偽の暗号資産求人のコーディングテストに潜むマルウェア

偽の暗号資産求人のコーディングテストとは、偽のリクルーターや架空の企業が、隠された悪意あるコードを含む持ち帰り課題や技術課題を応募者に送りつけるマルウェア攻撃です。応募者がそれをインストールまたは実行すると、コードがウォレット、パスワード、認証情報を盗んだり、バックドアを仕掛けたりします。求人も企業も、多くの場合は面接官さえも架空の存在であり、コーディングテストは攻撃を届けるための手段にすぎません。

開発者のマシンには暗号資産ウォレット、秘密鍵、クラウドの認証情報、勤務先のシステムへのアクセス権が入っていることが多いため、開発者は魅力的な標的です。セキュリティ研究者は、こうしたキャンペーンの一部を、資金力のある国家とつながりのあるグループと公に関連づけています。そのため、おとりは非常にプロフェッショナルに見えることがあります。このガイドでは、攻撃の仕組み、現実的なケースの例、そして身を守る方法を解説します。

攻撃の仕組みをステップごとに解説

1. 1最初の接触。 リクルーターがビジネスSNS、メッセージアプリ、求人サイトを通じて、暗号資産スタートアップの魅力的なポジションを持ちかけてきます。多くはリモート可、高給、急募です。
2. 2信頼の構築。 洗練された職務記述書、企業ウェブサイト、ときには感じのよい「採用マネージャー」との短い通話が用意されます。プロフィールは盗用されたものやAIで生成されたものの場合があります。
3. 3テスト。 コードリポジトリへのリンクやZIPファイルが送られてきて、バグの修正、機能の追加、あるいは「とりあえず実行してアーキテクチャを確認してほしい」と頼まれます。
4. 4実行。 依存関係をインストールしたりアプリを起動したりすると、悪意ある部分が実行されます。それはpost-installスクリプトのこともあれば、改ざんされたパッケージや、第2段階のペイロードをダウンロードして実行する設定ファイル内の1行のこともあります。
5. 5窃取。 マルウェアはブラウザのウォレット拡張機能、ウォレットファイル、保存済みパスワード、Cookie、SSHキー、環境ファイルを探して攻撃者に送信し、リモートアクセスツールをインストールすることもあります。
6. 6現金化。 ウォレットの資金が抜き取られます。数日後になることもあります。また、盗まれた仕事用の認証情報が現在の勤務先への攻撃に使われることもあります。

リポジトリを使わない変種もあります。面接官が「会議ソフトが動かない」と言って、「修正版」のビデオ通話アプリやドライバーのリンクを送ってくるのですが、それこそがマルウェアです。この点については、記事暗号資産ユーザーを狙う偽のブラウザ更新とCAPTCHAマルウェアで詳しく解説しています。

複合的な例

以下はよくあるパターンを組み合わせた仮定のシナリオであり、実際の事例ではありません。

バックエンド開発者のサムが、新しいDeFiスタートアップの「シニアブロックチェーンエンジニア」職についてリクルーターから連絡を受けたとします。和やかな会話の後、サムは「ステーキングダッシュボード」のプライベートリポジトリを受け取り、失敗しているテストを24時間以内に直すよう頼まれます。サムは普段使いのノートパソコンにクローンし、インストールコマンドを実行します。パッケージファイルにはビルド手順のように見えるpost-installスクリプトが含まれていますが、実際には隠されたペイロードを取得します。テストは問題なく通り、サムは修正を提出し、リクルーターからの連絡は途絶えます。1週間後、サムのブラウザウォレットは空になり、仕事用のクラウドアカウントには海外からのログインが記録されていました。

この話の中で、サムが「悪いリンクをクリックする」必要は一度もありませんでした。コードを実行するだけで十分だったのです。さらに詳しくは、暗号資産分野で規制当局や警察になりすます詐欺師をご覧ください。

危険信号チェックリスト

偽の暗号資産求人とタスク詐欺のガイドでは、その他の求人関連の詐欺を取り上げています。また、LinkedInの暗号資産詐欺では、ビジネスSNS上でのリクルーターのなりすましの手口を解説しています。あわせて読みたい：偽の暗号資産チャリティー・災害寄付詐欺。

身を守る方法

何かを実行する前に

• 企業を独自に確認する。 企業の公式サイトを自分で探し、そこに求人が掲載されているか確認し、公開されている窓口から連絡しましょう。ウェブサイトがプロジェクトの公式サイトかどうかを確認する方法も参照してください。
• 実行する前に読む。 パッケージファイルやビルドファイルを開き、インストールスクリプト、見慣れない依存パッケージ、長いエンコード文字列がないか確認しましょう。
• 自動スクリプトを無効にする。 パッケージマネージャーが対応していれば無効化し、依存パッケージがインストール時にあなたの知らないうちにコードを実行できないようにしましょう。

環境を隔離する

• 使い捨ての仮想マシン、コンテナ、クラウド開発環境を使いましょう。
• その環境にウォレット、シードフレーズ、パスワードマネージャー、SSHキー、クラウドの認証情報、ログイン済みのブラウザセッションがないことを確認しましょう。
• テストが終わったら削除しましょう。

仕事とお金を分ける

暗号資産はハードウェアウォレットで保管し、開発に使うコンピューターにはシードフレーズや秘密鍵を保存しないようにしましょう。実験に使う端末とは別の暗号資産専用の端末を用意すれば、1回の感染で被害が及ぶ範囲を大きく限定できます。サプライチェーン攻撃に関するガイドでは、正当なプロジェクトであっても悪意ある依存パッケージが危険な理由を解説しています。

怪しいテストを実行してしまった場合の対処法

1. 1端末をインターネットから切断し、機密性のある用途には一切使わないようにします。
2. 2クリーンな端末から資金を移します。 まったく新しいシードフレーズを持つ新しいウォレットへ移してください。感染したマシンで一度でも入力または保存したシードフレーズは、二度と使わないでください。
3. 3メール、取引所、コードホスティング、クラウドアカウントのパスワードを変更し、セッションを無効化します。まずはメールから始めましょう。APIキーとSSHキーも更新してください。
4. 4端末に仕事用の認証情報やコードがあった場合は、勤務先のセキュリティチームに知らせます。
5. 5コンピューターを再び使う前に、OSを初期化して再インストールします。
6. 6通報します。 偽リクルーターのプロフィールをプラットフォームに、事案を地元の当局に報告してください。詐欺プロジェクトや詐欺ドメインは、当サイトのリクエスト送信ページからも報告できます。

ウォレットが侵害されたときにすぐやるべきことのチェックリストでは、復旧の手順をさらに詳しく説明しています。

まとめ

偽の暗号資産求人のコーディングテストは、あなた自身の手を攻撃者の配送システムに変えてしまいます。プロジェクトをインストールまたは実行した瞬間、隠されたコードがあなたのマシン上のあらゆるものを盗み出せるのです。頼んでもいない持ち帰り課題はすべて信頼できないコードとして扱い、雇用主を独自に確認し、テストはクリーンな使い捨て環境でのみ実行し、暗号資産の鍵は別の専用端末に保管しましょう。