Он проверил тестовое задание командой tree -a. Внутри нашлась скрытая .git-папка, набитая малварью (citizendot.github.io)
Фальшивый рекрутёр Y Combinator прислал тестовое на Python со скрытым Git-хуком pre-commit, привязанным к удалённому серверу — в момент запуска `git commit` хук определял вашу ОС и тихо скачивал второй этап.
Атакующий склонировал настоящий, безобидный FastAPI-проект с GitHub и просто подменил папку `.git` на вредоносную, добавив каждой жертве уникальный идентификатор полезной нагрузки.
Финальный скрипт подтягивал `hardhat` — набор инструментов для разработки под Ethereum. Цель — не кража паролей, а крипто-кошельки.
Войдите, чтобы сохранить