Una nuova campagna di social engineering sta prendendo di mira gli sviluppatori software con falsi annunci di lavoro e test di programmazione apparentemente legittimi. Il trucco è convincere la vittima a scaricare ed eseguire un progetto che funziona davvero, ma che in realtà include codice malevolo nascosto in modo ingegnoso.
Il risultato è l’infezione con un malware modulare collegato alla famiglia OtterCookie, progettato per rubare credenziali del browser, dati sensibili e soprattutto portafogli di criptovalute.
L’attacco parte spesso da piattaforme usate quotidianamente dalla comunità tecnica come Slack, Discord, GitHub e altri canali professionali. I criminali informatici si presentano come recruiter o referenti di progetto, costruiscono credibilità e poi spostano la conversazione in messaggi diretti. Qui arriva la richiesta più pericolosa: completare una coding challenge eseguendo un repository, spesso con stack moderni come Next.js, NestJS e database come PostgreSQL, per rendere il tutto plausibile e coerente con un vero processo di selezione.
Il punto chiave della campagna è l’uso della steganografia in file SVG. Invece di inserire payload evidenti in script o binari, il codice malevolo viene spezzato in frammenti Base64 e nascosto dentro commenti HTML all’interno di immagini SVG, ad esempio semplici bandiere di paesi salvate in una cartella assets. Questi file sembrano normali risorse grafiche, ma contengono blocchi iniettati che vengono poi ricomposti da un file JavaScript presente nel progetto, come serverValidation.js. La catena di esecuzione è progettata per attivarsi in modo silenzioso e persistere, ad esempio a ogni avvio del server.
Il malware finale include più moduli: un password stealer per browser e wallet crypto, un file stealer che cerca estensioni specifiche, un remote access trojan basato su Socket.IO capace di eseguire comandi shell, e un clipboard stealer per intercettare dati copiati. Un dettaglio rilevante è l’interesse per directory e file legati a strumenti di AI coding, segnale che gli attaccanti cercano anche chiavi, token e configurazioni usate dagli assistenti di sviluppo.
Per ridurre il rischio, è fondamentale diffidare di test che richiedono di eseguire codice scaricato, verificare la provenienza dei repository, ispezionare risorse come SVG e dipendenze, e usare ambienti isolati per ogni valutazione tecnica.