มัลแวร์ในแบบทดสอบเขียนโค้ดของงานคริปโตปลอม
มัลแวร์ในแบบทดสอบเขียนโค้ดของงานคริปโตปลอมทำงานอย่างไร สัญญาณอันตรายในข้อความของผู้สรรหางานและรีโพสิทอรีโจทย์ วิธีรันแบบทดสอบอย่างปลอดภัย และสิ่งที่ควรทำหากติดมัลแวร์
แบบทดสอบเขียนโค้ดของงานคริปโตปลอมคือการโจมตีด้วยมัลแวร์ที่ผู้สรรหางานปลอมหรือบริษัทปลอมส่งโปรเจกต์ให้ทำที่บ้านหรืองานทางเทคนิคที่ซ่อนโค้ดอันตรายไว้ให้ผู้สมัคร เมื่อผู้สมัครติดตั้งหรือรันมัน โค้ดจะขโมยกระเป๋าเงิน รหัสผ่าน และข้อมูลรับรอง หรือติดตั้งแบ็กดอร์ ทั้งงาน บริษัท และบ่อยครั้งรวมถึงผู้สัมภาษณ์ ล้วนเป็นเรื่องแต่ง แบบทดสอบเขียนโค้ดเป็นเพียงกลไกในการส่งมัลแวร์
นักพัฒนาเป็นเป้าหมายที่น่าสนใจ เพราะเครื่องของพวกเขามักมีกระเป๋าคริปโต คีย์ส่วนตัว ข้อมูลรับรองคลาวด์ และสิทธิ์เข้าถึงระบบของนายจ้าง นักวิจัยด้านความปลอดภัยได้เชื่อมโยงแคมเปญบางส่วนเหล่านี้ต่อสาธารณะกับกลุ่มที่มีทรัพยากรมากและเชื่อมโยงกับรัฐ เหยื่อล่อจึงอาจดูเป็นมืออาชีพอย่างมาก คู่มือนี้อธิบายว่าการโจมตีทำงานอย่างไร เวอร์ชันที่สมจริงมีหน้าตาแบบไหน และจะป้องกันตัวเองได้อย่างไร
การโจมตีทำงานอย่างไร ทีละขั้นตอน
- 1การติดต่อครั้งแรก ผู้สรรหางานติดต่อคุณผ่านเครือข่ายมืออาชีพ แอปแชต หรือเว็บหางาน พร้อมตำแหน่งงานที่น่าสนใจในสตาร์ทอัพคริปโต ซึ่งมักเป็นงานรีโมต รายได้ดี และเร่งด่วน
- 2การสร้างความน่าเชื่อถือ คุณได้รับรายละเอียดงานที่ดูดี เว็บไซต์บริษัท และบางครั้งได้คุยสั้น ๆ กับ “ผู้จัดการฝ่ายสรรหา” ที่เป็นมิตร โปรไฟล์อาจถูกขโมยมาหรือสร้างด้วย AI
- 3แบบทดสอบ คุณได้รับลิงก์ไปยังรีโพสิทอรีโค้ดหรือไฟล์ ZIP และถูกขอให้แก้บั๊ก เพิ่มฟีเจอร์ หรือ “แค่รันแล้วรีวิวสถาปัตยกรรม”
- 4การรัน ส่วนที่เป็นอันตรายจะทำงานเมื่อคุณติดตั้ง dependency หรือเปิดแอป อาจเป็นสคริปต์ post-install แพ็กเกจที่ถูกดัดแปลง หรือบรรทัดหนึ่งในไฟล์คอนฟิกที่ดาวน์โหลดและรันเพย์โหลดขั้นที่สอง
- 5การขโมย มัลแวร์ค้นหาส่วนขยายกระเป๋าเงินในเบราว์เซอร์ ไฟล์กระเป๋าเงิน รหัสผ่านที่บันทึกไว้ คุกกี้ คีย์ SSH และไฟล์ environment แล้วส่งไปให้ผู้โจมตี และอาจติดตั้งเครื่องมือควบคุมระยะไกล
- 6การถอนเงิน เงินถูกดูดออกจากกระเป๋าของคุณ บางครั้งหลายวันต่อมา และข้อมูลรับรองงานที่ถูกขโมยอาจถูกใช้โจมตีนายจ้างปัจจุบันของคุณ
อีกรูปแบบหนึ่งข้ามรีโพสิทอรีไปเลย ผู้สัมภาษณ์อ้างว่าซอฟต์แวร์ประชุมใช้งานไม่ได้ แล้วส่งลิงก์แอปวิดีโอคอลหรือไดรเวอร์ที่ “แก้ไขแล้ว” มาให้ ซึ่งนั่นแหละคือมัลแวร์ บทความของเรามัลแวร์อัปเดตเบราว์เซอร์ปลอมและแคปต์ชาที่เล็งเป้าผู้ใช้คริปโตขยายความในประเด็นนี้
ตัวอย่างแบบผสม
ต่อไปนี้เป็นสถานการณ์สมมติที่รวมรูปแบบที่พบบ่อย ไม่ใช่กรณีจริง
ลองนึกภาพว่าแซม นักพัฒนาแบ็กเอนด์ ได้รับการติดต่อจากผู้สรรหางานสำหรับตำแหน่ง “วิศวกรบล็อกเชนอาวุโส” ในสตาร์ทอัพ DeFi แห่งใหม่ หลังพูดคุยกันอย่างน่าประทับใจ แซมได้รับรีโพสิทอรีส่วนตัวของ “แดชบอร์ด staking” และถูกขอให้แก้เทสต์ที่ล้มเหลวภายใน 24 ชั่วโมง แซมโคลนมันลงแล็ปท็อปที่ใช้ทุกวันแล้วรันคำสั่งติดตั้ง ไฟล์แพ็กเกจมีสคริปต์ post-install ที่ดูเหมือนขั้นตอน build แต่จริง ๆ แล้วดึงเพย์โหลดที่ซ่อนอยู่ เทสต์ผ่านเรียบร้อย แซมส่งงานแก้ไข และผู้สรรหางานก็เงียบหายไป หนึ่งสัปดาห์ต่อมา กระเป๋าเงินบนเบราว์เซอร์ของแซมถูกดูดจนเกลี้ยง และบัญชีคลาวด์ที่ทำงานของเขามีการล็อกอินจากต่างประเทศ
ไม่มีส่วนใดในเรื่องนี้ที่ต้องให้แซม “คลิกลิงก์อันตราย” แค่รันโค้ดก็เพียงพอแล้ว หากต้องการศึกษาเพิ่มเติม ดูมิจฉาชีพแอบอ้างเป็นหน่วยงานกำกับดูแลและตำรวจในวงการคริปโต
รายการตรวจสอบสัญญาณอันตราย
| สัญญาณอันตราย | ทำไมจึงสำคัญ |
|---|---|
| ข้อเสนอที่ไม่ได้ร้องขอ พร้อมเงินเดือนสูงผิดปกติและความเร่งรีบ | แรงกดดันทำให้ตรวจสอบอย่างรอบคอบน้อยลง |
| ผู้สรรหางานหรือบริษัทมีตัวตนออนไลน์ที่บาง ใหม่ หรือไม่สอดคล้องกัน | ตัวตนปลอมสร้างได้ในราคาถูก |
| ต้องรันแบบทดสอบบนเครื่อง อย่างรวดเร็ว โดยเริ่มจาก “npm install” หรือคำสั่งคล้ายกัน | เป้าหมายคือการรันโค้ด ไม่ใช่การรีวิวโค้ดของคุณ |
| รีโพสิทอรีมีคอมมิตน้อย มีผู้ร่วมพัฒนาคนเดียว หรือมีไฟล์ที่ถูกทำให้อ่านยาก | โค้ดอันตรายมักซ่อนอยู่ในบรรทัดที่ถูกย่อหรือเข้ารหัส |
| สคริปต์ install, pre-start หรือ post-install ที่ผิดปกติ | สคริปต์เหล่านี้รันโดยอัตโนมัติ |
| ขอให้ติดตั้งซอฟต์แวร์ประชุม ประเมินผล หรือไดรเวอร์พิเศษ | วิธีกระจายมัลแวร์แบบคลาสสิก |
| ผู้สัมภาษณ์หลีกเลี่ยงวิดีโอ หรือโดเมนอีเมลของ “บริษัท” เป็นผู้ให้บริการฟรี | บริษัทจริงมักใช้โดเมนของตัวเอง |
คู่มือของเราเรื่องงานคริปโตปลอมและกลโกงทำภารกิจครอบคลุมการฉ้อโกงอื่น ๆ ที่เกี่ยวกับงาน และกลโกงคริปโตบน LinkedInอธิบายว่าการแอบอ้างเป็นผู้สรรหางานบนเครือข่ายมืออาชีพทำงานอย่างไร ดูเพิ่มเติม: กลโกงคริปโตแอบอ้างการกุศลและการบริจาคช่วยภัยพิบัติ
วิธีป้องกันตัวเอง
ก่อนรันอะไรก็ตาม
- ตรวจสอบบริษัทด้วยตัวเอง ค้นหาเว็บไซต์ทางการของบริษัทด้วยตัวเอง ตรวจดูว่ามีตำแหน่งงานนั้นประกาศอยู่ และติดต่อผ่านช่องทางที่เผยแพร่ไว้ ดูวิธีตรวจสอบว่าเว็บไซต์เป็นเว็บไซต์ทางการของโปรเจกต์
- อ่านก่อนรัน เปิดไฟล์แพ็กเกจหรือไฟล์ build แล้วมองหาสคริปต์ติดตั้ง dependency ที่ไม่คุ้นเคย และสตริงเข้ารหัสยาว ๆ
- ปิดสคริปต์อัตโนมัติ หากตัวจัดการแพ็กเกจของคุณรองรับ เพื่อไม่ให้ dependency รันโค้ดตอนติดตั้งโดยที่คุณไม่รู้ตัว
แยกสภาพแวดล้อม
- ใช้เครื่องเสมือนแบบใช้แล้วทิ้ง คอนเทนเนอร์ หรือสภาพแวดล้อมการพัฒนาบนคลาวด์
- ตรวจให้แน่ใจว่าไม่มีกระเป๋าเงิน seed phrase ตัวจัดการรหัสผ่าน คีย์ SSH ข้อมูลรับรองคลาวด์ หรือเซสชันเบราว์เซอร์ที่ล็อกอินค้างไว้
- ลบทิ้งเมื่อทำแบบทดสอบเสร็จ
แยกงานออกจากเงิน
เก็บคริปโตไว้ในกระเป๋าฮาร์ดแวร์ และหลีกเลี่ยงการเก็บ seed phrase หรือคีย์ส่วนตัวไว้บนคอมพิวเตอร์ใด ๆ ที่ใช้พัฒนาโปรแกรม อุปกรณ์เฉพาะสำหรับคริปโตที่แยกจากเครื่องที่ใช้ทดลอง จะจำกัดขอบเขตที่การติดมัลแวร์ครั้งเดียวเข้าถึงได้อย่างมาก คู่มือของเราเรื่องการโจมตีห่วงโซ่อุปทานอธิบายว่าทำไม dependency ที่เป็นอันตรายจึงอันตรายแม้ในโปรเจกต์ที่ถูกต้องตามกฎหมาย
สิ่งที่ควรทำหากคุณรันแบบทดสอบที่น่าสงสัยไปแล้ว
- 1ตัดการเชื่อมต่ออินเทอร์เน็ตของอุปกรณ์ และหยุดใช้มันกับเรื่องที่ละเอียดอ่อนทั้งหมด
- 2ใช้อุปกรณ์ที่สะอาดย้ายเงินไปยังกระเป๋าใหม่ที่มี seed phrase ใหม่เอี่ยม อย่านำ seed phrase ใด ๆ ที่เคยพิมพ์หรือเก็บไว้บนเครื่องที่ติดมัลแวร์กลับมาใช้อีก
- 3เปลี่ยนรหัสผ่านและเพิกถอนเซสชันของอีเมล กระดานเทรด บริการโฮสต์โค้ด และบัญชีคลาวด์ โดยเริ่มจากอีเมล และเปลี่ยน API key กับคีย์ SSH ใหม่
- 4แจ้งทีมความปลอดภัยของนายจ้าง หากมีข้อมูลรับรองหรือโค้ดของงานอยู่บนอุปกรณ์
- 5ล้างเครื่องและติดตั้งระบบปฏิบัติการใหม่ก่อนนำคอมพิวเตอร์กลับมาใช้
- 6รายงาน รายงานโปรไฟล์ผู้สรรหางานปลอมต่อแพลตฟอร์ม และแจ้งเหตุต่อหน่วยงานในพื้นที่ คุณยังสามารถรายงานโปรเจกต์หรือโดเมนหลอกลวงผ่านหน้าส่งคำขอของเราได้ด้วย
รายการตรวจสอบของเราเรื่องสิ่งที่ต้องทำทันทีหากกระเป๋าเงินของคุณถูกเจาะอธิบายขั้นตอนการกู้คืนอย่างละเอียดยิ่งขึ้น
สรุป
แบบทดสอบเขียนโค้ดของงานคริปโตปลอมเปลี่ยนมือของคุณเองให้กลายเป็นระบบส่งมัลแวร์ของผู้โจมตี ทันทีที่คุณติดตั้งหรือรันโปรเจกต์ โค้ดที่ซ่อนอยู่ก็สามารถขโมยทุกอย่างบนเครื่องของคุณได้ ให้ถือว่างานที่ส่งมาให้ทำที่บ้านโดยไม่ได้ร้องขอทุกชิ้นเป็นโค้ดที่ไม่น่าไว้ใจ ตรวจสอบนายจ้างด้วยตัวเอง รันแบบทดสอบเฉพาะในสภาพแวดล้อมแบบใช้แล้วทิ้งที่สะอาด และเก็บคีย์คริปโตไว้บนอุปกรณ์เฉพาะที่แยกต่างหาก
คำถามที่พบบ่อย
แบบทดสอบเขียนโค้ดติดตั้งมัลแวร์ได้อย่างไร?
โปรเจกต์ที่ให้ทำที่บ้านคือโค้ดจริงที่รันบนคอมพิวเตอร์ของคุณ ผู้โจมตีจะซ่อนโค้ดอันตรายไว้ใน dependency สคริปต์ติดตั้ง ไฟล์คอนฟิก หรือบรรทัดที่ถูกทำให้อ่านยากในโปรเจกต์ เมื่อคุณติดตั้ง dependency หรือเปิดแอป โค้ดนั้นจะรันด้วยสิทธิ์ผู้ใช้ของคุณ และอาจขโมยข้อมูลกระเป๋าเงิน รหัสผ่าน และคุกกี้เซสชัน หรือติดตั้งแบ็กดอร์
การสัมภาษณ์งานคริปโตปลอมเล็งเป้าใคร?
ส่วนใหญ่คือนักพัฒนาซอฟต์แวร์ โดยเฉพาะผู้ที่มีประสบการณ์ด้านคริปโตหรือ Web3 เพราะคอมพิวเตอร์ของพวกเขามักมีกระเป๋าเงิน คีย์ส่วนตัว API key และสิทธิ์เข้าถึงระบบของบริษัท นักออกแบบ ผู้จัดการคอมมูนิตี้ และผู้หางานคนอื่น ๆ ก็ตกเป็นเป้าหมายผ่านแอปประชุมหรือเอกสารปลอมเช่นกัน
รันแบบทดสอบเขียนโค้ดในเครื่องเสมือนปลอดภัยหรือไม่?
ปลอดภัยกว่าการรันบนคอมพิวเตอร์หลักมาก ตราบใดที่เครื่องเสมือนหรือพื้นที่ทำงานบนคลาวด์ไม่มีกระเป๋าเงิน รหัสผ่านที่บันทึกไว้ คีย์ SSH หรือสิทธิ์เข้าถึงของบริษัท และคุณลบทิ้งหลังใช้งาน แต่นั่นไม่ได้ทำให้ข้อเสนองานเป็นของจริง เพียงแค่จำกัดความเสียหายหากโค้ดเป็นอันตราย
ถ้าฉันรันแบบทดสอบเขียนโค้ดที่น่าสงสัยไปแล้วควรทำอย่างไร?
ตัดการเชื่อมต่อเครือข่ายของอุปกรณ์ แล้วใช้อุปกรณ์อีกเครื่องที่สะอาดย้ายเงินไปยังกระเป๋าใหม่ที่มี seed phrase ใหม่ เปลี่ยนรหัสผ่าน เพิกถอนเซสชันและ API key และแจ้งนายจ้างหากบัญชีงานอาจรั่วไหล จากนั้นล้างคอมพิวเตอร์ที่ติดมัลแวร์และติดตั้งระบบใหม่ก่อนนำกลับมาใช้