant force simplement l'écran à revenir en arrière, empêchant ainsi sa suppression.

Comment ça fonctionne

Des escrocs publient de fausses offres d'emploi sur Indeed et incitent les candidats à installer un faux logiciel. Android Application qui se fait passer pour Indeed et se présente comme un outil d'entretien d'embauche.

Après avoir confirmé leur candidature, les demandeurs d'emploi reçoivent des instructions comme celles-ci :

Dans cet exemple, le candidat est invité par un cabinet de recrutement à télécharger et installer l'application, à se connecter au VPN , à créer un compte et à saisir un code d'invitation. Il lui est ensuite demandé de laisser l'application ouverte en attendant la confirmation.

Cette application malveillante n'est pas affiliée à Indeed. Le site officiel de l'entreprise Android L'application Indeed Job Search est distribuée via Google Play, et non via un fichier APK fourni dans un message de recrutement ou sur un site web d'entretien d'embauche inconnu.

Un porte-parole d'Indeed a confirmé que le processus d'entretien sur Indeed ne requiert pas l'installation d'une application distincte par les candidats :

« Les entretiens via la plateforme Indeed se déroulent entièrement dans un navigateur et ne nécessitent jamais le téléchargement d'une application. Tout message demandant à un candidat de télécharger une application pour participer à un entretien est frauduleux. Nous encourageons les candidats à ne pas cliquer sur les liens ni à télécharger de fichiers contenus dans les messages les y incitant. »

Il est important de préciser que le programme d'installation initial n'est pas nécessairement la charge utile finale. Il s'agit d'une application de première étape conçue pour installer une autre application malveillante ou indésirable sur l'appareil, souvent en contournant la vigilance de la victime grâce à un prétexte apparemment légitime. Même si la fausse application Indeed ne vole pas de données de manière visible, elle peut servir de vecteur pour des logiciels malveillants plus dangereux.

UN VPN La création d'une connexion est parfaitement légitime dans de nombreuses situations, mais il n'y a aucune raison évidente pour qu'une application d'entretien en crée une immédiatement après qu'un candidat a fourni une adresse électronique.

Dans un flux de travail malveillant, un VPN peut conférer à une application une influence considérable sur le trafic réseau de l'appareil. Elle peut permettre aux attaquants de faire transiter les communications par des systèmes qu'ils contrôlent, de dissimuler l'activité de l'application ou de faciliter les phases ultérieures de l'attaque. VPN Le comportement à lui seul ne prouve pas que le trafic a été intercepté ou modifié, mais combiné à l'usurpation d'identité de marque et à la fonctionnalité de distribution de fichiers, il constitue un signe d'alerte sérieux.

La présence de cette fausse application dans les paramètres d'accessibilité est également préoccupante. Les services d'accessibilité peuvent visualiser le contenu de l'écran et effectuer des actions au nom de l'utilisateur, ce qui les rend vulnérables aux développeurs de logiciels malveillants. Sur la capture d'écran qui nous a été fournie, MyInterview était désactivé ; rien ne prouve donc que le service était actif sur cet appareil. Néanmoins, sa présence en tant que service d'accessibilité téléchargé est pertinente pour l'évaluation globale des risques.

Comment rester en sécurité

Un entretien d'embauche ne devrait pas vous obliger à ajouter des éléments superflus . Android application, activer une VPN connexion, ou installer un logiciel provenant d'une source inconnue.

Dans cette campagne, la prétendue application d'entretien n'est qu'un appât : elle imite Indeed, établit une connexion réseau suspecte et est conçue pour diffuser des logiciels malveillants supplémentaires.

Avant d'utiliser une plateforme de recrutement, assurez-vous de bien comprendre son processus d'embauche et méfiez-vous des demandes qui s'en écartent ou qui vous redirigent vers une autre plateforme.

N’installez pas d’applications simplement parce que quelqu’un vous le demande, surtout si vous devez les installer en dehors de Google Play .

Vérifiez les offres d'emploi par des sources indépendantes. Dans certains cas signalés, les entreprises n'existaient pas ou n'avaient pas de bureaux dans les villes où elles prétendaient recruter.

Le porte-parole d'Indeed a ajouté :

« Les candidats sont au cœur de toutes nos activités, et leur sécurité et leur confiance sont notre priorité absolue. Nous avons connaissance d'escroqueries où des individus incitent les candidats à télécharger une application pour passer un entretien virtuel. Ces escroqueries n'ont aucun lien avec Indeed, et nous condamnons fermement les personnes mal intentionnées qui exploitent la confiance que les candidats placent en notre plateforme et notre marque. »  

Pour en savoir plus sur la façon de vérifier la légitimité d'une application Indeed et de repérer les signes avant-coureurs d'une fausse application, consultez notre Centre d'aide .

Indicateurs de compromission (IOC)

Gouttes Trojan :

Charge utile du logiciel malveillant déposé :

Domaine : startcareer[.]org