Skadlig kod i falska kodtest för kryptojobb
Så fungerar skadlig kod i falska kodtest för kryptojobb, varningssignalerna i rekryterares meddelanden och hemuppgifter, säkra sätt att köra tester och vad du gör om du blivit infekterad.
Falska kodtest för kryptojobb är en attack med skadlig kod där en falsk rekryterare eller ett falskt företag skickar en hemuppgift eller ett tekniskt uppdrag med dold skadlig kod till en jobbkandidat; när kandidaten installerar eller kör den stjäl koden plånböcker, lösenord och inloggningsuppgifter eller installerar en bakdörr. Jobbet, företaget och ofta även intervjuaren är påhittade – kodtestet är leveransmekanismen.
Utvecklare är attraktiva måltavlor eftersom deras datorer ofta innehåller kryptoplånböcker, privata nycklar, molninloggningar och åtkomst till arbetsgivarens system. Säkerhetsforskare har offentligt kopplat vissa av dessa kampanjer till resursstarka, statligt kopplade grupper, så beten kan se mycket professionella ut. Den här guiden förklarar hur attacken fungerar, hur en realistisk version ser ut och hur du skyddar dig.
Så fungerar attacken, steg för steg
- 1Första kontakten. En rekryterare kontaktar dig via ett professionellt nätverk, en meddelandeapp eller en jobbsajt med en lockande tjänst på en kryptostartup – ofta på distans, välbetald och brådskande.
- 2Trovärdigheten byggs upp. Du får en polerad jobbeskrivning, en företagswebbplats och ibland ett kort samtal med en vänlig ”rekryterande chef”. Profilerna kan vara stulna eller AI-genererade.
- 3Testet. Du får en länk till ett kodrepository eller en ZIP-fil och ombeds fixa en bugg, lägga till en funktion eller ”bara köra det och granska arkitekturen”.
- 4Körningen. Den skadliga delen körs när du installerar beroenden eller startar appen. Det kan vara ett post-install-skript, ett manipulerat paket eller en rad i en konfigurationsfil som laddar ner och kör en andra nyttolast.
- 5Stölden. Den skadliga koden letar efter plånbokstillägg i webbläsaren, plånboksfiler, sparade lösenord, cookies, SSH-nycklar och miljöfiler, skickar dem till angriparen och kan installera ett verktyg för fjärråtkomst.
- 6Utbetalningen. Pengar töms från dina plånböcker, ibland flera dagar senare, och stulna jobbinloggningar kan användas för att angripa din nuvarande arbetsgivare.
En variant hoppar över repositoryt: intervjuaren påstår att mötesprogrammet inte fungerar och skickar en länk till en ”fixad” videosamtalsapp eller drivrutin, som är den skadliga koden. Vår artikel Falska webbläsaruppdateringar och captcha-skadeprogram som riktar sig mot kryptoanvändare utvecklar detta.
Ett sammansatt exempel
Följande är ett hypotetiskt scenario som kombinerar vanliga mönster, inte ett verkligt fall.
Tänk dig att en backendutvecklare, Sam, kontaktas av en rekryterare om en tjänst som ”senior blockkedjeingenjör” på en ny DeFi-startup. Efter ett trevligt samtal får Sam ett privat repository för en ”staking-dashboard” och ombeds fixa ett test som fallerar inom 24 timmar. Sam klonar det på sin vardagslaptop och kör installationskommandot. Paketfilen innehåller ett post-install-skript som ser ut som ett byggsteg men hämtar en dold nyttolast. Testerna går igenom, Sam skickar in sin fix och rekryteraren slutar höra av sig. En vecka senare töms Sams webbläsarplånbok och hans molnkonto på jobbet visar inloggningar från utlandet.
Inget i den historien krävde att Sam ”klickade på en dålig länk”. Det räckte att köra koden. För en djupare genomgång, se Bedragare som utger sig för att vara tillsynsmyndigheter och polis inom krypto.
Checklista med varningssignaler
| Varningssignal | Varför det spelar roll |
|---|---|
| Oombett erbjudande med ovanligt hög lön och brådska | Press minskar noggrann kontroll |
| Rekryteraren eller företaget har en tunn, ny eller inkonsekvent närvaro på nätet | Falska identiteter är billiga att skapa |
| Testet måste köras lokalt, snabbt, med ”npm install” eller liknande först | Målet är körningen, inte din kodgranskning |
| Repositoryt har få commits, en enda bidragsgivare eller obfuskerade filer | Skadlig kod göms ofta i minifierade eller kodade rader |
| Ovanliga install-, pre-start- eller post-install-skript | Dessa körs automatiskt |
| Begäran om att installera särskild mötes-, bedömnings- eller drivrutinsprogramvara | En klassisk metod för att sprida skadlig kod |
| Intervjuaren undviker video, eller ”företagets” e-postdomän är en gratisleverantör | Riktiga företag använder oftast sin egen domän |
Vår guide om falska kryptojobb och uppdragsbedrägerier tar upp andra jobbrelaterade bedrägerier, och kryptobedrägerier på LinkedIn förklarar hur rekryterarbedrägerier fungerar i professionella nätverk. Se även: Falska välgörenhets- och katastrofinsamlingar i krypto.
Så skyddar du dig
Innan du kör något
- Verifiera företaget på egen hand. Leta själv upp företagets officiella webbplats, kontrollera att tjänsten finns listad där och kontakta dem via en publicerad kanal. Se hur du kontrollerar att en webbplats är projektets officiella sajt.
- Läs innan du kör. Öppna paket- eller byggfilerna och leta efter installationsskript, okända beroenden och långa kodade strängar.
- Stäng av automatiska skript där din pakethanterare tillåter det, så att beroenden inte kan köra kod vid installation utan att du vet om det.
Isolera miljön
- Använd en virtuell engångsmaskin, en container eller en molnbaserad utvecklingsmiljö.
- Se till att den saknar plånböcker, återställningsfraser, lösenordshanterare, SSH-nycklar, molninloggningar och inloggade webbläsarsessioner.
- Radera den när testet är klart.
Håll isär arbete och pengar
Förvara krypto i en hårdvaruplånbok och undvik att spara återställningsfraser eller privata nycklar på någon dator som du använder för utveckling. En separat enhet för krypto, skild från den du experimenterar på, begränsar kraftigt vad en enskild infektion kan nå. Vår guide om leveranskedjeattacker förklarar varför skadliga beroenden är farliga även i legitima projekt.
Vad du gör om du har kört ett misstänkt test
- 1Koppla bort enheten från internet och sluta använda den till något känsligt.
- 2Flytta pengarna från en ren enhet till nya plånböcker med helt nya återställningsfraser. Återanvänd aldrig en återställningsfras som någon gång har skrivits in eller sparats på den infekterade datorn.
- 3Byt lösenord och avsluta sessioner för e-post, börser, kodhosting och molnkonton, och börja med e-posten. Byt ut API-nycklar och SSH-nycklar.
- 4Informera din arbetsgivares säkerhetsteam om jobbinloggningar eller kod fanns på enheten.
- 5Radera och installera om operativsystemet innan du använder datorn igen.
- 6Anmäl det. Anmäl den falska rekryterarprofilen till plattformen och händelsen till lokala myndigheter. Du kan också rapportera bedrägliga projekt eller domäner via vår sida för att skicka in en förfrågan.
Vår checklista vad du ska göra direkt om din plånbok har komprometterats beskriver återställningsstegen mer i detalj.
Sammanfattning
Ett falskt kodtest för ett kryptojobb gör dina egna händer till angriparens leveranssystem: i samma ögonblick som du installerar eller kör projektet kan dold kod stjäla allt på din dator. Behandla varje oombedd hemuppgift som opålitlig kod, verifiera arbetsgivaren på egen hand, kör tester bara i en ren engångsmiljö och förvara dina kryptonycklar på en separat, dedikerad enhet.
Vanliga frågor
Hur kan ett kodtest installera skadlig kod?
Ett hemprojekt är riktig kod som körs på din dator. Angripare gömmer skadlig kod i ett beroende, ett installationsskript, en konfigurationsfil eller en obfuskerad rad i projektet. När du installerar beroenden eller startar appen körs den koden med dina användarbehörigheter och kan stjäla plånboksdata, lösenord och sessionscookies eller installera en bakdörr.
Vilka riktar sig falska kryptojobbintervjuer mot?
Främst mjukvaruutvecklare, särskilt de med erfarenhet av krypto eller Web3, eftersom deras datorer ofta innehåller plånböcker, privata nycklar, API-nycklar och åtkomst till företagets system. Även designers, community managers och andra arbetssökande blir måltavlor via falska mötesappar eller dokument.
Är det säkert att köra ett kodtest i en virtuell maskin?
Det är mycket säkrare än att köra det på din huvuddator, så länge den virtuella maskinen eller molnmiljön saknar plånböcker, sparade lösenord, SSH-nycklar och företagsåtkomst, och du raderar den efteråt. Det gör inte jobberbjudandet legitimt; det begränsar bara skadan om koden är skadlig.
Vad ska jag göra om jag har kört ett misstänkt kodtest?
Koppla bort enheten och flytta sedan, från en annan ren enhet, pengarna till nya plånböcker med nya återställningsfraser, byt lösenord, återkalla sessioner och API-nycklar och varna din arbetsgivare om jobbkonton har exponerats. Radera sedan den infekterade datorn och installera om den innan du använder den igen.