Привет, разработчики! ⚠️

В 2025 году поиск работы стал минным полем. По данным экспертов, мошенники эволюционировали: от простых "платных тестовых" до многоступенчатых кампаний с малварью, где фейковые вакансии — это не развод на время, а полноценный бэкдор в вашу машину.

На основе свежих отчётов (CNews, SecurityLab, Kaspersky) разбираю, как это работает в 2025. Это не теория, а цепочки, уже сработавшие на сотнях devs.

🔧 Как происходит атака (схема BeaverTail и аналогов):

Фейковый рекрутер в LinkedIn/Telegram Идеальный профиль: фото, 500+ контактов, посты про AI. Обещают remote за 300k+ с идеальным стеком. Цель — не ваш код, а ваша машина.

"Тестовое" в репозитории или архиве Вам дают ссылку на "легитимный" репо. Но внутри package.json — postinstall-скрипт с обфусцированным кодом, который:

• Сканирует .env на токены.
• Крадёт cookies и пароли из браузеров.
• Внедряет кейлоггер и делает скриншоты.
• Устанавливает бэкдор для удалённого доступа.

Последствия Крадут личные SSH-ключи, крипту, корпоративные доступы.

Чек-лист защиты:

1) Верифицируйте рекрутера: Ищите вакансию на официальном сайте компании. Домен почты должен быть корпоративным. 2) Проверяйте репозиторий: Только публичный GitHub с историей. Grep package.json на "postinstall" перед клонированием. 3) Запускайте в изолированной среде: Только в GitHub Codespaces, Docker-контейнере или виртуальной машине без доступа к ключам.

Это массовая проблема: в 2025 фейковые вакансии — 18–22% всех объявлений, по данным Greenhouse. Главное правило уходящего года: доверяй, но проверяй. Один небезопасный npm install может стоить не только работы, но и всех аккаунтов.

#infosec #malware #тестовоезадание #безопасность #nodejs #vuejs #career #linux

P.S. Сам в активном поиске fullstack-позиции (Vue 3 / Nuxt / NestJS). Знаю, как писать безопасный код и как его не сломать. Если у вас есть реальная вакансия — welcome в телегу @SV_Kots. Готов к адекватному тестовому (малварь в подарок не нужен) 🚀