Фейковые вакансии и тестовые задания
Урок 12 из 16 курса «Кибербезопасность с нуля: курс с нуля». Бесплатно, с анимациями и тестом.
Тестовое задание на $308 млн
В мае 2024 года у японской биржи DMM Bitcoin увели $308 млн. ФБР рассказало, как это началось. Хакер под видом рекрутера в LinkedIn написал сотруднику компании Ginco, которая делала для биржи систему кошельков. Прислал «тестовое задание» — скрипт на Python. Сотрудник его запустил, и взломщики получили доступ к системам Ginco, а через них — к переводам DMM. ФБР связало атаку с северокорейской группой TraderTraitor.
Это поток, а не случай
Исследователи Palo Alto Networks с 2023 года пишут о кампании, которую назвали Contagious Interview. Хакеры, которых связывают с Северной Кореей, зовут разработчиков на «собеседования» и дают проект, который надо скачать и запустить. Внутри стилер, который ищет пароли и криптокошельки. Дэн — джун и ищет работу, то есть он ровно та цель, на которую это рассчитано. Запомни пять флагов на картинке.
Песочница для чужого кода
Отказываться от всех тестовых не нужно. Нужно запускать чужой код там, где ему нечего украсть. Это облачная среда разработки, например GitHub Codespaces, или виртуальная машина без твоих аккаунтов. Помни, что даже npm install или pip install уже выполняют скрипты автора пакета. Поэтому «я только установил зависимости» — тоже запуск.
Если ты не программист
Для всех остальных есть своя версия: «оплачиваемые задания». Пишут в мессенджер, предлагают лайкать видео или оценивать товары. Первые дни честно платят по несколько долларов, чтобы ты поверил. Потом просят пополнить счёт, обычно криптой, чтобы открыть задания «подороже». А в конце для вывода нужно внести ещё. Американская FTC отдельно предупреждала об этой схеме. Правило одно: работа, за которую ты платишь, — не работа.
Проверь себя
- «Рекрутер» прислал Дэну тестовое: склонировать репозиторий и запустить npm install && npm start. Как поступить?
Правильный ответ: Запустить только в облачной среде или виртуальной машине. В песочнице нет паролей, сессий и кошелька. Даже если внутри стилер, ему нечего забрать. - На видеособеседовании Дэну говорят: «Камера не работает, вставь вот эту команду в терминал». Что это?
Правильный ответ: Попытка заражения: настоящий рекрутер так не делает. Команда в терминале может скачать и запустить что угодно. Кнопки в браузере для камеры хватит. - Подруге Дэна два дня платили за лайки, а теперь просят внести $100, чтобы открыть задания подороже. Что ей ответить?
Правильный ответ: Не платить и выйти: это схема «оплачиваемых заданий». Первые выплаты — приманка. Дальше деньги только уходят.