Mã độc ẩn trong phỏng vấn xin việc: Các nhà phát triển Web3 bị tấn công qua trò lừa đảo triển khai trên GitHub

Các nhà nghiên cứu an ninh tại SlowMist đã phát hiện ra một âm mưu tinh vi trong đó các kẻ lừa đảo giả danh một nhóm Web3 có trụ sở tại Ukraine sử dụng các cuộc phỏng vấn xin việc giả để phân phối các kho mã nguồn bị xâm phạm. Trong một vụ việc gần đây, một nhà phát triển đã bị yêu cầu chạy mã từ một kho GitHub tại chỗ trong quá trình phỏng vấn—một yêu cầu có thể đã gây ra thảm họa.

Cơ chế tấn công: Những gì xảy ra phía sau hậu trường

Khi thực thi, kho mã nguồn có vẻ hợp pháp này sẽ triển khai một cuộc tấn công nhiều giai đoạn. Payload cửa hậu âm thầm cài đặt các phụ thuộc độc hại, biến môi trường phát triển của nạn nhân thành một cổng để trộm dữ liệu. Phần mềm độc hại đặc biệt nhắm vào:

• Dữ liệu lưu trữ trình duyệt: Các tiện ích mở rộng Chrome và bộ nhớ cache trình duyệt chứa các tệp cấu hình nhạy cảm
• Thông tin ví: Các khoá riêng, cụm từ khởi tạo, và mẫu tạo mnemonic lưu trữ cục bộ
• Mã thông báo xác thực: Dữ liệu phiên và thông tin API có thể cho phép kẻ tấn công truy cập vào các tài khoản người dùng

Sau khi thu thập, tất cả thông tin bị đánh cắp sẽ được gửi ra máy chủ điều khiển của kẻ tấn công, cho phép các đối tượng xấu kiểm soát hoàn toàn các tài sản kỹ thuật số và tài khoản của nạn nhân.

Tại sao cuộc tấn công này lại hiệu quả

Cuộc phỏng vấn tuyển dụng tạo ra cảm giác giả mạo về tính hợp pháp. Các nhà phát triển cảm thấy có động lực để thể hiện khả năng và chứng minh giá trị của mình với nhà tuyển dụng tiềm năng. Bằng cách yêu cầu chạy mã như một phần của “đánh giá kỹ thuật,” kẻ tấn công lợi dụng tâm lý này. Các mục tiêu thường là các nhà phát triển có kinh nghiệm—chính là những người quản lý các cụm từ mnemonic và nắm giữ lượng tiền điện tử đáng kể.

Các biện pháp phòng thủ quan trọng

Không bao giờ chạy mã từ các nguồn chưa xác minh, bất kể bối cảnh hoặc áp lực xã hội. Trước khi chạy bất kỳ kho mã nguồn nào:

• Xác minh trang web chính thức của tổ chức và hồ sơ LinkedIn một cách độc lập
• Chỉ yêu cầu phỏng vấn qua các kênh tuyển dụng đã thiết lập
• Kiểm tra mã nguồn cục bộ mà không chạy nó trước
• Sử dụng máy ảo cách ly để thử nghiệm mã lạ
• Giữ sự phân tách nghiêm ngặt giữa môi trường phát triển và ví lưu trữ các khoá nhạy cảm

Vụ việc này minh chứng cho việc kỹ thuật xã hội kết hợp với khai thác kỹ thuật vẫn là một trong những phương thức tấn công hiệu quả nhất trong Web3. Cẩn trọng và thực hiện các bước xác minh này có thể ngăn chặn những tổn thất thảm khốc.