Разработчик Фрэнк Уайлс рассказал о попытке запустить чужой код на его ноутбуке под видом обсуждения нового проекта. По словам Уайлса, попытка не удалась.

Собеседники прислали через Dropbox папку с описанием проекта и каталогом .git, а затем попросили переключиться на отдельную ветку, чтобы заполнить соглашение о неразглашении. Уайлс проверил .git/hooks и нашёл post-checkout, скрипт, который Git запускает после переключения ветки.

По описанию Уайлса, скрипт должен был скачать программу под операционную систему жертвы, разрешить её запуск, запустить и удалить сам себя.

Проверка утверждений:

  • Фрэнк Уайлс сообщил, что ему попытались подсунуть код для запуска на ноутбуке через папку с проектом и просьбу переключить ветку Git. (подтверждено самой публикацией: доказательство; «They then shared a Dropbox folder that had several folders of Markdown files. The project spec was pretty handwavey and light on details, but fleshed out enough for the MVP they supposedly wanted. I initially missed the .git folder in that Dropbox link. When I couldn’t find a NDA or NDA template in the folders I asked for them to email it to me. They told me: We keep it in the NDA branch and just to switch to it, fill it out and return it to them before our meeting Photo by أخٌ‌في‌الله on Unsplash This is where I realized what was going on and that this wasn’t a real project. I cruised on over to the .git/hooks folder and sure enough they had all of the *.example hooks in there and a single real post-checkout hook. post-checkout hook, seriously?!?!?! No one really uses those in practice so I carefully opened it up to see what it was doing. It was using a Vercel app for command and control where it would download an OS specific binary, make it executuable, run it, and then delete itself.»)
  • Разработчик Фрэнк Уайлс рассказал о попытке запустить чужой код на его ноутбуке под видом обсуждения нового проекта. (подтверждено самой публикацией: доказательство; «TL;DR Someone targeted me in an attempt to run arbitrary code on my laptop. I suspect in an attempt to gain access to my Github account and/or other REVSYS client related access since I have a metric fuck ton of it. Be careful out there folks. They’re coming and they’re fucking sneaky! I received a pretty normal project inquiry looking to see if we might be interested and available to work on a web app project in the Ed Tech space. We do a fair bit of that work and while we’re pretty booked up, I usually follow up on these sorts of projects in case the client is able to delay the project start until we have availablity.»)
  • По словам Уайлса, попытка не удалась. (подтверждено самой публикацией: доказательство; «These assholes didn’t get me today, but I can easily see someone falling for this. Git is such a common workflow for us.»)
  • Собеседники прислали через Dropbox папку с описанием проекта и каталогом .git, а затем попросили переключиться на отдельную ветку, чтобы заполнить соглашение о неразглашении. (подтверждено самой публикацией: доказательство; «They then shared a Dropbox folder that had several folders of Markdown files. The project spec was pretty handwavey and light on details, but fleshed out enough for the MVP they supposedly wanted. I initially missed the .git folder in that Dropbox link. When I couldn’t find a NDA or NDA template in the folders I asked for them to email it to me. They told me: We keep it in the NDA branch and just to switch to it, fill it out and return it to them before our meeting»)
  • Уайлс проверил .git/hooks и нашёл post-checkout. (подтверждено самой публикацией: доказательство; «This is where I realized what was going on and that this wasn’t a real project. I cruised on over to the .git/hooks folder and sure enough they had all of the *.example hooks in there and a single real post-checkout hook.»)
  • По описанию Уайлса, скрипт должен был скачать программу под операционную систему жертвы, разрешить её запуск, запустить и удалить сам себя. (подтверждено самой публикацией: доказательство; «It was using a Vercel app for command and control where it would download an OS specific binary, make it executuable, run it, and then delete itself.»)

Первоисточники:

оценка 54,3 из 100 · тип: инцидент