Neste post
Em resumo: duas vezes em 2026, um "cliente" falso tentou me fazer rodar o código dele. Em junho deu certo: o projeto de teste escondia malware em uma das suas dependências do npm, ele rodou por dias e nenhum antivírus deu um pio. Em outubro, eu recusei. Os dois seguiram um roteiro que o FBI liga à Coreia do Norte; ninguém atribuiu formalmente os meus dois casos, mas eles batem com esse roteiro. O conselho do FBI: não rode código de entrevista no seu computador de trabalho, use uma máquina virtual separada se for mesmo preciso e confirme quem está contratando por outro canal.
Junho: o projeto de teste era o malware
A história completa está no meu post anterior, Duas vagas falsas no Upwork, um Mac infectado. A versão curta: um "cliente" em uma plataforma de freelancers me passou um teste de programação.
"He sent over a Node.js test project called "Online_Store". The malicious code was hidden in one of its npm dependencies." (Ele me mandou um projeto de teste em Node.js chamado "Online_Store". O código malicioso estava escondido em uma das dependências do npm.)
Demorei a perceber: "By the time I noticed, it had been running in the background for days." (Quando percebi, ele já estava rodando em segundo plano havia dias.)
E nada me avisou: "neither macOS's built-in XProtect nor traditional antivirus made a sound, either time" (nem o XProtect, que já vem no macOS, nem os antivírus tradicionais deram um pio, nas duas vezes).
Outubro: câmera desligada, "instale este app de reunião"
Quatro meses depois, um novo "cliente", desta vez de uma empresa falsa. Na videochamada, "He kept his camera off" (ele ficou com a câmera desligada). Depois "we had to switch to a meeting app called "Zeff"" (precisávamos trocar para um app de reuniões chamado "Zeff"), e para obtê-lo eu devia "run a curl | bash command in the terminal, or download a DMG. I didn't install it." (rodar um comando curl | bash no terminal ou baixar um DMG. Não instalei.)
Os comandos e endereços ficam fora do vídeo e deste post: o assunto é reconhecer a isca, não o que ela instala.
Um roteiro conhecido
Olhando para trás, as duas tentativas tiveram o mesmo formato: "Both attacks followed the same playbook: contact, build trust, the ask, the payload. The second time, I stopped at the payload." (Os dois ataques seguiram o mesmo roteiro: contato, ganhar confiança, o pedido, o golpe. Na segunda vez, parei no golpe.)
É um formato sobre o qual o FBI já alertou. O seu alerta público PSA 240903 se chama "North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks" (Coreia do Norte mira agressivamente o setor de criptomoedas com ataques de engenharia social bem disfarçados). Os meus casos batem com o padrão que ele descreve; ninguém os atribuiu formalmente, então não afirmo que a Coreia do Norte me hackeou.
Por que o alvo são as pessoas
Falando à BBC depois do ataque à Binance, Mackenzie Jackson, da Aikido, descreveu uma mudança. Nas palavras da BBC: "He says hackers have shifted from going after company infrastructure to going after the machines of the people who run it." (Ele diz que os hackers deixaram de mirar a infraestrutura das empresas e passaram a mirar as máquinas das pessoas que a operam.)
E sobre como: "Jackson says techniques vary, but include tricking workers into installing malware under the pretext of a job interview, or interfering with code that developers rely on." (Jackson diz que as técnicas variam, mas incluem enganar funcionários para que instalem malware sob o pretexto de uma entrevista de emprego, ou mexer em código do qual os desenvolvedores dependem.)
Jackson estava descrevendo técnicas comuns, não dizendo como a Binance foi invadida.
Os sinais de alerta
O FBI lista este entre os seus indicadores: "Requests to conduct a "pre-employment test" or debugging exercise that involves executing non-standard or unknown Node.js packages, PyPI packages, scripts, or GitHub repositories." (Pedidos para fazer um "teste pré-contratação" ou um exercício de depuração que envolva executar pacotes Node.js, pacotes PyPI, scripts ou repositórios do GitHub fora do padrão ou desconhecidos.)
Dos meus dois casos, mais dois: um "cliente" que fica com a câmera desligada e quer trocar para um app de que você nunca ouviu falar, e um pedido para colar um comando no seu terminal.
A correção
- Não no seu computador de trabalho. O FBI: "Avoid taking pre-employment tests or executing code on company owned laptops or devices." (Evite fazer testes pré-contratação ou executar código em notebooks ou dispositivos da empresa.)
- Se o código precisar rodar, mantenha-o isolado. O conselho do FBI, resumido: use uma máquina virtual em um dispositivo que não esteja conectado à empresa, ou um dispositivo fornecido por quem aplica o teste.
- Confirme por outro canal. O FBI: "Develop your own unique methods to verify a contact's identity using separate unconnected communication platforms." (Crie seus próprios métodos para verificar a identidade de um contato usando plataformas de comunicação separadas e não conectadas entre si.)
O que criei depois
Depois, fiz uma ferramenta: "So I built a small macOS menu bar app called Tsuba" (por isso criei um pequeno app de barra de menus para macOS chamado Tsuba). A ideia: "before unfamiliar code runs for the first time, it takes a look for you" (antes de um código desconhecido rodar pela primeira vez, ele dá uma olhada por você). O Tsuba é gratuito e de código aberto. Ele vem depois dos hábitos acima, não no lugar deles.
Fontes
- Oliver Zhang, Duas vagas falsas no Upwork, um Mac infectado, oliverz.dev, 28 de outubro de 2026
- FBI, PSA 240903: North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks, 3 de setembro de 2024
- BBC News, página ao vivo sobre o ataque à Binance, 30 de outubro de 2026
O vídeo é animado com código, e o roteiro foi escrito com ajuda de IA; cada fato acima foi conferido com as fontes. Ilustrativo: a árvore do projeto e a dependência vermelha, o escudo de "nenhuma ameaça", a videochamada e o comando de terminal censurado. Este post explica o risco e a correção, não os passos de um ataque. O vídeo está em inglês. Feito com o Shotloop, meu app gratuito para Mac de explicativos feitos com código, corrigidos uma cena de cada vez.