Фейковая вакансия: ZIP запускает вредонос через обычный git status

По ссылке лежал архив Contract-2026.zip. Внутри были README.md, contract.docx и полноценная папка .git с историей, несколькими ветками и локальными настройками. Сам договор оказался пустым шаблоном: ни юрлица, ни оплаты, ни юрисдикции. В описании вакансии Smart Contract Developer тоже хватало незаполненных полей.

Как git status запускает вредоносный код?

У Git есть механизмы запуска внешних программ. Первый, хуки: скрипты, которые вызываются при событиях вроде переключения ветки. Параметр core.hooksPath позволяет указать для них другую папку, и там лежал файл post-checkout. Второй механизм, clean-фильтр с именем ltr, а звёздочка в файле attributes назначила его всем файлам.

Чтобы понять, изменился ли файл, Git может пропустить его через такой фильтр. Поэтому обычный git status способен выполнить скрипт .git/ltr. А совет в README переключаться между ветками нужен, чтобы сработал post-checkout. Автор проверил это на безопасном тестовом репозитории, где вместо вредоносного кода был скрипт, просто пишущий строку в лог. Сработали оба механизма.

Что делает скрипт ltr?

Это shell-скрипт. Он записывает время последнего обращения и ставит блокировку через mkdir, чтобы не плодить параллельные запуски. После двух секунд тишины определяет систему, скачивает код с удалённого сервера и сразу выполняет его: через sh на Linux и macOS, через PowerShell на Windows. Сервер находился на поддомене vercelscript.vercel.app.

Что именно делает загруженный код, по одному ZIP установить нельзя. Всё идёт в фоне, вывод и ошибки уходят в /dev/null, так что пользователь может ничего не заметить. Это может быть загрузчик следующего этапа, кража данных или что-то ещё.