A Proofpoint detetou um aumento no uso fraudulento de ferramentas legítimas de gestão remota (RMM) em campanhas de falsificação de entrevistas de emprego, nas quais os cibercriminosos entram em contacto com as vítimas fingindo oferecer uma vaga de emprego por meio de plataformas como Zoom ou Microsoft Teams. O objetivo real destes e-mails é induzir o download de software RMM como SimpleHelp, ScreenConnect ou Atera, que, uma vez instalado, permite ao atacante assumir o controlo do dispositivo remotamente.
Estas ferramentas são vulgarmente utilizadas por departamentos de TI para administração remota de sistemas, mas nas mãos de agentes maliciosos possuem as mesmas capacidades que um trojan de acesso remoto (RAT), como roubo de credenciais, exfiltração de dados pessoais ou até mesmo a instalação posterior de malware. A diferença fundamental é que os RMM, por serem software legítimo, geram tráfego que normalmente não levanta suspeitas nos sistemas de deteção tradicionais.
O mecanismo de ataque não é novo, mas a falsificação de entrevistas de emprego por videochamada introduz um nível adicional de sofisticação e credibilidade ao esquema. A Proofpoint identificou campanhas em que os atacantes se fazem passar por recrutadores ou responsáveis pela contratação, utilizando identidades falsas ou comprometidas. Em muitos casos, os e-mails provêm de endereços aparentemente legítimos, por vezes até pertencentes a organizações reais cujas contas foram violadas.
A obtenção dos dados de contacto das vítimas pode ser feita de várias maneiras, desde anúncios de emprego fictícios até o uso de bases de dados roubadas. Num caso documentado, uma conta comprometida do LinkedIn publicou uma oferta de emprego falsa com um endereço de e-mail do Gmail que imitava o do suposto empregador. A publicação foi retirada pelo verdadeiro proprietário da conta após perceber o ataque, mas não antes de expor um possível vetor de ameaça.
A Proofpoint alerta que estas campanhas geralmente fazem parte de estratégias mais amplas que também se fazem passar por instituições financeiras, órgãos governamentais ou outras entidades reconhecidas, aumentando assim o risco de as vítimas confiarem no remetente. Por isso, recomenda-se extrema cautela em qualquer contacto relacionado com uma oferta de emprego, especialmente se for recebido um ficheiro executável ou um link para baixar software.
Prestar atenção ao domínio do remetente, desconfiar de endereços genéricos como Gmail e evitar executar ficheiros ou instalar aplicações sem verificar a sua autenticidade são medidas fundamentais para evitar cair neste tipo de golpes, de acordo com os especialistas da Proofpoint.