Новий вигляд скаму на співбесідах. Будьте обережні!

Вітаю. З вами Артур! І сьогодні я читнув на LinkedIn пост який вартує уваги — оригінальний пост тут.

У чому суть: хлопцю надіслали тестове завдання — треба було запустити сервер і виконати певну задачу. При запуску сервер не показував логів. Він помітив, що один модуль був підключений доволі дивно (код підключення був захований купою відступів, щоб його не було видно у файловому провіднику VSCode).

Файлік виглядав отак

Деталі файліку можете глянути у оригінальному пості тут. Проаналізувавши, чувак поняв, що файлик збирав інформацію з комп’ютера та надсилав її на IP-адресу. З усього видно, що дані, які намагалися викрасти, були пов’язані з криптогаманцями.

Офігеть? Офігеть! Перший раз таке бачу. Тому будьте обережні навіть на співбесідах. 😱

Який урок нам:

1. Перевіряти код перед запуском: аналізувати проєкт, особливо скрипти в кореневих файлах, прихованих папках або модулях.
2. Юзати ізольоване середовище: ранити код у віртуальних машинах (VirtualBox, VMware або Hyper-V) або Docker(шось по тіпу docker run --rm -it -v $(pwd):/app -w /app node:latest bash) , щоб уникнути доступу до реальних даних на вашому комп’ютері.
3. Як варіант можна заюзати окремий обліковий запис. Якщо ви не хочете налаштовувати VM, можна зробити окремий обліковий запис користувача на своєму компі з мінімальними правами доступу.
4. Скануйвати репо: інструменти для аналізу шкідливого коду, можуть допомогти тут вам.
5. Аналізувати приховані файлів: все шо починається «.», можуть бути прихованими в IDE. Можна включити відображення прихованих файлів, щоб нічого не пропустити.
6. Перевіряти залежності: чекніть package.json, requirements.txt, або інші файли залежностей на наявність підозрілих бібліотек
7. Обфускований код: непрозорий код (наприклад, довгі рядки без коментарів, мінімізовані або обфусковані скрипти) від невідомих людей, це привід для додаткової перевірки
8. Підозрілі IP-адреси або домени в коді це червоний прапорець.

Що думаєте з цього кейсу? Які ще додаткові сценарії захисту можете придумати? :)

P.S. Всім гарного дня та буду радий бачити вас у своєму телеграм-бложику групі, там про розробку та тестування!