رموز خبيثة مخفية في مقابلة العمل: استهداف مطوري Web3 من خلال عملية احتيال نشر على GitHub

كشف باحثو الأمن في SlowMist عن خطة متطورة يستخدم فيها المحتالون فريق Web3 مقره في أوكرانيا كغطاء لانتشار مستودعات الشفرة المخترقة من خلال مقابلات عمل مزيفة. في حادثة حديثة، طُلب من مطور تنفيذ شفرة محلية من مستودع GitHub خلال عملية المقابلة—وهو طلب كان يمكن أن يسبب كارثة.

آلية الهجوم: ما يحدث وراء الكواليس

عند التنفيذ، ينشر المستودع المبدئي المظهر هجومًا متعدد المراحل. يقوم الحمولة الخلفية (Backdoor) بشكل صامت بتثبيت تبعيات خبيثة، مما يحول بيئة التطوير الخاصة بالضحية إلى بوابة لسرقة البيانات. يستهدف البرمجيات الخبيثة بشكل خاص:

• بيانات تخزين المتصفح: ملحقات Chrome وذاكرات التخزين المؤقت للمتصفح التي تحتوي على ملفات تكوين حساسة
• بيانات المحفظة: المفاتيح الخاصة، عبارات البذور، وأنماط منشئ الميمونيك المخزنة محليًا
• رموز المصادقة: بيانات الجلسة وبيانات API التي قد تمنح المهاجمين الوصول إلى حسابات المستخدمين

بمجرد جمعها، يتم إرسال جميع المعلومات المسروقة إلى خادم القيادة والسيطرة الخاص بالمهاجم، مما يمنح الجهات السيئة السيطرة الكاملة على الأصول الرقمية والحسابات الخاصة بالضحية.

لماذا ينجح هذا الهجوم

تخلق مقابلة التوظيف إحساسًا زائفًا بالشرعية. يشعر المطورون بالحافز لإظهار قدراتهم وإثبات قيمتهم لصاحب عمل محتمل. من خلال طلب تنفيذ الشفرة كجزء من “تقييم تقني”، يستغل المهاجمون هذا الديناميكية النفسية. عادةً ما يكون المستهدفون مطورين ذوي خبرة—أي الأشخاص الذين يديرون عبارات الميمونيك ويملكون حيازات كبيرة من العملات الرقمية.

تدابير دفاعية حاسمة

لا تنفذ أبدًا الشفرة من مصادر غير موثوقة، بغض النظر عن السياق أو الضغط الاجتماعي. قبل تشغيل أي مستودع:

• تحقق من الموقع الرسمي للشركة وملفها على LinkedIn بشكل مستقل
• اطلب المقابلات من خلال قنوات التوظيف المعتمدة فقط
• قم بمراجعة الشفرة محليًا دون تنفيذها أولاً
• استخدم آلات افتراضية معزولة لاختبار الشفرة غير المألوفة
• حافظ على فصل صارم بين بيئة التطوير الخاصة بك والمحافظ التي تخزن المفاتيح الحساسة

تُظهر هذه الحادثة كيف يظل الهندسة الاجتماعية مع الاستغلال التقني أحد أكثر طرق الهجوم فعالية في Web3. البقاء حذرًا وتنفيذ خطوات التحقق هذه يمكن أن يمنع خسائر كارثية.