Зловредный код, скрытый в собеседовании: разработчики Web3 подвергаются атаке через мошенничество с развертыванием на GitHub

Исследователи безопасности из SlowMist обнаружили сложную схему, при которой мошенники, выдающие себя за команду Web3 из Украины, используют фальшивые собеседования на работу как прикрытие для распространения скомпрометированных репозиториев кода. В недавнем инциденте разработчика попросили локально выполнить код из репозитория GitHub во время собеседования — запрос, который мог бы иметь катастрофические последствия.

Механизм атаки: что происходит за кулисами

После запуска, казалось бы, легитимный репозиторий осуществляет многоэтапную атаку. Троянский загрузчик тихо устанавливает вредоносные зависимости, превращая среду разработки жертвы в шлюз для кражи данных. Вредоносное ПО специально нацелено на:

• Данные браузерного хранилища: расширения Chrome и кеши браузера, содержащие конфиденциальные файлы настроек
• Данные кошелька: приватные ключи, seed-фразы и шаблоны мнемонических кодов, хранящиеся локально
• Токены аутентификации: данные сессий и API-ключи, которые могут дать злоумышленникам доступ к аккаунтам пользователей

После сбора вся украденная информация передается на командный и управляющий сервер злоумышленников, что дает им полный контроль над цифровыми активами и аккаунтами жертвы.

Почему эта атака эффективна

Собеседование создает ложное ощущение легитимности. Разработчики чувствуют мотивацию продемонстрировать свои навыки и доказать свою ценность потенциальному работодателю. Запрос на выполнение кода в рамках «технической оценки» позволяет злоумышленникам использовать эту психологическую динамику. Целевые — обычно опытные разработчики — именно те, кто управляет мнемоническими фразами и держит значительные запасы криптовалют.

Ключевые меры защиты

Никогда не выполняйте код из неподтвержденных источников, независимо от контекста или социального давления. Перед запуском любого репозитория:

• Самостоятельно проверьте официальный сайт организации и профиль в LinkedIn
• Запрашивайте собеседования только через проверенные каналы найма
• Проведите локальный аудит кода без его выполнения
• Используйте изолированные виртуальные машины для тестирования незнакомого кода
• Строго разделяйте среду разработки и кошельки, содержащие конфиденциальные ключи

Этот инцидент демонстрирует, как социальная инженерия в сочетании с технической эксплуатацией остается одним из самых эффективных способов атаки в Web3. Осторожность и выполнение этих шагов по проверке помогут избежать серьезных потерь.