# Falsche Jobangebote, die Entwickler hacken: meine zwei Fälle, die Warnsignale des FBI und was hilft > Im Juni 2026 versteckte das Testprojekt eines falschen Kunden Malware in einer npm-Abhängigkeit, und sie lief tagelang auf meinem Mac; im Oktober wollte ein anderer, dass ich einen Befehl in mein Terminal einfüge. Ein 53-Sekunden-Erklärvideo: die Masche, die Warnsignale des FBI und drei Gewohnheiten, die sie stoppen. - URL: https://oliverz.dev/de/videos/fake-job-offer - Author: Oliver Zhang (https://oliverz.dev) - Language: de - Published: 2026-10-31 - Tags: security, malware, developer, explainer - Video: https://www.youtube.com/shorts/ziU4qzdx9ig > **Kurz gesagt:** Zweimal hat 2026 ein falscher „Kunde“ versucht, mich dazu zu bringen, seinen Code auszuführen. Im Juni hat es geklappt: Das Testprojekt versteckte Malware in einer seiner npm-Abhängigkeiten, sie lief tagelang, und kein Antivirenprogramm sagte ein Wort. Im Oktober habe ich abgelehnt. Beide folgten einer Masche, die das FBI Nordkorea zuschreibt; niemand hat meine beiden Fälle offiziell zugeordnet, aber sie passen dazu. Der Rat des FBI: Führ Code aus Bewerbungsgesprächen nicht auf deinem Arbeitsrechner aus, nutz eine separate virtuelle Maschine, wenn es sein muss, und prüf über einen anderen Kanal, wer dich da einstellen will. ## Juni: Das Testprojekt war die Malware Die ganze Geschichte steht in meinem früheren Beitrag, [Zwei falsche Upwork-Jobs, ein infizierter Mac](https://oliverz.dev/de/blog/upwork-contagious-interview). Die Kurzfassung: Ein „Kunde“ auf einer Freelancer-Plattform gab mir einen Programmiertest. „He sent over a Node.js test project called "Online_Store". The malicious code was hidden in one of its npm dependencies.“ (Er schickte mir ein Node.js-Testprojekt namens „Online_Store“. Der Schadcode steckte in einer seiner npm-Abhängigkeiten.) Eine Weile fiel mir nichts auf: „By the time I noticed, it had been running in the background for days.“ (Als ich es bemerkte, lief es schon seit Tagen im Hintergrund.) Und nichts hat mich gewarnt: „neither macOS's built-in XProtect nor traditional antivirus made a sound, either time“ (weder das in macOS eingebaute XProtect noch klassische Antivirensoftware haben auch nur einen Mucks gemacht, beide Male nicht). ## Oktober: Kamera aus, „installier diese Meeting-App“ Vier Monate später ein neuer „Kunde“, diesmal von einer falschen Firma. Im Videocall: „He kept his camera off“ (seine Kamera blieb aus). Dann „we had to switch to a meeting app called "Zeff"“ (mussten wir auf eine Meeting-App namens „Zeff“ wechseln), und um sie zu bekommen, sollte ich „run a `curl | bash` command in the terminal, or download a DMG. I didn't install it.“ (einen `curl | bash`-Befehl im Terminal ausführen oder ein DMG herunterladen. Ich habe es nicht installiert.) Die Befehle und Adressen bleiben aus dem Video und diesem Beitrag draußen: Es geht darum, den Köder zu erkennen, nicht darum, was er installiert. ## Eine bekannte Masche Im Rückblick hatten beide Versuche dieselbe Form: „Both attacks followed the same playbook: contact, build trust, the ask, the payload. The second time, I stopped at the payload.“ (Beide Angriffe folgten demselben Drehbuch: Kontakt, Vertrauen aufbauen, die Bitte, die Schadsoftware. Beim zweiten Mal habe ich vor der Schadsoftware aufgehört.) Vor genau dieser Form hat das FBI gewarnt. Seine öffentliche Warnung PSA 240903 trägt den Titel „North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks“ (Nordkorea nimmt die Kryptobranche aggressiv mit gut getarnten Social-Engineering-Angriffen ins Visier). Meine Fälle passen zu dem dort beschriebenen Muster; niemand hat sie offiziell zugeordnet, also behaupte ich nicht, dass Nordkorea mich gehackt hat. ## Warum es auf Menschen zielt Nach dem Binance-Hack beschrieb Mackenzie Jackson von Aikido der BBC eine Verschiebung. In den Worten der BBC: „He says hackers have shifted from going after company infrastructure to going after the machines of the people who run it.“ (Er sagt, Hacker hätten sich von der Infrastruktur der Unternehmen auf die Rechner der Menschen verlagert, die sie betreiben.) Und zum Wie: „Jackson says techniques vary, but include tricking workers into installing malware under the pretext of a job interview, or interfering with code that developers rely on.“ (Jackson sagt, die Techniken seien unterschiedlich, darunter aber, Beschäftigte unter dem Vorwand eines Bewerbungsgesprächs zur Installation von Malware zu verleiten oder Code zu manipulieren, auf den sich Entwickler verlassen.) Jackson beschrieb gängige Techniken, nicht, wie Binance angegriffen wurde. ## Die Warnsignale Das FBI zählt dieses zu seinen Indikatoren: „Requests to conduct a "pre-employment test" or debugging exercise that involves executing non-standard or unknown Node.js packages, PyPI packages, scripts, or GitHub repositories.“ (Aufforderungen, einen „Einstellungstest“ oder eine Debugging-Übung durchzuführen, bei der nicht standardmäßige oder unbekannte Node.js-Pakete, PyPI-Pakete, Skripte oder GitHub-Repositorys ausgeführt werden.) Aus meinen eigenen zwei Fällen kommen zwei weitere dazu: ein „Kunde“, der die Kamera auslässt und auf eine App wechseln will, von der du noch nie gehört hast, und die Bitte, einen Befehl in dein Terminal einzufügen. ## Was hilft 1. **Nicht auf deinem Arbeitsrechner.** Das FBI: „Avoid taking pre-employment tests or executing code on company owned laptops or devices.“ (Keine Einstellungstests auf firmeneigenen Laptops oder Geräten machen und dort keinen Code ausführen.) 2. **Wenn Code laufen muss, halt ihn getrennt.** Der Rat des FBI, zusammengefasst: eine virtuelle Maschine auf einem Gerät nutzen, das nicht mit dem Unternehmen verbunden ist, oder ein Gerät, das der Prüfende stellt. 3. **Über einen anderen Kanal prüfen.** Das FBI: „Develop your own unique methods to verify a contact's identity using separate unconnected communication platforms.“ (Entwickle eigene Methoden, um die Identität eines Kontakts über separate, nicht verbundene Kommunikationsplattformen zu überprüfen.) ## Was ich danach gebaut habe Danach habe ich ein Tool gebaut: „So I built a small macOS menu bar app called Tsuba“ (also habe ich eine kleine macOS-Menüleisten-App namens Tsuba gebaut). Die Idee: „before unfamiliar code runs for the first time, it takes a look for you“ (bevor unbekannter Code zum ersten Mal läuft, wirft sie für dich einen Blick darauf). [Tsuba](https://oliverz.dev/de/products/tsuba) ist kostenlos und Open Source. Es kommt nach den Gewohnheiten oben, nicht an ihrer Stelle. ## Quellen - Oliver Zhang, [Zwei falsche Upwork-Jobs, ein infizierter Mac](https://oliverz.dev/de/blog/upwork-contagious-interview), oliverz.dev, 28. Okt. 2026 - FBI, [PSA 240903: North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks](https://www.ic3.gov/PSA/2024/PSA240903), 3. Sep. 2024 - BBC News, [Liveticker zum Binance-Hack](https://www.bbc.com/news/live/cqrmynd3042gt), 30. Okt. 2026 Das Video ist mit Code animiert, und das Skript entstand mit KI-Unterstützung; jede Angabe oben ist an den Quellen geprüft. Illustrativ sind: der Projektbaum und die rote Abhängigkeit, der „keine Bedrohungen“-Schild, der Videocall und der geschwärzte Terminal-Befehl. Dieser Beitrag erklärt das Risiko und was dagegen hilft, nicht die Schritte eines Angriffs. Das Video ist auf Englisch. Gemacht mit [Shotloop](https://oliverz.dev/de/products/shotloop), meiner kostenlosen Mac-App für Erklärvideos aus Code, korrigiert Shot für Shot.