Ein falsches Bewerbungsgespräch kann heute wie normale Entwicklerarbeit aussehen. Genau deshalb ist der Fall relevant.

Ein Recruiter schreibt auf LinkedIn, bietet eine gut bezahlte Remote-Stelle an und schickt eine Take-home-Aufgabe als ZIP. Das Projekt wirkt wie ein kleiner Backend-Service. Die Dependencies sehen unauffällig aus. Der Kandidat öffnet den Code, installiert, startet Tests und macht vielleicht einen Commit. Im von Citizen Dot beschriebenen Fall war genau dieser Ablauf die Falle.

Entwickler-Laptop öffnet eine Bewerbungsaufgabe in einer isolierten Sandbox, während Schlüssel außerhalb geschützt bleiben

Im Archiv lag ein vorbereitetes .git-Verzeichnis mit Hooks. Der pre-commit-Hook wählte je nach Betriebssystem einen Payload für Linux, macOS oder Windows und startete leise einen Remote-Befehl. Danach folgten weitere Skripte, Node.js-Abhängigkeiten und ein obfuskierter Parser, offenbar mit Interesse an Tokens, Credentials oder Wallets.

Die Hacker-News-Diskussion erreichte rund 408 Punkte und 112 Kommentare. Nützlich waren vor allem die praktischen Hinweise: Wegwerf-VMs, Devcontainer, Git Hooks, VS Code Workspace Trust und Recruiter-Verifikation.

Kein Einzelfall

Proofpoint, The Hacker News, DomainTools und OpenSourceMalware beschreiben seit Monaten recruitment-themed Kampagnen gegen Entwickler. Namen wie Contagious Interview, Famous Chollima, Void Dokkaebi und UNK_DeadDrop tauchen immer wieder auf. Dieser konkrete Fall sollte ohne Bestätigung nicht einer Gruppe zugeschrieben werden. Das Muster ist aber klar.

Ein Entwickler-Laptop enthält oft SSH Keys, GitHub Tokens, npm- oder PyPI-Zugang, Cloud-Sessions, .env-Dateien, VPN-Zugänge, Wallets und Quellcode. Bei Maintainers populärer Pakete kann ein gestohlener Token zur Supply-Chain-Gefahr werden.

Was hilft

Ein normaler git clone kopiert keine Remote-Hooks automatisch in .git/hooks. Gefährlicher sind ZIPs mit fertigem .git, Commit-Anweisungen, core.hooksPath, Package Scripts, .vscode/tasks.json, Launch-Konfigurationen oder Setup-Skripte.

Vor dem Start sollten versteckte Dateien geprüft werden: .git, .git/hooks, .vscode, .devcontainer, package.json, Makefile, Dockerfile und Installationsskripte. Achten Sie auf Hooks, postinstall, Remote-URLs, rohe IP-Adressen und kodierte Blöcke.

Unbekannter Code gehört in eine Wegwerf-VM oder einen selbst kontrollierten Devcontainer. Kein Home-Verzeichnis mounten, keine SSH Keys, kein Browserprofil, kein Passwortmanager, keine echten Tokens und keine echten .env. Wer bereits etwas Verdächtiges gestartet hat, sollte Sessions widerrufen, Secrets rotieren und bei Arbeitszugang das Security-Team informieren.