3月6日，網(wǎng)絡(luò)安全公司Digital Shadows最新研究顯示，即使黑客罪犯也無法逃避求職過程中存在的冗繁程序。大西洋月刊日前刊文揭秘了黑客招募新的網(wǎng)絡(luò)罪犯的全過程，包括在暗網(wǎng)（dark web）發(fā)布招聘信息、通過Skype進行面試以及使用數(shù)字語音轉(zhuǎn)換技術(shù)確保安全等。全文摘要如下：
通過查看上億表層網(wǎng)頁(surface web)和暗網(wǎng)網(wǎng)頁，Digital Shadows的研究人員發(fā)現(xiàn)，黑客在招募新人時，其招聘過程幾乎與大多數(shù)求職者的經(jīng)歷完全相同。Digital Shadows戰(zhàn)略副總裁里克·霍蘭德（Rick Holland）說，像其他行業(yè)一樣，黑客也以搜索網(wǎng)站作為招募新人的開始，個人信譽非常重要。因此，如果求職者能夠獲得可信同行的高度評價，其求職過程將更加容易。
在招募網(wǎng)絡(luò)罪犯時，信譽不僅攸關(guān)誰會成為最佳求職者，同時也可避免無處不在的危險，特別是有些求職者可能是FBI的臥底探員。但黑客擁有許多方法幫助降低這些恐懼。如果招聘者需要公開做廣告，他們可以登錄黑客論壇，許多論壇都有密碼保護功能，用戶通常使用假名注冊。但是它們依然存在風(fēng)險，因為沒有隱藏網(wǎng)頁流量的登陸者很容易被追蹤到。
霍蘭德表示，他的公司要求域名主機記錄下那些對客戶存在特別威脅的論壇，比如對從公司私人服務(wù)器中提取數(shù)據(jù)給與獎勵的貼文等，但是有些域名沒有回應(yīng)。
不易受到攻擊但也不太容易被看到的招募方式就是在暗網(wǎng)上發(fā)布招聘信息，暗網(wǎng)是通過網(wǎng)頁瀏覽器Tor訪問的網(wǎng)絡(luò)，可通過隨機字符串來隱藏使用者身份。研究人員甚至發(fā)現(xiàn)，許多表層網(wǎng)頁和暗網(wǎng)上的黑客招募板承諾收費為招聘者播放廣告，比如Monster.com。
黑客還為求職者設(shè)定特殊要求。有些帖文要求求職者具備特殊技能，比如SQL Injection攻擊、拒絕服務(wù)攻擊能力等。有些招聘者要求應(yīng)聘者擁有特定編程語言能力。黑客通常想要以特定目標為招聘對象，比如了解某個組織的網(wǎng)絡(luò)和系統(tǒng)內(nèi)部情況的人。
黑客招募中還有更多基本要求。比如一份招聘說明中稱：“你必須能講流利的英語，糟糕的語法在一定程度上可以容忍。”此外，這份招聘書中還希望求職者充滿激情，愿意學(xué)習(xí)新的編程語言，具有攻擊欲望等。
在引發(fā)求職者的興趣后，招聘過程的下個階段就是面試。霍蘭德說，許多此類面試都通過Skype進行，但是招聘者和求職者通常都會采取特別的安全措施。為了保護雙方身份秘密，Skype通話通常不會使用視頻方式，雙方都用數(shù)字語音變換器偽裝自己，他們還可使用Tor服務(wù)隱藏自己的通話流量。
如果面試順利，招聘可進入下個環(huán)節(jié)。研究人員發(fā)現(xiàn)，黑客主要分為兩大類，分別是按月領(lǐng)取特定薪酬的黑客以及與雇主分成的黑客。霍蘭德說，很難統(tǒng)計黑客的報酬水平，因為大多數(shù)薪酬談判通常都是私下進行的。
但是招聘者有時候會有附帶要求。研究人員發(fā)現(xiàn)，有些黑客組織對新招募者實行試用制度。比如名為DeleteSec的黑客組織規(guī)定，新招募者必須在3個月內(nèi)攻陷一家網(wǎng)站以此證明自己。
霍蘭德說，從研究黑客招募過程中，他了解到的最重要的事情就是：黑客對利用基本漏洞總是很感興趣。他說，黑客們很容易戀上“銀色子彈”，即精心設(shè)計的網(wǎng)絡(luò)安全產(chǎn)品。但是拒絕服務(wù)攻擊和SQL Injection攻擊等基本攻擊方式已經(jīng)被使用了10多年，它們依然非常受歡迎，是黑客最常用的有效手段。
京公網(wǎng)安備 11010502049343號