الأمن السيبراني13‏/11‏/2026، 8:45 م UTC·1 دقائق قراءة

عرض وظيفي مزيف: ملف ZIP يشغّل برمجية خبيثة عبر git status

أرسل موظف توظيف مزعوم من Cryptic Heaven إلى مطوّر ملف ZIP يحوي مجلد .git معدّلًا. حتى أمر git status العادي قد يحمّل شيفرة خفية وينفذها.

A developer's laptop screen showing a terminal running git status next to a ZIP archive named Contract-2026.zip. — الصورة: Хабр

قد يكفي أمر git status العادي لتشغيل شيفرة غريبة على جهازك. هذا ما اكتشفه مطوّر وصلته رسالة على LinkedIn من موظف توظيف في شركة Cryptic Heaven، قال إنها تبني نظامًا ماليًا لمستخدمي بطاقات الائتمان بالعملات المشفرة.

بدا العرض عاديًا: أعجبتهم خبرته ويريدون مناقشة التعاون. سأل المطوّر عن المشروع والمنصب وشروط العمل، فجاءه رابط يضم العقد ووصف الوظيفة والمشروع، مع طلب إعادة العقد بعد تعبئته باسمه.

كان الرابط يقود إلى ملف Contract-2026.zip. بداخله README.md وcontract.docx ومجلد .git كامل يضم السجل وعدة فروع وإعدادات محلية. أما العقد فكان قالبًا فارغًا بلا جهة قانونية ولا أجر ولا اختصاص قضائي. ووصف وظيفة Smart Contract Developer ترك حقولًا كثيرة فارغة.

كيف يشغّل git status شيفرة خبيثة؟

يستطيع Git تشغيل برامج خارجية. الآلية الأولى هي الـ hooks، أي سكربتات تُستدعى عند أحداث مثل تبديل الفرع. يتيح الإعداد core.hooksPath تحديد مجلد آخر لها، وكان فيه ملف post-checkout. الآلية الثانية فلتر clean باسم ltr، وعيّنته علامة النجمة في ملف attributes لكل الملفات.

يمرّر Git الملفات عبر هذا الفلتر ليعرف هل تغيّر محتواها، لذلك قد يشغّل git status السكربت .git/ltr. أما نصيحة README بالتنقل بين الفروع فتهدف إلى تشغيل post-checkout. جرّب كاتب المقال ذلك في مستودع اختبار آمن بسكربت بريء يكتب سطرًا في سجل فقط، وعملت الآليتان.

ماذا يفعل سكربت ltr؟

هو سكربت shell يسجّل وقت آخر استدعاء، ويستخدم مجلد قفل عبر mkdir لمنع تشغيل عمليات متوازية. وبعد ثانيتين من آخر استخدام للفلتر يحدد نظام التشغيل، ثم ينزّل شيفرة من خادم بعيد وينفذها فورًا: عبر sh على Linux وmacOS، وعبر PowerShell على Windows. كان الخادم على النطاق الفرعي vercelscript.vercel.app.

لا يمكن معرفة ما تفعله الشيفرة المحمّلة من محتوى الأرشيف وحده. كل شيء يجري في الخلفية، والمخرجات والأخطاء تذهب إلى /dev/null، فقد لا يلاحظ المستخدم شيئًا. وقد تكون مرحلة تالية من الهجوم أو سرقة بيانات أو غير ذلك.