Mã độc trong bài kiểm tra lập trình của các công việc crypto giả
Cách mã độc trong bài kiểm tra lập trình của công việc crypto giả hoạt động, các dấu hiệu cảnh báo trong tin nhắn nhà tuyển dụng và repo bài tập, cách chạy bài test an toàn và việc cần làm nếu bị nhiễm.
Bài kiểm tra lập trình của các công việc crypto giả là một kiểu tấn công bằng mã độc, trong đó một nhà tuyển dụng hoặc công ty giả gửi cho ứng viên một dự án làm tại nhà hoặc một nhiệm vụ kỹ thuật chứa mã độc được che giấu; khi ứng viên cài đặt hoặc chạy nó, đoạn mã sẽ đánh cắp ví, mật khẩu, thông tin đăng nhập hoặc cài một cửa hậu. Công việc, công ty và thường cả người phỏng vấn đều là bịa đặt — bài kiểm tra lập trình chính là cơ chế phát tán.
Lập trình viên là mục tiêu hấp dẫn vì máy của họ thường chứa ví crypto, khóa riêng tư, thông tin đăng nhập đám mây và quyền truy cập vào hệ thống của công ty. Các nhà nghiên cứu bảo mật đã công khai liên hệ một số chiến dịch như vậy với các nhóm có nguồn lực lớn và liên quan đến nhà nước, vì thế mồi nhử có thể trông rất chuyên nghiệp. Hướng dẫn này giải thích cách cuộc tấn công diễn ra, một phiên bản thực tế trông như thế nào và cách tự bảo vệ.
Cách cuộc tấn công diễn ra, từng bước
- 1Liên hệ đầu tiên. Một nhà tuyển dụng tiếp cận bạn qua mạng nghề nghiệp, ứng dụng nhắn tin hoặc trang việc làm với một vị trí hấp dẫn tại một startup crypto — thường là làm từ xa, lương cao và gấp.
- 2Xây dựng uy tín. Bạn nhận được bản mô tả công việc chỉn chu, website công ty và đôi khi một cuộc gọi ngắn với một “quản lý tuyển dụng” thân thiện. Hồ sơ có thể bị đánh cắp hoặc do AI tạo ra.
- 3Bài kiểm tra. Bạn nhận một đường link tới repository mã nguồn hoặc một tệp ZIP và được yêu cầu sửa một lỗi, thêm một tính năng hoặc “chỉ cần chạy và xem xét kiến trúc”.
- 4Thực thi. Phần độc hại chạy khi bạn cài dependency hoặc khởi chạy ứng dụng. Đó có thể là một script post-install, một package bị chỉnh sửa hoặc một dòng trong tệp cấu hình tải về và thực thi payload giai đoạn hai.
- 5Đánh cắp. Mã độc tìm kiếm tiện ích ví trên trình duyệt, tệp ví, mật khẩu đã lưu, cookie, khóa SSH và tệp môi trường, gửi chúng cho kẻ tấn công và có thể cài công cụ truy cập từ xa.
- 6Rút tiền. Tiền bị rút sạch khỏi ví của bạn, đôi khi vài ngày sau, và thông tin đăng nhập công việc bị đánh cắp có thể được dùng để tấn công công ty hiện tại của bạn.
Một biến thể bỏ qua repository: người phỏng vấn nói phần mềm họp của họ bị lỗi và gửi link tới một ứng dụng gọi video hoặc driver “đã sửa”, mà thực chất chính là mã độc. Bài viết của chúng tôi Mã độc cập nhật trình duyệt giả và captcha nhắm vào người dùng crypto phân tích kỹ hơn điểm này.
Một ví dụ tổng hợp
Dưới đây là một tình huống giả định kết hợp các mô thức phổ biến, không phải một vụ việc có thật.
Hãy tưởng tượng một lập trình viên backend tên Sam được nhà tuyển dụng liên hệ cho vị trí “kỹ sư blockchain cấp cao” tại một startup DeFi mới. Sau một cuộc trò chuyện dễ chịu, Sam nhận được một repository riêng cho một “bảng điều khiển staking” và được yêu cầu sửa một bài test đang lỗi trong vòng 24 giờ. Sam clone nó về chiếc laptop dùng hằng ngày và chạy lệnh cài đặt. Tệp package chứa một script post-install trông giống một bước build nhưng lại tải về một payload ẩn. Các bài test chạy ổn, Sam gửi bản sửa và nhà tuyển dụng im bặt. Một tuần sau, ví trình duyệt của Sam bị rút sạch và tài khoản đám mây ở công ty anh xuất hiện các lần đăng nhập từ nước ngoài.
Không có gì trong câu chuyện đó đòi hỏi Sam phải “bấm vào một đường link xấu”. Chỉ cần chạy mã là đủ. Để tìm hiểu sâu hơn, xem Kẻ lừa đảo giả danh cơ quan quản lý và cảnh sát trong lĩnh vực crypto.
Danh sách dấu hiệu cảnh báo
| Dấu hiệu cảnh báo | Vì sao quan trọng |
|---|---|
| Lời mời không mời mà đến với mức lương cao bất thường và sự gấp gáp | Áp lực làm giảm sự kiểm tra cẩn thận |
| Nhà tuyển dụng hoặc công ty có hiện diện trực tuyến mỏng manh, mới tạo hoặc không nhất quán | Danh tính giả rất rẻ để tạo ra |
| Bài test phải chạy trên máy, nhanh chóng, với “npm install” hoặc lệnh tương tự trước tiên | Mục tiêu là thực thi, không phải bài review mã của bạn |
| Repository có ít commit, chỉ một người đóng góp hoặc có tệp bị làm rối | Mã độc thường được giấu trong các dòng đã rút gọn hoặc mã hóa |
| Script install, pre-start hoặc post-install bất thường | Chúng chạy tự động |
| Yêu cầu cài phần mềm họp, đánh giá hoặc driver đặc biệt | Một phương thức phát tán mã độc kinh điển |
| Người phỏng vấn né tránh video, hoặc tên miền email của “công ty” là dịch vụ miễn phí | Công ty thật thường dùng tên miền riêng |
Hướng dẫn của chúng tôi về việc làm crypto giả và lừa đảo nhiệm vụ đề cập các hình thức gian lận khác liên quan đến việc làm, còn bài lừa đảo crypto trên LinkedIn giải thích cách mạo danh nhà tuyển dụng hoạt động trên các mạng nghề nghiệp. Xem thêm: Lừa đảo crypto giả danh từ thiện và quyên góp cứu trợ thảm họa.
Cách tự bảo vệ
Trước khi chạy bất cứ thứ gì
- Xác minh công ty một cách độc lập. Tự tìm website chính thức của công ty, kiểm tra xem vị trí đó có được đăng ở đó không và liên hệ qua một kênh được công bố. Xem cách xác minh một website là trang chính thức của dự án.
- Đọc trước khi chạy. Mở các tệp package hoặc build và tìm script cài đặt, dependency lạ và các chuỗi mã hóa dài.
- Tắt script tự động nếu trình quản lý package của bạn cho phép, để dependency không thể chạy mã khi cài đặt mà bạn không hay biết.
Cô lập môi trường
- Dùng một máy ảo dùng một lần, container hoặc môi trường phát triển trên đám mây.
- Đảm bảo nó không có ví, cụm từ khôi phục, trình quản lý mật khẩu, khóa SSH, thông tin đăng nhập đám mây hay phiên trình duyệt đang đăng nhập.
- Xóa nó khi bài test hoàn tất.
Tách biệt công việc và tiền bạc
Giữ crypto trong ví cứng và tránh lưu cụm từ khôi phục hoặc khóa riêng tư trên bất kỳ máy tính nào bạn dùng để phát triển. Một thiết bị riêng cho crypto, tách khỏi thiết bị bạn dùng để thử nghiệm, sẽ hạn chế mạnh những gì một lần nhiễm có thể chạm tới. Hướng dẫn của chúng tôi về tấn công chuỗi cung ứng giải thích vì sao dependency độc hại vẫn nguy hiểm ngay cả trong các dự án hợp pháp.
Cần làm gì nếu bạn đã chạy một bài test đáng ngờ
- 1Ngắt kết nối thiết bị khỏi internet và ngừng dùng nó cho mọi việc nhạy cảm.
- 2Từ một thiết bị sạch, chuyển tiền sang ví mới với cụm từ khôi phục hoàn toàn mới. Đừng dùng lại bất kỳ cụm từ khôi phục nào từng được gõ hoặc lưu trên máy bị nhiễm.
- 3Đổi mật khẩu và thu hồi phiên cho email, sàn giao dịch, dịch vụ lưu trữ mã và tài khoản đám mây, bắt đầu từ email. Thay mới khóa API và khóa SSH.
- 4Báo cho đội bảo mật của công ty nếu thiết bị có chứa thông tin đăng nhập hoặc mã nguồn công việc.
- 5Xóa sạch và cài đặt lại hệ điều hành trước khi dùng lại máy tính.
- 6Báo cáo. Báo cáo hồ sơ nhà tuyển dụng giả với nền tảng và trình báo sự việc với cơ quan chức năng địa phương. Bạn cũng có thể báo cáo các dự án hoặc tên miền lừa đảo qua trang gửi yêu cầu của chúng tôi.
Danh sách kiểm tra việc cần làm ngay khi ví của bạn bị xâm nhập của chúng tôi trình bày chi tiết hơn các bước khôi phục.
Kết luận
Một bài kiểm tra lập trình giả cho công việc crypto biến chính đôi tay bạn thành hệ thống phát tán của kẻ tấn công: ngay khi bạn cài đặt hoặc chạy dự án, mã ẩn có thể đánh cắp mọi thứ trên máy bạn. Hãy coi mọi bài tập không mời mà đến là mã không đáng tin, xác minh nhà tuyển dụng một cách độc lập, chỉ chạy bài test trong môi trường sạch dùng một lần, và giữ khóa crypto trên một thiết bị riêng biệt, chuyên dụng.
Câu hỏi thường gặp
Làm sao một bài kiểm tra lập trình có thể cài mã độc?
Một dự án làm tại nhà là mã thật chạy trên máy tính của bạn. Kẻ tấn công giấu mã độc trong một dependency, một script cài đặt, một tệp cấu hình hoặc một dòng bị làm rối trong dự án. Khi bạn cài dependency hoặc khởi chạy ứng dụng, đoạn mã đó chạy với quyền người dùng của bạn và có thể đánh cắp dữ liệu ví, mật khẩu, cookie phiên hoặc cài một cửa hậu.
Ai là mục tiêu của các buổi phỏng vấn việc làm crypto giả?
Chủ yếu là lập trình viên phần mềm, đặc biệt là những người có kinh nghiệm về crypto hoặc Web3, vì máy tính của họ thường chứa ví, khóa riêng tư, khóa API và quyền truy cập vào hệ thống công ty. Nhà thiết kế, quản lý cộng đồng và những người tìm việc khác cũng bị nhắm tới bằng ứng dụng họp hoặc tài liệu giả.
Chạy bài kiểm tra lập trình trong máy ảo có an toàn không?
An toàn hơn nhiều so với chạy trên máy tính chính, miễn là máy ảo hoặc không gian làm việc đám mây đó không có ví, mật khẩu đã lưu, khóa SSH hay quyền truy cập công ty, và bạn xóa nó sau khi dùng. Điều đó không làm lời mời làm việc trở nên hợp pháp; nó chỉ hạn chế thiệt hại nếu mã là độc hại.
Tôi nên làm gì nếu đã chạy một bài kiểm tra lập trình đáng ngờ?
Ngắt kết nối thiết bị, rồi từ một thiết bị sạch khác chuyển tiền sang ví mới với cụm từ khôi phục mới, đổi mật khẩu, thu hồi phiên và khóa API, đồng thời cảnh báo công ty nếu tài khoản công việc bị lộ. Sau đó xóa sạch và cài đặt lại máy tính bị nhiễm trước khi dùng lại.