Sahte iş teklifi ZIP'i, git status ile zararlı yazılım çalıştırıyor

Bağlantıdan Contract-2026.zip indi. İçinde README.md, contract.docx ve geçmişi, birkaç dalı ve yerel ayarları olan tam bir .git klasörü vardı. Sözleşme boş bir şablondu: tüzel kişi, ücret ve yetki alanı yoktu. Smart Contract Developer ilanında da çok sayıda alan boştu.

git status zararlı kodu nasıl çalıştırır?

Git, dış programları çalıştırabilir. İlk yol hook'lar, yani dal değiştirme gibi olaylarda tetiklenen betiklerdir. core.hooksPath ayarı bunların yerini değiştirir ve burada post-checkout dosyası bulunuyordu. İkinci yol, ltr adlı bir clean filtresi. Attributes dosyasındaki yıldız işareti onu tüm dosyalara atıyordu.

Git, içeriğin değişip değişmediğine bakarken dosyaları bu filtreden geçirebilir. Yani git status, .git/ltr betiğini çalıştırabilir. README'nin dallar arasında geçiş yapmayı önermesi de post-checkout'u tetiklemek içindi. Yazar bunu, yalnızca günlüğe kayıt düşen zararsız bir betikle test deposunda denedi. İki mekanizma da çalıştı.

ltr betiği ne yapıyor?

Bu bir kabuk betiği. Son çağrının zamanını kaydediyor ve mkdir ile kilit klasörü oluşturarak birden fazla süreç başlamasını önlüyor. Filtrenin son kullanımından iki saniye sonra işletim sistemini belirliyor, uzak sunucudan kod indirip hemen çalıştırıyor: Linux ve macOS'ta sh, Windows'ta PowerShell ile. Sunucu vercelscript.vercel.app alt alan adındaydı.

İndirilen kodun tam olarak ne yaptığı yalnızca ZIP'e bakarak anlaşılamıyor. Her şey arka planda çalışıyor, çıktı ve hatalar /dev/null'a gidiyor; kullanıcı hiçbir şey fark etmeyebilir. Sonraki aşama mı, veri hırsızlığı mı, başka bir şey mi olduğu bilinmiyor.