Не запускайте непроверенное тестовое задание из криптовакансии на компьютере с секретами кошелька или рабочими доступами. Правдоподобный проект на знакомом сайте остаётся чужим исполняемым кодом. Если уже запускали его, прекратите операции с кошельком на этом устройстве до выяснения обстоятельств: прежний баланс ещё не доказывает, что секреты не раскрыты.
Вредоносный код могут доставить через само собеседование
В исследовании Contagious Interview Microsoft описывает поддельные процессы найма, через которые разработчиков убеждают исполнять опасные задания. Среди наблюдений — кража материалов кошельков и учётных данных. Речь о конкретном механизме обмана, а не о подозрительности любого рекрутера или работодателя из криптоиндустрии.
Описание схемы у F-Secure также указывает на распространение таких загрузок через легальные площадки с кодом. Вежливая переписка и знакомый домен не отвечают на вопрос, безопасно ли именно это задание. Каждое из этих обстоятельств нужно оценивать отдельно.
Представим вымышленную соискательницу Марию. Ей присылают небольшой проект панели управления, внешне подходящий к вакансии. Но до просмотра задания требуют срочно изменить настройки компьютера. Решение сейчас касается этой настройки. Красивый экран панели не объясняет, какие права получает проект и зачем они нужны для проверки навыков.
Отдельно проверьте компанию, отдельно — собеседника
Найдите сайт работодателя самостоятельно и используйте указанный там канал найма. Уточните конкретную вакансию, человека и тестовое задание. Контакт, который прислал тот же незнакомец, не является независимым подтверждением. Настоящую компанию тоже могут выдавать за своего работодателя: существование бизнеса или продукта не удостоверяет автора сообщения.
- Сохраните вместе ссылку на вакансию, сведения о рекрутере и адрес проекта, чтобы проверить связь между ними.
- Самостоятельно найдите официальный канал компании и спросите о конкретной вакансии и задании.
- Попросите письменно объяснить, что потребуется запускать, зачем и с каким доступом.
- Предложите другой способ показать навыки, если запрошенную настройку нельзя безопасно проверить.
- Остановитесь, если вместо объяснения вас торопят отключить защиту или проигнорировать предупреждение.
Отказ запускать задание на основном компьютере — нормальная рабочая граница. Он не требует обвинять собеседника во взломе. Можно ответить: «Готов выполнить ограниченное упражнение в отдельной среде, но не запускать непроверенный проект с доступом к личным и рабочим данным». Готовность обсудить условия полезна для оценки ситуации, однако сама по себе не подтверждает добросовестность найма.
Проверку удобнее сформулировать конкретно: кто подтвердил задание, откуда получен адрес проекта и какие действия согласованы. Тогда новое требование установить программу не растворится в общей фразе «это часть собеседования». Если условия изменились, проверка предыдущего этапа не распространяется автоматически на следующий файл или инструмент.
Установка зависимостей уже может означать исполнение
Осторожность нужна до первого запуска приложения. В документации npm о сценариях жизненного цикла описано исполнение сценариев на этапах установки и подготовки. Поэтому объяснение «мы всего лишь ставим зависимости» недостаточно: настройка проекта может выполнять действия, а не только сохранять файлы.
В собственном разборе вредоносных репозиториев для собеседований Atlassian описывает большой объём правдоподобного кода вокруг небольшого опасного фрагмента. Количество файлов, узнаваемый фреймворк и работающий интерфейс не решают вопрос безопасности. Они не показывают, что делает каждый шаг подготовки проекта.
| Этап задания | Что действительно известно | Решение перед следующим шагом |
|---|---|---|
| Получена вакансия и ссылка на проект | Кто-то прислал вам задание | Проверить канал найма; не считать само получение ссылки доказательством заражения |
| Файлы просматриваются без разрешения исполнения | Можно изучить часть содержимого | Сохранить ограничение исполнения и выяснить необходимую настройку |
| Просят доверять рабочей папке или запустить установку | Теперь запрашивается возможность исполнения | Проверять запрос в среде без настоящих секретов |
| Нужна резервная копия кошелька или отключение защиты | Доступ выходит за рамки обычной демонстрации навыков | Остановиться и проверить требование независимо |
| Незнакомый код уже запускали | Исполнение было; последствия пока не установлены | Ограничить последствия и разобраться до возвращения к кошельку |
Workspace Trust — полезная граница, а не сертификат проекта
В документации VS Code о Workspace Trust объясняется, как Restricted Mode ограничивает задачи, отладку и другие функции для уменьшения автоматического исполнения. Там же отмечено, что вредоносное расширение способно игнорировать эту границу. Сохраняйте ограниченный режим при разборе проекта и не делайте исключение для неизвестного расширения лишь по просьбе рекрутера.
Если выполнение действительно необходимо, подготовьте отдельную среду для задания без личных материалов кошелька и доступов работодателя. Изоляция нужна для ограничения возможных последствий, а не для признания кода безопасным. Если вы не понимаете, какие ресурсы такая среда разделяет с обычным компьютером, попросите компетентного человека проверить это заранее.
Полезно записать, чего в среде нет: привычных браузерных сессий, резервной копии кошелька, доступа к рабочим системам и личных файлов. Это точнее слова «песочница», за которым могут скрываться разные настройки. Для демонстрации вымышленного экрана заказов или обработки учебных данных эти ресурсы не требуются. Если без них задание якобы невозможно, запросите объяснение до продолжения.
После запуска отделите доказательства от успокаивающих признаков
Microsoft рекомендует изолировать устройство при подозрении на компрометацию, сменить потенциально раскрытые учётные данные и токены, а также проверить дальнейший доступ. Для восстановления используйте заведомо чистое устройство и принятый в организации порядок реагирования. Не открывайте проект снова ради более наглядной записи и не поручайте расследование тому же рекрутеру.
- Запишите время загрузки и запуска, адрес репозитория, инструкции и предупреждения, с которыми согласились.
- Составьте перечень доступных учётных записей и материалов кошелька; отдельно отметьте подтверждённое раскрытие и вопросы для проверки.
- Сохраните исходную переписку и идентификаторы транзакций, не выкладывая пароли, секретные слова и личные файлы в открытый доступ.
- Сообщите ответственному за безопасность, если могли пострадать рабочие системы, репозитории или аккаунты.
- Попросите план восстановления, который охватывает устройство, учётные записи и ключи, а не ограничивается одной сменой пароля.
В примере Марии пустая история переводов означает лишь, что перевод пока не обнаружен. Она не отвечает, были ли скопированы секреты, использован рабочий аккаунт и осталось ли устройство скомпрометированным. При этом получение подозрительной ссылки без исполнения содержимого не доказывает, что всё перечисленное произошло. Масштаб реакции нужно определять по фактическим действиям и доступным свидетельствам.
Для передачи ситуации специалисту полезна короткая хронология: что пришло сначала, что вы разрешили и после какого действия возникло подозрение. Не нужно улучшать её повторным запуском. Честная пометка «не помню, подтвердил ли запрос» полезнее уверенного, но неподтверждённого заявления. На этапе проверки неопределённость допустима, а потеря исходной переписки мешает восстановить события.
Не смешивайте поиск работы и восстановление кошелька
Не устанавливайте предложенный рекрутером запасной кошелёк и не подписывайте запрос на якобы исправление. В материале о поддельных приложениях кошельков разобрана проверка происхождения программы. Статья о permit-подписях и дрейнерах посвящена другому механизму разрешений. Подозрительная подпись и запуск чужого кода могут требовать разных направлений проверки.
Обменник не очищает компьютер от вредоносных программ. Возвращаться к обычным операциям, включая простой обмен, следует с доверенного устройства после разрешения соответствующих рисков доступа. Практический результат здесь — проверенный контакт работодателя, ограниченная среда для задания, отсутствие реальных секретов кошелька в проекте и зафиксированный порядок действий, если эту границу уже пересекли.
Частые вопросы
Могут ли мошенники с криптовакансиями использовать настоящий сайт с кодом?
Да, известная площадка не удостоверяет рекрутера и не делает загруженный проект безопасным. Проверяйте конкретный процесс найма и содержимое задания до исполнения.
Криптовакансия с тестовым заданием обязательно является мошенничеством?
Само наличие задания не доказывает обман. Нужно установить отправителя, действия проекта и возможность ограничить и проверить запрошенный доступ.
Что сохранить после запуска подозрительного задания из криптовакансии?
Сохраните переписку, адрес проекта, время исполнения и перечень потенциально доступных учётных записей. Восстанавливайте доступ с доверенного устройства по подходящему порядку реагирования, а не по новым указаниям того же отправителя.
По теме на сайте
Источники
- www.microsoft.com/en-us/security/blog/2026/03/11/contagious-interview-malware-delivered-through-fake-developer-job-interviews/
- www.atlassian.com/blog/how-we-build/disrupting-contagious-interview
- www.f-secure.com/en/partners/illuminate-research/scam-encyclopedia/scams/3-3-programmer-test-code-challenge-scam
- code.visualstudio.com/docs/editing/workspaces/workspace-trust
- docs.npmjs.com/cli/v11/using-npm/scripts/