Une Offre Trop Belle pour Être Vraie ?
Quand un recruteur vous contacte directement sur LinkedIn avec une offre irrésistible, il est facile de se laisser séduire. Mais attention, car certains pièges se cachent derrière des promesses de rémunération élevée et de flexibilité.
La première alerte est venue du salaire proposé - entre 10 000 et 15 000 dollars par mois pour un poste en télétravail. Pour un développeur Python en Inde, cette somme est substantielle. Cela dit, les entreprises de la Silicon Valley, comme celles soutenues par Y Combinator, peuvent parfois offrir de tels salaires. Mais cette proposition était-elle vraiment honnête ?
L'Enquête Commence
Après avoir reçu le descriptif du poste et accepté de passer à l'étape suivante, on m’a envoyé un projet d'entretien à domicile. Il s'agissait d'un backend FastAPI standard, sans signes apparents de malveillance dans les fichiers requirements.txt. Cependant, un reflex acquis lors de compétitions CTF m'a poussé à explorer plus en profondeur.
En exécutant la commande tree -a, j'ai découvert des répertoires et fichiers cachés, notamment dans le dossier .git/hooks. Ces scripts, souvent utilisés pour automatiser des tâches Git, peuvent être détournés pour des activités malveillantes.
Les Dangers des Git Hooks Malveillants
Les hooks Git sont des scripts exécutés à des moments spécifiques, comme avant ou après un commit. Dans ce projet, certains hooks semblaient suspects. Par exemple, un script pre-commit ou post-merge peut potentiellement exécuter du code non désiré, accédant à des données sensibles ou même compromettant le système.
Comment Se Protéger ?
- Vérifier les fichiers cachés : Toujours inspecter les fichiers et répertoires cachés dans tout projet reçu.
- Analyser les scripts : Examiner le contenu des scripts dans le dossier
.git/hooks. - Exécuter dans un environnement isolé : Utiliser un environnement virtuel ou une machine virtuelle pour tester le projet.
- Se former continuellement : Participer à des CTFs ou formations en cybersécurité pour améliorer ses compétences en détection d'escroqueries.
Conclusion
Dans un monde où les offres peuvent parfois être trop belles pour être vraies, il est crucial de rester vigilant et de savoir où chercher les indices d'une possible arnaque. Cet exercice a non seulement renforcé mes compétences techniques mais a également souligné l'importance de la prudence.
Discutons de ton projet en 15 minutes.