Хакеры КНДР ломают айтишников через тестовые задания 🎹

Северная Корея снова вышла на охоту за кошельками разработчиков. Группировка Lazarus притворяется HR-менеджерами из крипто-стартапов и рассылает заманчивые вакансии на LinkedIn, Reddit и Facebook. Чтобы получить работу мечты, нужно выполнить безобидное тестовое задание, просто запустить, пофиксить баг и прислать пул-реквест. Но вместе с проектом к вам на компьютер приезжает не оффер, а троян удаленного доступа. Такой вот оффер от Ким Чен Ына.

Кстати, сам код в репозитории на GitHub выглядит кристально чистым, а вредонос прячется в зависимостях (npm или PyPI), которые подгружаются при сборке проекта. Хакеры создали почти 200 фейковых библиотек с названиями типа bigmathutils или клонов популярных пакетов вроде graphlib. Вы делаете npm install, и ваш ноутбук превращается в шпионский терминал Пхеньяна.

Так что если рекрутер с пустой аватаркой предлагает вам пофиксить баг в революционном блокчейн-проекте, лучше проверьте package.json. Возможно, вы устраиваетесь на работу не в стартап, а в северокорейскую армию ботов 🫡