感觉这个招聘来盗资产的

[evada]

https://v2ex.com/t/1147530

我提交申请后，让我用 https://github.com/stellarhatchmilky/Front-End-Test-Boilerplate 这个项目模板开发一个页面。需求看起来也挺正常的，但是我在 github 打开这个仓库有个 png 的内容居然是代码，我有点怀疑代码内容是来盗本地私钥来盗币的。

https://github.com/stellarhatchmilky/Front-End-Test-Boilerplate/blob/main/src/assets/logo.png

这个 png 里面是内容，然后 https://github.com/stellarhatchmilky/Front-End-Test-Boilerplate/blob/33c53464413842c1f92dc8635dd6b318393a296d/config-overrides.js#L7 这里执行了这个 png 里面的代码，虽然代码内容我看不太懂，这个操作就很危险。

有懂行的哥们帮忙看一下，如果没问题让 @Livid 把这个账号 ban 了

顺便说一下，千万不要把代码下载下来执行，很危险！！！！

https://github.com/yanguoyu/Front-End-Test-Boilerplate
源仓库被举报 github 账号被删除了，我 fork 了一份供大家参观。1 天后删除仓库。
再次说明，不下载，不运行。

我的参考仓库也已经删除，原理可以看 #7 和 #42

[Livid]

谢谢，这个账号已经被彻底 ban 。

[DeepUse]

居然被灰产盯上了那 12 个单词。

[JoeJoeJoe]

很机智, 很明显是恶意代码, 仓库直接举报了

[Shelios]

啊，社会真险恶啊😲

[yhxx]

确实是恶意代码

可以向这个地址 http://93.127.134.237:3000/keys 发请求获取恶意代码在本地执行

[79lawyer]

哇。。。感觉我肯定不会看的这么细，好细心啊

[gaoryrt]

喂给 cha ，说是个木马来着
https://chatgpt.com/share/68832eaa-ca20-8005-bda3-d85dda78f220

[dushixiang]

标准的 c2 行为，会下载恶意文件，开机自启动。

[evada]

@gaoryrt 这方面 chatgpt 还是遥遥领先于人啊。

[magicdawn]

真恶心啊

[chaoooooos]

我擦 见识到了

[chengxy]

搞这些还不如让微信自动执行呢🐶

[cat]

感谢 OP 的细心，认识了现在的骗子手段。

[jbgz]

https://github.com/astraea-dot-sh/0x50d4.github.io/blob/main/_posts/2024-04-03-python-malware.md 熟悉的招聘套路和这个差不多，人心险恶

[Tink]

我靠，防不胜防

[manami]

可怕，是我肯定中招了，防不胜防

[K332]

这种下指定模板的就算了吧。op 没有无脑 clone 下来也是很谨慎了

[coolcoffee]

尝试把代码丢给 Claude 分析，结果就分析到了一半说有恶意行为赶紧删了，拒绝进行更进一步的分析也是醉了🤣

[evada]

@coolcoffee 哈哈，很谨慎

[eldenboy]

已经举报了，刚举报完一看项目已经被 github 封掉了

[evada]

@eldenboy 我 fork 了一份，供大家参观，再次说明，不下载，不运行。

https://github.com/yanguoyu/Front-End-Test-Boilerplate

[rionfox]

web3 黑暗森林，名不虚传😂

[fujizx]

项目不见了，好奇 op 是怎么发现 png 是代码的

[evada]

@fujizx 我看有 2 个 png ，准备在网页预览下看有什么不同，网页上打开就是一段代码。

[fujizx]

@evada 好细！

[94]

还是落后了。我还以为是来白嫖面试的，没想到是盗密钥的。
不过真能信会上这个当的，玩币也是韭菜吧……

[94]

@evada #21 ，得在 README 里面说明一下情况吧。别到时候有人上当给你举报了

[BeforeTooLate]

@evada 这 png 直接不可以预览打开就说代码，如果本身 png 可以正常打开预览，代码是嵌入到原始文件里面岂不是更加无法发现

[evada]

@dfkjgklfdjg 你说的很有道理，我加上了

[xuejianxianzun]

删库还挺快的

[BeforeTooLate]

@fujizx png 无法打开图片预览，github 上打开就是代码，如果 png 打开还是图片估计 op 就不会发现了。

[evada]

@BeforeTooLate 是的，这个事情以后要多个心眼了，如果是在本身的 png 里面嵌入一段代码更难发现。

[nuansediao]

该说不说，op 的安全意识是真的强~~估计换我凉凉了。

[qwerty01446]

@evada #24 好强的观察力

[fujizx]

@BeforeTooLate 别说图片了。。直接在代码里投毒我都不一定能发现，一个项目那么多文件。。

[brave6]

看到了，执行在 config-overrides.js 还把 fs 包装成 jmpparser 。https://github.com/yanguoyu/Front-End-Test-Boilerplate/blob/4365ae670ea83e5ef0e4661b5f6847827371b105/config-overrides.js#L3-L7

[jiujiutang]

很细👍

[sillydaddy]

楼主我记得你，是空投 SOL 给大家发福利的，是吧？你这是被人盯上了，不怕贼偷，就怕贼惦记。以后得小心了。

还有 @carson8899 这个有 40 个 SOL 的老板。

[NMmmm]

啊，哥们这怎么定位的。你这太细了吧

[zgzhang]

一个安全从业人员都觉得厉害，这个投递的姿势还是非常有针对性的，以前的思路还局限在钓鱼邮件，脉脉钓鱼 HR ，这种针对程序员的，迷惑性还真的是大，op 也是细致+运气好，如果这个人活再细致点，比如代码不写在本地的 logo 文件中，而是使用投毒的供应链包，被发现的概率更低。只能说防不胜防

[buffzty]

logo.png 会请求 http://93.127.134.237:3000/j/marstech2 这个网址下载一个 gjs_marstech2.js 文件来执行
刚刚打了一下网站关了 js 文件我上传到 ubuntu 了 https://paste.ubuntu.com/p/3X48XsXtGB/
给个思路 有空的自己去弄它.这种混淆的不用去破解 直接在虚拟机运行, http 中间人看请求.ebpf hook 一下 读,写,删文件的点

[zgzhang]

[evada]

@zgzhang 是的，运气也比较好，刚好看了一眼/
@NMmmm 运气成分比较大

[JoeDH]

估计已经有人中招了，好阴险啊 这狗比

[tonytonychopper]

我差点也中招了，找不到仓库然后搜到了这个帖子……不过话说回来，这种恶意行为要怎么防范呢？

[Vaspike]

真开眼了, 前所未闻的方式

[zhouchijian]

妈的，项目我跑起来了，但是没搞过加密货币，应该没事吧。

[NOspy]

不得不说，发布的这个招聘需求去招人可能还确实比较容易招到加密货币持有者

[evada]

@tonytonychopper 有这一次之后，以后不确定来源的项目运行都要小心了，就算是装包也要小心，因为很有可能写到 post install 里面

[evada]

@zhouchijian 看起来应该没事，不是病毒，只是扫描文件。不过最好看下自启动里面有没有，不然以后搞了加密货币被盗就不好了。

[zgzhang]

@zhouchijian 劝你更新所有密码，他的代码里明显存在有收集各种浏览器数据的行为

[chen27]

这是真学到东西了。警惕大家：不明项目一律沙盒运行，千万别直接在宿主机上跑

[jwesthaverr]

学到了，以前的我像个新兵蛋子，OP 这一个帖子提升了我不知多少安全意识，感谢一下

[qbmiller]

前几天漫雾发的一个，也是类似。
威胁情报：Solana 开源机器人盗币分析 https://mp.weixin.qq.com/s/p56MnHi7aptdOVEvi742yQ

[SnaHou]

防不胜防

[Knuth]

我艹

[changwei]

任何不正规 github orgs 里面的的仓库以及来路不明代码都不要随便运行，也不要执行 npm install （ postinstall 里面可能也有危险脚本）
听说新版本 node.js 已经在逐渐开始严格建立安全策略限制 nodejs 脚本访问硬盘范围了

[LaureatePoet]

这可能是 APT 组织 Lazarus 的 Contagious Interview 活动。近几年，朝鲜背景的针对 web3 的攻击活动特别多，比如通过 Linkedin 钓鱼面试者，执行某个 GitHub 仓库 然后中招。类似的活动很多，可以参考 https://blog.bitmex.com/bitmex-busts-lazarus-group/
https://unit42.paloaltonetworks.com/two-campaigns-by-north-korea-bad-actors-target-job-hunters/

没想到还会来 V 站发帖。

[LaureatePoet]

具体归因还是得仔细分析，大概看了 op 的描述很像 Lazarus 组织的 BeaverTail 的攻击武器

[Tathagatagarbha]

有木有大佬存 fork 啦，来晚了想研究一下～

[shenqi]

又看到读取了那些文件吗？

[evada]

@shenqi 42 楼里面写了读取了哪些

[darson]

感觉玩加密货币必须严格物理隔离，每个操作层面都会被算计。

[loliyu]

用了下 k2 解释下 感觉也不错
https://www.kimi.com/share/d241bgm0ftluec9i6r2g

[arigatuo]

不管啥招聘搞虚拟机隔离一下子比较安全

[morphyhu]

竟然对程序员下手了, 防不胜防啊.

[zhangxiangliang]

如果这事发生在我身上，我估计早就中招了。我的思维路径会非常简单：接到招聘邀请 -> 对方发来代码 -> git clone 下来开干。整个过程里压根就不会有“这会不会是个坑？”这个念头。满脑子想的都是怎么把问题解决掉。看来我们这种技术思维，在复杂的社会套路面前还是太“裸奔”了，感谢提醒，以后得多个心眼。

[Terry05]

着实可恶

[Naco]

还真是开了眼了，居然还能通过这种方式来下套

[BenjaminSu]

所以还是得安装杀毒软件。
刚复制，保存 js 内容到本地磁盘，直接爆出病毒了

[3W4ter]

@buffzty 感谢分享的 js 文件，不过我还是想获取这个样本的 MD5 ，不知道楼主是否还存有那个仓库的样本？如果还在的话，想交流一下，再次感谢

[3W4ter]

@zhouchijian 浏览器没有安装钱包插件 没有事 不过样本有删吗 如果还在 是否方便分享一下？谢谢

[zhouchijian]

@3W4ter 没有了，当时连夜删掉了。

[evada]

@3W4ter 没有，当时我都没有 clone 下来

[darkjoker]

刚我面试也遇到了，https://github.com/MorpheusDX-Network/property-rental 大佬们帮忙看看有没有这个问题，前面的例子都删掉看不到