Инженер David Dodda получил сообщение в Linkedin от Chief Blockchain Officer криптобиржи Symfa. Компания выглядела реальной, тысячи коннектов, сайт, запущенные проекты.
“Мы разрабатываем BestCity - платформу, призванную трансформировать рабочие процессы в сфере недвижимости. Возможна частичная занятость. Гибкая структура.”
Все выглядело правдиво. Назначили встречу, заранее отправили тестовое задание.
За 30 минут до планируемой встречи кандидат решил покопаться в проекте. Типичный React/Node проект, все было аккуратно, гит репо имел документацию, докерфайл и тд.
До того запустить
npm start, кандидат попросил AI проверить код, все ли нормально с проектом. AI выявил кусок кода, который скачивал дополнительную зависимость при помощи обсуфицированного url (приложил картинку). Зависимость имела малварь, которая крадет все - криптокошельки, файлы, пароли, все, к чему может получить доступ с локальной машины.
Злоумышленники подняли всю инфраструктуру для взлома и вектор атаки был направлен на инженеров.
Всего было идельно замаскировано - правдивый LinkedIn, реальная кодовая база, стандартные интервью процессы
🤷Что это значит, Тимур?
Не ходите на интервью - это опасно
Шучу, будьте бдительны, запуская чужой код на своей машине. Дополнительно, используйте контейнеры, изолируйте зловредный код
Используйте AI для проверки кода
➡️Ссылка на статью
https://blog.daviddodda.com/how-i-almost-got-hacked-by-a-job-interview