과제형 면접 프로젝트를 열어보니 조직적인 악성코드 작전이었다

LinkedIn에서 월 $10,000~15,000의 원격 Python 개발자 자리를 제안한 가짜 채용 담당자가 정상적인 FastAPI 과제로 위장한 ZIP 파일을 보내고, Git 작업 과정에서 악성코드가 설치되도록 구성함 저장소의 .git/hooks에는 운영체제별 원격 페이로드를 조용히 실행하는 pre-commit 훅이 숨겨져 있었고, 과제 PDF의 Git 작업은 지원자가 이를 실행하도록 유도하는 장치였음 Linux 페이로드는 ~/Documents에 2단계 스크립트를 내려받아 nohup으로 실행한 뒤, Node.js와 의존성 및 난독화된 parser.js 를 설치해 백그라운드에서 구동함 요청의 id=402 값을 바꾸면 다른 스크립트가 반환됐고, package.json에는 클립보드 접근용 clipboardy와 Ethereum 개발 환경 hardhat 등이 포함됐지만 최종 목적은 확인되지 않음 공격자는 공개 FastAPI 저장소에 악성 디렉터리만 덧붙였으며, 다른 변종은 VSCode에서 폴더를 여는 것만으로 명령을 실행함. 외부 프로젝트를 다루기 전 숨김 디렉터리와 자동 실행 설정을 확인해야 함 지나치게 좋은 채용 제안 LinkedIn으로 도착한 Python 개발자 채용 제안은 월 $10,000~15,000를 지급하는 원격 우선 계약직 후 정규직 전환 형태였음 면담도 하기 전에 높은 보수를 공개했고, 인도 기준으로 큰 금액이라는 점이 첫 번째 경고 신호가 됨 채용에 사용된 회사는 Y Combinator 스타트업으로 확인됐지만, 그 정도 예산을 쓰는 회사라면 일반적으로 더 체계적인 채용 절차를 갖췄을 것이라는 의심이 남았음 이력서를 보내자 곧바로 승인됐고, Google Drive를 통해 ZIP 아카이브와 과제 지침 PDF를 받음 PDF는 기존 코드베이스 개선과 아키텍처 제안, Git 작업 등을 요구해 겉보기에는 정상적인 평가 문서에 가까웠음 FastAPI 프로젝트에 숨겨진 Git 훅 압축 파일에는 SQLAlchemy를 사용하는 평범한 FastAPI 백엔드가 들어 있었고, requirements.txt에서도 타이포스쿼팅이나 명백한 악성 패키지가 발견되지 않음 숨김 항목을 확인하려고 tree -a를 실행하자 .git/hooks 아래에 여러 Git 훅이 미리 구성돼 있었음 pre-commit 스크립트는 uname -s로 운영체제를 판별한 뒤 같은 서버에서 플랫폼별 페이로드를 내려받아 실행함 macOS에서는 curl ......