Зловмисний код прихований у співбесіді: цільова атака на розробників Web3 через шахрайство з розгортанням на GitHub

Дослідники з безпеки в SlowMist виявили складну схему, коли шахраї, що видають себе за команду Web3 з України, використовують фальшиві співбесіди для поширення скомпрометованих репозиторіїв коду. У недавньому випадку розробнику запропонували локально виконати код із репозиторію GitHub під час співбесіди — що могло б мати катастрофічні наслідки.

Механізм атаки: що відбувається за лаштунками

Після запуску, здавалося б, легітимний репозиторій запускає багатоступеневу атаку. Шкідливий бекдор безшумно встановлює зловмисні залежності, перетворюючи середовище розробки жертви на шлюз для крадіжки даних. Вірусна програма цілеспрямовано на:

• Дані браузерного сховища: розширення Chrome та кеші браузера, що містять чутливі конфігураційні файли
• Облікові дані гаманця: приватні ключі, фрази відновлення та мнемонічні шаблони, збережені локально
• Токени автентифікації: дані сесій та API-ключі, що можуть надати зловмисникам доступ до облікових записів користувачів

Зібрані дані потім передаються на командно-контрольний сервер зловмисників, що дає їм повний контроль над цифровими активами та обліковими записами жертви.

Чому ця атака ефективна

Співбесіда створює ілюзію легітимності. Розробники прагнуть продемонструвати свої навички та довести свою цінність потенційному роботодавцю. Запит на виконання коду в рамках «технічної оцінки» дозволяє зловмисникам використати цю психологічну динаміку. Цільова аудиторія — досвідчені розробники, саме ті, хто керує мнемонічними фразами та має значні криптовалютні активи.

Ключові заходи захисту

Ніколи не виконуйте код із неперевірених джерел, незалежно від контексту чи соціального тиску. Перед запуском будь-якого репозиторію:

• Перевірте офіційний сайт організації та профіль у LinkedIn самостійно
• Запитуйте співбесіди лише через встановлені канали рекрутингу
• Аналізуйте код локально без його запуску
• Використовуйте ізольовані віртуальні машини для тестування незнайомого коду
• Дотримуйтеся суворої ізоляції між середовищем розробки та гаманцями з чутливими ключами

Цей інцидент ілюструє, що соціальна інженерія у поєднанні з технічною експлуатацією залишається одним із найефективніших векторів атак у Web3. Обережність і дотримання цих кроків перевірки допоможуть уникнути руйнівних втрат.