Шкідливе ПЗ у фальшивих тестових завданнях для криптовакансій
Як працює шкідливе ПЗ у фальшивих тестових завданнях для криптовакансій, тривожні сигнали в повідомленнях рекрутерів і репозиторіях із завданнями, безпечні способи запуску тестів і що робити в разі зараження.
Фальшиві тестові завдання для криптовакансій — це атака зі шкідливим ПЗ, під час якої фальшивий рекрутер або неіснуюча компанія надсилає кандидатові домашній проєкт чи технічне завдання з прихованим шкідливим кодом; коли кандидат встановлює або запускає його, код викрадає гаманці, паролі й облікові дані або встановлює бекдор. Вакансія, компанія, а часто й інтерв’юер вигадані — тестове завдання є лише механізмом доставки.
Розробники — привабливі цілі, адже на їхніх комп’ютерах зазвичай зберігаються криптогаманці, приватні ключі, хмарні облікові дані та доступ до систем роботодавця. Дослідники безпеки публічно пов’язали деякі з цих кампаній із добре забезпеченими групами, пов’язаними з державами, тож приманки можуть виглядати дуже професійно. Цей посібник пояснює, як працює атака, який вигляд має її реалістичний варіант і як захиститися.
Як працює атака, крок за кроком
- 1Перший контакт. Рекрутер зв’язується з вами через професійну мережу, месенджер або сайт вакансій і пропонує привабливу посаду в криптостартапі — часто віддалену, добре оплачувану й термінову.
- 2Створення довіри. Ви отримуєте відшліфований опис вакансії, сайт компанії, а іноді й короткий дзвінок із привітним «менеджером з найму». Профілі можуть бути викраденими або створеними за допомогою ШІ.
- 3Тест. Ви отримуєте посилання на репозиторій із кодом або ZIP-архів, і вас просять виправити баг, додати функцію або «просто запустити й оцінити архітектуру».
- 4Запуск. Шкідлива частина виконується, коли ви встановлюєте залежності або запускаєте застосунок. Це може бути post-install-скрипт, підмінений пакет або рядок у конфігураційному файлі, який завантажує й виконує другу стадію шкідливого навантаження.
- 5Крадіжка. Шкідливе ПЗ шукає браузерні розширення гаманців, файли гаманців, збережені паролі, cookie-файли, SSH-ключі та файли оточення, надсилає їх зловмисникові й може встановити інструмент віддаленого доступу.
- 6Виведення коштів. Ваші гаманці спустошують, іноді через кілька днів, а викрадені робочі облікові дані можуть використати для атаки на вашого поточного роботодавця.
Один із варіантів обходиться без репозиторію: інтерв’юер стверджує, що його програма для зустрічей не працює, і надсилає посилання на «виправлений» застосунок для відеодзвінків чи драйвер, який і є шкідливим ПЗ. Докладніше про це — у нашій статті Фальшиві оновлення браузера та шкідливі капчі, націлені на користувачів криптовалют.
Збірний приклад
Нижче — гіпотетичний сценарій, що поєднує типові схеми, а не реальний випадок.
Уявіть, що з бекенд-розробником Семом зв’язується рекрутер щодо посади «старшого блокчейн-інженера» в новому DeFi-стартапі. Після приємної розмови Сем отримує приватний репозиторій «панелі стейкінгу» та прохання протягом 24 годин виправити тест, що падає. Сем клонує його на свій повсякденний ноутбук і запускає команду встановлення. Файл пакета містить post-install-скрипт, який має вигляд кроку збирання, але завантажує приховане шкідливе навантаження. Тести проходять, Сем надсилає виправлення, і рекрутер зникає. Через тиждень браузерний гаманець Сема спустошено, а в його робочому хмарному акаунті видно входи з-за кордону.
Ніщо в цій історії не вимагало, щоб Сем «натиснув на погане посилання». Досить було запустити код. Щоб розібратися глибше, читайте Шахраї, що видають себе за регуляторів і поліцію у криптовалюті.
Чек-лист тривожних сигналів
| Тривожний сигнал | Чому це важливо |
|---|---|
| Непрохана пропозиція з незвично високою зарплатою та поспіхом | Тиск знижує ретельність перевірки |
| У рекрутера чи компанії мізерна, нова або суперечлива присутність в інтернеті | Фальшиві особи створювати дешево |
| Тест треба запустити локально, швидко й спершу виконати «npm install» чи аналог | Мета — запуск, а не ваш код-рев’ю |
| У репозиторії мало комітів, один автор або обфусковані файли | Шкідливий код часто ховають у мініфікованих чи закодованих рядках |
| Незвичні install-, pre-start- або post-install-скрипти | Вони виконуються автоматично |
| Прохання встановити особливу програму для зустрічей, оцінювання чи драйвер | Класичний спосіб доставки шкідливого ПЗ |
| Інтерв’юер уникає відео, або поштовий домен «компанії» належить безкоштовному сервісу | Справжні компанії зазвичай використовують власний домен |
Наш посібник про фальшиві криптовакансії та шахрайство із завданнями розповідає про інші види шахрайства, пов’язані з роботою, а стаття криптошахрайство в LinkedIn пояснює, як у професійних мережах видають себе за рекрутерів. Див. також: Фальшиві благодійні збори та пожертви на ліквідацію катастроф у криптовалюті.
Як захиститися
Перш ніж щось запускати
- Перевірте компанію самостійно. Самі знайдіть офіційний сайт компанії, переконайтеся, що вакансію там опубліковано, і зв’яжіться з компанією через офіційно вказаний канал. Див. як перевірити, що сайт є офіційним сайтом проєкту.
- Спершу читайте, потім запускайте. Відкрийте файли пакета або збирання й пошукайте інсталяційні скрипти, незнайомі залежності та довгі закодовані рядки.
- Вимкніть автоматичні скрипти, якщо ваш пакетний менеджер це дозволяє, щоб залежності не могли виконувати код під час установлення без вашого відома.
Ізолюйте середовище
- Використовуйте одноразову віртуальну машину, контейнер або хмарне середовище розробки.
- Переконайтеся, що в ньому немає гаманців, сід-фраз, менеджера паролів, SSH-ключів, хмарних облікових даних і активних сеансів браузера.
- Видаліть його після завершення тесту.
Розділяйте роботу й гроші
Зберігайте криптовалюту на апаратному гаманці й не тримайте сід-фрази чи приватні ключі на комп’ютері, який використовуєте для розробки. Окремий пристрій для криптовалют, не той, на якому ви експериментуєте, різко обмежує те, до чого може дістатися одне зараження. Наш посібник про атаки на ланцюг постачання пояснює, чому шкідливі залежності небезпечні навіть у легітимних проєктах.
Що робити, якщо ви запустили підозрілий тест
- 1Від’єднайте пристрій від інтернету й припиніть використовувати його для будь-чого конфіденційного.
- 2З чистого пристрою переведіть кошти в нові гаманці з абсолютно новими сід-фразами. Не використовуйте повторно жодну сід-фразу, яку будь-коли вводили чи зберігали на зараженому комп’ютері.
- 3Змініть паролі та завершіть сеанси в пошті, на біржах, у хостингу коду та хмарних акаунтах, починаючи з пошти. Замініть API-ключі та SSH-ключі.
- 4Повідомте службу безпеки роботодавця, якщо на пристрої були робочі облікові дані або код.
- 5Очистіть і переінсталюйте операційну систему, перш ніж знову користуватися комп’ютером.
- 6Повідомте про інцидент. Поскаржтеся на фальшивий профіль рекрутера платформі, а про інцидент — місцевим органам. Ви також можете повідомити про шахрайські проєкти чи домени через нашу сторінку для надсилання запиту.
Наш чек-лист що робити негайно, якщо ваш гаманець скомпрометовано докладніше описує кроки з відновлення.
Підсумок
Фальшиве тестове завдання для криптовакансії перетворює ваші власні руки на систему доставки зловмисника: щойно ви встановлюєте чи запускаєте проєкт, прихований код може викрасти все, що є на вашому комп’ютері. Ставтеся до кожного непроханого домашнього завдання як до недовіреного коду, перевіряйте роботодавця самостійно, запускайте тести лише в чистому одноразовому середовищі та зберігайте криптоключі на окремому, спеціально виділеному пристрої.
Поширені запитання
Як тестове завдання може встановити шкідливе ПЗ?
Домашнє завдання — це справжній код, який виконується на вашому комп’ютері. Зловмисники ховають шкідливий код у залежності, інсталяційному скрипті, конфігураційному файлі або обфускованому рядку проєкту. Коли ви встановлюєте залежності чи запускаєте застосунок, цей код виконується з вашими правами користувача й може викрасти дані гаманців, паролі та cookie-файли сеансів або встановити бекдор.
На кого націлені фальшиві співбесіди у криптокомпанії?
Насамперед на розробників ПЗ, особливо з досвідом у криптовалютах чи Web3, адже на їхніх комп’ютерах часто зберігаються гаманці, приватні ключі, API-ключі та доступ до корпоративних систем. Дизайнерів, ком’юніті-менеджерів та інших шукачів роботи теж атакують за допомогою фальшивих застосунків для зустрічей або документів.
Чи безпечно запускати тестове завдання у віртуальній машині?
Це набагато безпечніше, ніж запускати його на основному комп’ютері, за умови що у віртуальній машині чи хмарному середовищі немає гаманців, збережених паролів, SSH-ключів і корпоративного доступу, а після роботи ви її видалите. Це не робить вакансію справжньою; це лише обмежує шкоду, якщо код виявиться шкідливим.
Що робити, якщо я запустив підозріле тестове завдання?
Від’єднайте пристрій від мережі, а потім з іншого, чистого пристрою переведіть кошти в нові гаманці з новими сід-фразами, змініть паролі, відкличте сеанси та API-ключі й попередьте роботодавця, якщо робочі акаунти могли бути розкриті. Після цього повністю очистіть і переінсталюйте заражений комп’ютер, перш ніж знову ним користуватися.