Malware w fałszywych testach programistycznych przy rekrutacji do pracy w krypto
Jak działa malware w fałszywych testach programistycznych przy rekrutacji do pracy w krypto, sygnały ostrzegawcze w wiadomościach rekruterów i repozytoriach zadań, bezpieczne sposoby uruchamiania testów i co zrobić po infekcji.
Fałszywe testy programistyczne przy rekrutacji do pracy w krypto to atak z użyciem malware, w którym fałszywy rekruter lub fikcyjna firma wysyła kandydatowi zadanie domowe lub zadanie techniczne zawierające ukryty złośliwy kod; gdy kandydat je instaluje lub uruchamia, kod kradnie portfele, hasła i dane logowania albo instaluje backdoora. Praca, firma, a często także osoba prowadząca rozmowę są zmyślone – test programistyczny jest jedynie mechanizmem dostarczenia.
Programiści to atrakcyjne cele, ponieważ na ich komputerach zwykle znajdują się portfele kryptowalutowe, klucze prywatne, dane logowania do chmury i dostęp do systemów pracodawcy. Badacze bezpieczeństwa publicznie powiązali niektóre z tych kampanii z dobrze wyposażonymi grupami powiązanymi z państwami, dlatego przynęty mogą wyglądać bardzo profesjonalnie. Ten poradnik wyjaśnia, jak działa atak, jak wygląda jego realistyczna wersja i jak się chronić.
Jak działa atak, krok po kroku
- 1Pierwszy kontakt. Rekruter odzywa się do ciebie przez serwis zawodowy, komunikator lub portal z ofertami pracy z atrakcyjną propozycją w startupie kryptowalutowym – często zdalną, dobrze płatną i pilną.
- 2Budowanie wiarygodności. Dostajesz dopracowany opis stanowiska, stronę firmy, a czasem krótką rozmowę z sympatycznym „hiring managerem”. Profile mogą być skradzione lub wygenerowane przez AI.
- 3Test. Otrzymujesz link do repozytorium kodu lub plik ZIP i prośbę, by poprawić błąd, dodać funkcję albo „po prostu to uruchomić i ocenić architekturę”.
- 4Wykonanie. Złośliwa część uruchamia się, gdy instalujesz zależności lub startujesz aplikację. Może to być skrypt post-install, zmodyfikowany pakiet lub linia w pliku konfiguracyjnym, która pobiera i wykonuje drugi etap ładunku.
- 5Kradzież. Malware szuka rozszerzeń portfeli w przeglądarce, plików portfeli, zapisanych haseł, plików cookie, kluczy SSH i plików środowiskowych, wysyła je atakującemu i może zainstalować narzędzie zdalnego dostępu.
- 6Wypłata. Środki znikają z twoich portfeli, czasem kilka dni później, a skradzione dane służbowe mogą posłużyć do ataku na twojego obecnego pracodawcę.
Jedna z odmian pomija repozytorium: osoba prowadząca rozmowę twierdzi, że jej oprogramowanie do spotkań nie działa, i wysyła link do „naprawionej” aplikacji do wideorozmów lub sterownika – i to właśnie jest malware. Nasz artykuł Fałszywe aktualizacje przeglądarki i malware z captchą wymierzone w użytkowników krypto rozwija ten wątek.
Przykład złożony
Poniżej przedstawiamy hipotetyczny scenariusz łączący typowe schematy, a nie prawdziwą sprawę.
Wyobraź sobie, że z backend developerem Samem kontaktuje się rekruter w sprawie stanowiska „senior blockchain engineer” w nowym startupie DeFi. Po miłej rozmowie Sam dostaje prywatne repozytorium „panelu stakingu” i prośbę o naprawienie niedziałającego testu w ciągu 24 godzin. Sam klonuje je na laptopa, którego używa na co dzień, i uruchamia polecenie instalacji. Plik pakietu zawiera skrypt post-install, który wygląda jak krok budowania, ale pobiera ukryty ładunek. Testy przechodzą, Sam wysyła poprawkę, a rekruter milknie. Tydzień później portfel w przeglądarce Sama zostaje opróżniony, a jego służbowe konto w chmurze pokazuje logowania z zagranicy.
Nic w tej historii nie wymagało, by Sam „kliknął w zły link”. Wystarczyło uruchomić kod. Więcej na ten temat znajdziesz w artykule Oszuści podszywający się pod regulatorów i policję w świecie krypto.
Lista sygnałów ostrzegawczych
| Sygnał ostrzegawczy | Dlaczego to ważne |
|---|---|
| Niezamówiona oferta z nietypowo wysokim wynagrodzeniem i presją czasu | Presja ogranicza staranne sprawdzanie |
| Rekruter lub firma ma skromną, nową lub niespójną obecność w sieci | Fałszywe tożsamości tanio się tworzy |
| Test trzeba uruchomić lokalnie, szybko, zaczynając od „npm install” lub podobnego polecenia | Celem jest uruchomienie, a nie twój code review |
| Repozytorium ma mało commitów, jednego autora lub zaciemnione pliki | Złośliwy kod często ukrywa się w zminifikowanych lub zakodowanych liniach |
| Nietypowe skrypty install, pre-start lub post-install | Uruchamiają się automatycznie |
| Prośba o zainstalowanie specjalnego oprogramowania do spotkań, oceny lub sterownika | Klasyczna metoda dostarczania malware |
| Rozmówca unika wideo albo domena e-mail „firmy” należy do darmowego dostawcy | Prawdziwe firmy zwykle używają własnej domeny |
Nasz poradnik o fałszywych ofertach pracy w krypto i oszustwach z zadaniami omawia inne oszustwa związane z pracą, a artykuł oszustwa kryptowalutowe na LinkedIn wyjaśnia, jak działa podszywanie się pod rekruterów w serwisach zawodowych. Zobacz też: Fałszywe zbiórki charytatywne i na pomoc po katastrofach w krypto.
Jak się chronić
Zanim cokolwiek uruchomisz
- Zweryfikuj firmę samodzielnie. Sam znajdź oficjalną stronę firmy, sprawdź, czy stanowisko jest tam wymienione, i skontaktuj się przez oficjalnie podany kanał. Zobacz, jak sprawdzić, czy strona jest oficjalną witryną projektu.
- Przeczytaj, zanim uruchomisz. Otwórz pliki pakietu lub budowania i poszukaj skryptów instalacyjnych, nieznanych zależności oraz długich zakodowanych ciągów znaków.
- Wyłącz automatyczne skrypty tam, gdzie pozwala na to twój menedżer pakietów, aby zależności nie mogły uruchamiać kodu podczas instalacji bez twojej wiedzy.
Odizoluj środowisko
- Używaj jednorazowej maszyny wirtualnej, kontenera lub chmurowego środowiska programistycznego.
- Upewnij się, że nie ma w nim portfeli, fraz seed, menedżera haseł, kluczy SSH, danych logowania do chmury ani zalogowanych sesji przeglądarki.
- Usuń je po zakończeniu testu.
Oddziel pracę od pieniędzy
Trzymaj kryptowaluty w portfelu sprzętowym i nie przechowuj fraz seed ani kluczy prywatnych na żadnym komputerze, którego używasz do programowania. Osobne urządzenie do krypto, oddzielone od tego, na którym eksperymentujesz, mocno ogranicza zasięg pojedynczej infekcji. Nasz poradnik o atakach na łańcuch dostaw wyjaśnia, dlaczego złośliwe zależności są groźne nawet w legalnych projektach.
Co zrobić, jeśli uruchomiłeś podejrzany test
- 1Odłącz urządzenie od internetu i przestań używać go do czegokolwiek wrażliwego.
- 2Z czystego urządzenia przenieś środki do nowych portfeli z zupełnie nowymi frazami seed. Nie używaj ponownie żadnej frazy seed, która kiedykolwiek była wpisana lub zapisana na zainfekowanym komputerze.
- 3Zmień hasła i unieważnij sesje poczty, giełd, hostingu kodu i kont chmurowych, zaczynając od poczty. Wymień klucze API i klucze SSH.
- 4Poinformuj zespół bezpieczeństwa pracodawcy, jeśli na urządzeniu znajdowały się służbowe dane logowania lub kod.
- 5Wyczyść urządzenie i zainstaluj system operacyjny od nowa, zanim ponownie użyjesz komputera.
- 6Zgłoś to. Zgłoś fałszywy profil rekrutera platformie, a incydent lokalnym organom. Oszukańcze projekty lub domeny możesz też zgłosić przez naszą stronę przesyłania zgłoszeń.
Nasza lista kontrolna co zrobić natychmiast, gdy twój portfel zostanie przejęty opisuje kroki naprawcze bardziej szczegółowo.
Podsumowanie
Fałszywy test programistyczny przy rekrutacji do pracy w krypto zamienia twoje własne ręce w system dostarczania atakującego: w chwili, gdy instalujesz lub uruchamiasz projekt, ukryty kod może ukraść wszystko z twojego komputera. Traktuj każde niezamówione zadanie domowe jak niezaufany kod, samodzielnie weryfikuj pracodawcę, uruchamiaj testy wyłącznie w czystym, jednorazowym środowisku i trzymaj klucze do kryptowalut na osobnym, dedykowanym urządzeniu.
Najczęściej zadawane pytania
Jak test programistyczny może zainstalować malware?
Zadanie domowe to prawdziwy kod, który działa na twoim komputerze. Atakujący ukrywają złośliwy kod w zależności, skrypcie instalacyjnym, pliku konfiguracyjnym lub zaciemnionej linii projektu. Gdy instalujesz zależności lub uruchamiasz aplikację, ten kod działa z twoimi uprawnieniami użytkownika i może ukraść dane portfeli, hasła i pliki cookie sesji albo zainstalować backdoora.
Kto jest celem fałszywych rozmów rekrutacyjnych w branży krypto?
Głównie programiści, zwłaszcza z doświadczeniem w krypto lub Web3, ponieważ na ich komputerach często znajdują się portfele, klucze prywatne, klucze API i dostęp do firmowych systemów. Celem są też projektanci, community managerowie i inne osoby szukające pracy – za pomocą fałszywych aplikacji do spotkań lub dokumentów.
Czy uruchamianie testu programistycznego w maszynie wirtualnej jest bezpieczne?
To znacznie bezpieczniejsze niż uruchamianie go na głównym komputerze, pod warunkiem że maszyna wirtualna lub środowisko chmurowe nie zawiera portfeli, zapisanych haseł, kluczy SSH ani dostępu do firmy, a po wszystkim ją usuniesz. Nie czyni to oferty pracy prawdziwą; jedynie ogranicza szkody, jeśli kod jest złośliwy.
Co zrobić, jeśli uruchomiłem podejrzany test programistyczny?
Odłącz urządzenie od sieci, a następnie z innego, czystego urządzenia przenieś środki do nowych portfeli z nowymi frazami seed, zmień hasła, unieważnij sesje i klucze API oraz ostrzeż pracodawcę, jeśli konta służbowe mogły zostać ujawnione. Potem wyczyść zainfekowany komputer i zainstaluj system od nowa, zanim znów go użyjesz.