Сейчас в ИТ-сфере довольно турбулентно и непредсказуемо: экономическая нестабильность, массовые увольнения, сокращение общего числа вакансий, повсеместное внедрение ИИ, который угрожает заменить разработчиков. Все заставляет переживать работников интеллектуальной сферы.
Предчувствие перемен подталкивает одних «прощупывать рынок» и проверять свою востребованность, а других — искать работу после сокращения. Поиск может занять несколько месяцев, год и более.
Всё это заставляет многих специалистов беспокоиться о будущем и вынуждает соискателя хвататься за любые возможности, какими бы нелепыми они не казались — от сомнительных требований в вакансиях и пониженных зарплат до бесконечных этапов найма.
Совокупность всех описанных факторов распространило на рынке огромное число скам-вакансий. Не удивительно, ведь злоумышленники всегда играли на чувствах и опасениях жертв, а текущая ситуация создает огромные возможности для подобных действий. Сегодня я хочу уделить внимание конкретному виду таких схем, которая напрямую затронула и меня.
Drainer scam
Drainer scam — изначально, это вид кражи приватных ключей крипто кошельков, который позволял мошенникам выводить все ценные активы (крипту, токены, NFT-картинки) на свои адреса. В последнее время эта схема перекочевала в вакансии — кандидату пишет якобы рекрутер и предлагает податься на вакансию. Далее могут быть разные вариации — соискателю предлагают выполнить тестовое задание, скачав и запустив проект из приватного репозитория, могут попросить присоединиться к некоему “корпоративному” приложению для созвонов, установив при этом расширение браузера с вредоносным кодом. Некоторые особо мотивированные мошенники выходят на реальный созвон и просят расшарить экран, после чего якобы хотят объяснить суть тестового задания, заставив скачать и запустить проект. К слову — такие мотивированные “рекрутеры” даже могут задавать вопросы по теме и делать все, чтобы создать вид обычного собеседования.
Ходят слухи, что очень часто в подобном замешаны работники спецслужб одной закрытой азиатской страны, с одиозным лидером, чье имя начинается на “Ким”.
На видевстречах они могут менять свою внешность при помощи ИИ дип-фейков, хотя азиатский акцент в их английском наводит на определенные мысли (по крайней мере подобный опыт был у меня). Но давайте оставим такие расследования спецслужбам.
Первые признаки обмана
Давайте смоделируем ситуацию — на одном из сайтов с вакансиями к вам в личку стучится HR с предложением о работе. В принципе, сегодня — это уже должно вызывать подозрения, ведь современный рынок перевернул игру и теперь, в большинстве случаев, кандидат сам рассылает заявки, а рекрутеры тонут в сотнях откликов, не успевая их разбирать.
Но предположим, что ваша специализация довольно редкая или приглашение пришло после отправленного отклика — такое тоже бывает.
Вы начинаете общаться, но рекрутер задает вопросы довольно поверхностно, без дополнительных уточнений и на любой ваш ответ пишет, что вы находитесь в вилке и ваш опыт обширен, что соответствует их требованиям. Это должно насторожить, ведь даже в вакансиях где вы полностью подходите под профиль, рекрутер все-равно так или иначе задаст вам множество уточняющих вопросов, так как помимо технических навыков ему будет интересно, как вы уживаетесь в коллективе, как реагируете на стресс и насколько вообще заинтересованы в позиции. Иначе опрометчивые решения могут привести к финансовым потерям в 1 — 2 зарплаты сотрудника, а с учетом затраченных усилий на адаптацию и погружения — и того больше.
Но, допустим, все ваши подозрения не оправдались и все выглядит, как обычное интервью, на что бы я обратил внимание еще?
На что стоит обратить внимание?
Проверьте рекрутера и компанию
-
История профиля LinkedIn и реальные профессиональные связи.
-
Официальный сайт, корпоративная почта и независимые упоминания компании.
-
Соответствие вакансии, общения и технического задания.
Один подозрительный признак ничего не доказывает — обращайте внимание на их совокупность.
Изучите репозиторий до запуска
Прямо в GitHub проверьте package.json, lock-файлы, .npmrc, install-скрипты и конфигурации CI/CD. Ищите подозрительные зависимости, обфусцированный код, обращения к секретам и неожиданные сетевые запросы.
Используйте ИИ
Куда же без него, верно?
Мошенники используют ИИ по полной программе — генерация MVP-проектов, внутри которого прячут вредоносный код, составление вакансий и действующих веб-сайтов, создание и заполнение профилей соцсетей и фотографий для них, уже упомянутые дипфейки для видеозвонков — весь этот поток нейрослопа работает на то, чтоб украсть у вас кровно заработанные финансовые активы.
Попросите Copilot или другой ИИ-ассистент (у меня это Cloude Code в терминале) провести статический анализ репозитория без запуска и установки зависимостей. Ищите признаки кражи данных, кейлоггеры и подозрительные скрипты.
Однажды мне прислали тестовое задание в гитхабе, в котором можно было редактировать проект не скачивая его — внутри вэб-версии IDE с рабочим Copilot. Ассистент сразу же нашел вредоносный код, после чего я попросил его удалить и результат смержить в main-ветку. Навряд ли это доставило большие проблемы владельцам, ведь коммиту легко можно сделать реверт, но было забавно.
Следует помнить, что ИИ может пропустить вредоносный код, поэтому его заключение — не гарантия безопасности.
Если скачали проект
Сначала анализируйте, потом запускайте. Даже npm install может выполнить вредоносные скрипты. Если запуск необходим, используйте изолированную среду без личных ключей, паролей и чувствительных файлов (Но все же постарайтесь этого избежать).
Приведу пример из моего личного опыта — собеседующий попросил запустить проект локально. На тот момент я уже заподозрил неладное и после скачивания при нем открыл терминал и попросил ИИ-ассистента в терминале проверить репозиторий, но сделал это на русском языке (собеседующий говорил по-английски), чтоб потенциальный мошенник не понимал, что я делаю. Естественно, после того, как мои подозрения оправдались, наш диалог завершился.
Если уже запустили!!!
Проверьте систему, смените потенциально раскрытые пароли с безопасного устройства, отзовите токены и активные сессии, изучите активность аккаунтов. Опять же ИИ — попросите его проанализировать какие вредоносные программы были установлены и удалите их.
Удаление проекта само по себе не гарантирует очистку системы.
Главное правило: не доверяйте незнакомому коду только потому, что его прислали в рамках собеседования.
Мой опыт в качестве жертвы скама
На самой заре ИИ-бума мне не посчастливилось потерять работу — стартап, в котором я работал, “не взлетел”, а организаторы пропали с оставшимися инвестициями. В тот момент я только изучал возможности встроенного в IDE ИИ-помошника и, как и многие, был довольно скептически настроен к возможностям вайб-кодинга.
По меркам обычного человека это было совсем недавно, но по меркам постоянно развивающейся ИТ-сферы — сменилась целая эпоха. Именно в этот период мне и попалась похожая вакансия — прислали тестовое задание — привязать систему оплаты криптой к проекту. Дело не сложное, но слегка насторожило, что работать нужно было с уже существующей кодовой базой. Да и собеседующий явно общался через переводчика в переписке. Но альтернатив было мало — уже тогда в мире вакансий начали появляться сплошные авто отказы, а сама задача казалась мне довольно интересной и я решил ее сделать скорее “для опыта”, который потом дороговато мне обошелся. Удивительным для меня было еще то, что представитель компании попросил прислать результаты в отдельном файле в гугл-докс, а не создать отдельную ветку в репозитории.
Через несколько дней после выполнения задания я обнаружил пропажу крипты с моего кошелька, эквивалентом примерно 2000 долларов США. Это было больно, учитывая еще и то, что я продолжал сидеть без работы.
Со временем подобных скам-вакансий стало все больше, и сегодня они одни из немногих, кому действительно интересен ваш карьерный статус 🙂
Столкнувшись с неудачным опытом, мне стало интересно, какие еще трюки могут выдумать мошенники. Поэтому иногда я прихожу на подобные собеседования, уже зная их цель. Могу даже запустить проект в виртуальном окружении или под временным пользователем, чтоб посмотреть, какой тип атаки на этот раз выберет злоумышленник(хотя это тоже не является полной гарантией безопасности). Признаюсь — мне нравится этим заниматься и благодаря этому я решился на написание данной статьи.
Сталкивались с подобными ситуациями? Поделитесь своим кейсом.
ссылка на оригинал статьи https://habr.com/ru/articles/1094498/