Вредоносное ПО в фальшивых тестовых заданиях для криптовакансий
Как работает вредоносное ПО в фальшивых тестовых заданиях для криптовакансий, тревожные сигналы в сообщениях рекрутеров и репозиториях с заданиями, безопасные способы запуска тестов и что делать при заражении.
Фальшивые тестовые задания для криптовакансий — это атака с использованием вредоносного ПО, при которой фальшивый рекрутер или несуществующая компания присылает кандидату домашний проект или техническое задание со скрытым вредоносным кодом; когда кандидат устанавливает или запускает его, код крадет кошельки, пароли и учетные данные или устанавливает бэкдор. Вакансия, компания, а часто и интервьюер выдуманы — тестовое задание служит лишь механизмом доставки.
Разработчики — привлекательные цели, потому что на их компьютерах обычно хранятся криптокошельки, приватные ключи, облачные учетные данные и доступ к системам работодателя. Исследователи безопасности публично связали некоторые из этих кампаний с хорошо оснащенными группами, связанными с государствами, поэтому приманки могут выглядеть очень профессионально. В этом руководстве объясняется, как работает атака, как выглядит ее реалистичный вариант и как защититься.
Как работает атака, шаг за шагом
- 1Первый контакт. Рекрутер связывается с вами через профессиональную сеть, мессенджер или сайт вакансий и предлагает привлекательную позицию в криптостартапе — часто удаленную, хорошо оплачиваемую и срочную.
- 2Создание доверия. Вы получаете отточенное описание вакансии, сайт компании и иногда короткий созвон с дружелюбным «нанимающим менеджером». Профили могут быть украденными или созданными с помощью ИИ.
- 3Тест. Вы получаете ссылку на репозиторий с кодом или ZIP-архив, и вас просят исправить баг, добавить функцию или «просто запустить и оценить архитектуру».
- 4Запуск. Вредоносная часть выполняется, когда вы устанавливаете зависимости или запускаете приложение. Это может быть post-install-скрипт, подмененный пакет или строка в конфигурационном файле, которая скачивает и выполняет вторую стадию вредоносной нагрузки.
- 5Кража. Вредоносное ПО ищет браузерные расширения кошельков, файлы кошельков, сохраненные пароли, cookie-файлы, SSH-ключи и файлы окружения, отправляет их злоумышленнику и может установить инструмент удаленного доступа.
- 6Обналичивание. Ваши кошельки опустошаются, иногда спустя несколько дней, а украденные рабочие учетные данные могут использоваться для атаки на вашего текущего работодателя.
Один из вариантов обходится без репозитория: интервьюер утверждает, что его программа для встреч не работает, и присылает ссылку на «исправленное» приложение для видеозвонков или драйвер, которое и является вредоносным ПО. Подробнее об этом — в нашей статье Фальшивые обновления браузера и вредоносные капчи, нацеленные на пользователей криптовалют.
Собирательный пример
Ниже — гипотетический сценарий, объединяющий типичные схемы, а не реальный случай.
Представьте, что с бэкенд-разработчиком Сэмом связывается рекрутер по поводу должности «старшего блокчейн-инженера» в новом DeFi-стартапе. После приятной беседы Сэм получает приватный репозиторий «панели стейкинга» и просьбу в течение 24 часов исправить падающий тест. Сэм клонирует его на свой повседневный ноутбук и запускает команду установки. В файле пакета есть post-install-скрипт, который выглядит как шаг сборки, но загружает скрытую вредоносную нагрузку. Тесты проходят, Сэм отправляет исправление, и рекрутер пропадает. Через неделю браузерный кошелек Сэма опустошен, а в его рабочем облачном аккаунте видны входы из-за границы.
Ничто в этой истории не требовало, чтобы Сэм «нажал на плохую ссылку». Достаточно было запустить код. Чтобы разобраться глубже, читайте Мошенники, выдающие себя за регуляторов и полицию в криптовалюте.
Чек-лист тревожных сигналов
| Тревожный сигнал | Почему это важно |
|---|---|
| Непрошеное предложение с необычно высокой зарплатой и спешкой | Давление снижает тщательность проверки |
| У рекрутера или компании скудное, новое или противоречивое присутствие в интернете | Фальшивые личности создавать дешево |
| Тест нужно запустить локально, быстро и сначала выполнить «npm install» или аналог | Цель — запуск, а не ваш код-ревью |
| В репозитории мало коммитов, один автор или обфусцированные файлы | Вредоносный код часто прячут в минифицированных или закодированных строках |
| Необычные install-, pre-start- или post-install-скрипты | Они выполняются автоматически |
| Просьба установить особую программу для встреч, оценки или драйвер | Классический способ доставки вредоносного ПО |
| Интервьюер избегает видео, или почтовый домен «компании» принадлежит бесплатному сервису | Настоящие компании обычно используют собственный домен |
Наше руководство о фальшивых криптовакансиях и мошенничестве с заданиями рассказывает о других видах мошенничества, связанных с работой, а статья криптомошенничество в LinkedIn объясняет, как в профессиональных сетях выдают себя за рекрутеров. См. также: Фальшивые благотворительные сборы и пожертвования на ликвидацию катастроф в криптовалюте.
Как защититься
Прежде чем что-либо запускать
- Проверьте компанию самостоятельно. Сами найдите официальный сайт компании, убедитесь, что вакансия там опубликована, и свяжитесь с компанией через официально указанный канал. См. как проверить, что сайт является официальным сайтом проекта.
- Сначала читайте, потом запускайте. Откройте файлы пакета или сборки и поищите установочные скрипты, незнакомые зависимости и длинные закодированные строки.
- Отключите автоматические скрипты, если ваш пакетный менеджер это позволяет, чтобы зависимости не могли выполнять код при установке без вашего ведома.
Изолируйте среду
- Используйте одноразовую виртуальную машину, контейнер или облачную среду разработки.
- Убедитесь, что в ней нет кошельков, сид-фраз, менеджера паролей, SSH-ключей, облачных учетных данных и активных сеансов браузера.
- Удалите ее после завершения теста.
Разделяйте работу и деньги
Храните криптовалюту на аппаратном кошельке и не держите сид-фразы или приватные ключи на компьютере, который вы используете для разработки. Отдельное устройство для криптовалют, не то, на котором вы экспериментируете, резко ограничивает то, до чего может дотянуться одно заражение. Наше руководство об атаках на цепочку поставок объясняет, почему вредоносные зависимости опасны даже в легитимных проектах.
Что делать, если вы запустили подозрительный тест
- 1Отключите устройство от интернета и перестаньте использовать его для чего-либо конфиденциального.
- 2С чистого устройства переведите средства в новые кошельки с совершенно новыми сид-фразами. Не используйте повторно ни одну сид-фразу, которая когда-либо вводилась или хранилась на зараженном компьютере.
- 3Смените пароли и завершите сеансы в почте, на биржах, в хостинге кода и облачных аккаунтах, начиная с почты. Замените API-ключи и SSH-ключи.
- 4Сообщите службе безопасности работодателя, если на устройстве были рабочие учетные данные или код.
- 5Очистите и переустановите операционную систему, прежде чем снова пользоваться компьютером.
- 6Сообщите о случившемся. Пожалуйтесь на фальшивый профиль рекрутера платформе, а об инциденте — местным органам. Вы также можете сообщить о мошеннических проектах или доменах через нашу страницу для отправки запроса.
Наш чек-лист что делать немедленно, если ваш кошелек скомпрометирован подробнее описывает шаги по восстановлению.
Итог
Фальшивое тестовое задание для криптовакансии превращает ваши собственные руки в систему доставки злоумышленника: в тот момент, когда вы устанавливаете или запускаете проект, скрытый код может украсть все, что есть на вашем компьютере. Относитесь к каждому непрошеному домашнему заданию как к недоверенному коду, проверяйте работодателя самостоятельно, запускайте тесты только в чистой одноразовой среде и храните криптоключи на отдельном, специально выделенном устройстве.
Частые вопросы
Как тестовое задание может установить вредоносное ПО?
Домашнее задание — это настоящий код, который выполняется на вашем компьютере. Злоумышленники прячут вредоносный код в зависимости, установочном скрипте, конфигурационном файле или обфусцированной строке проекта. Когда вы устанавливаете зависимости или запускаете приложение, этот код выполняется с вашими правами пользователя и может украсть данные кошельков, пароли и cookie-файлы сеансов или установить бэкдор.
На кого нацелены фальшивые собеседования в криптокомпании?
В основном на разработчиков ПО, особенно с опытом в криптовалютах или Web3, потому что на их компьютерах часто хранятся кошельки, приватные ключи, API-ключи и доступ к корпоративным системам. Дизайнеров, комьюнити-менеджеров и других соискателей тоже атакуют с помощью фальшивых приложений для встреч или документов.
Безопасно ли запускать тестовое задание в виртуальной машине?
Это гораздо безопаснее, чем запускать его на основном компьютере, при условии что в виртуальной машине или облачной среде нет кошельков, сохраненных паролей, SSH-ключей и корпоративного доступа, и вы удалите ее после работы. Это не делает вакансию настоящей; это лишь ограничивает ущерб, если код окажется вредоносным.
Что делать, если я запустил подозрительное тестовое задание?
Отключите устройство от сети, а затем с другого, чистого устройства переведите средства в новые кошельки с новыми сид-фразами, смените пароли, отзовите сеансы и API-ключи и предупредите работодателя, если рабочие аккаунты могли быть раскрыты. После этого полностью очистите и переустановите зараженный компьютер, прежде чем снова им пользоваться.