23.09.2026

«Тестовое задание» на собеседовании забрало ключи. Жертва — не криптопроект

22 сентября SlowMist и SentinelOne разобрали свежую кампанию северокорейской группы TraderTraitor — той самой, что в апреле через взлом LayerZero увела $292 млн у KelpDAO. Новая жертва к крипте отношения не имела: индийская IT-компания, один заражённый MacBook DevOps-инженера. Этого хватило, чтобы открыть всё облако.

Как это работает:

• «Рекрутер» несуществующей компании пишет инженеру — цель выбирают по профилю на GitHub: DevOps, инфраструктура, крипто и финтех
• Тестовое задание — ссылка на репозиторий (terraform-candidate-repo, Northwind-IAC)
• Внутри обычный с виду файл .terraform.lock.hcl, а в нём «реестр провайдеров» атакующего: registry.hashicorp-aws[.]com вместо настоящего registry.terraform.io — разница в пару символов
• Кандидат выполняет terraform init. Terraform доверяет lock-файлу как источнику правды и скачивает и выполняет модуль атакующего
• На машину ставятся бэкдоры на Rust под Apple Silicon: FLATROOF (маскируется под SystemUpdate) и ROOFDECK (iSync, затем loginwindow). Карантин macOS снимается сразу — Gatekeeper молчит

Что забирают: токены AWS и GCP, SSH-ключи, доступ к репозиториям, пароли браузеров, историю терминала, login.keychain-db и буфер обмена — туда попадают адреса и сид-фразы. Команды приходят через сеть Nostr, поэтому обычный чёрный список доменов такое не ловит.

Это продолжение того же сценария, о котором 18 сентября предупредили полиция Японии, ФБР, спецслужбы Австралии и Германии: 30 000 заражённых устройств в 100+ странах, 7 000 кошельков, $10,7 млн. Разница в том, что теперь целятся не в кошелёк на ноутбуке, а в ключи от облака и репозиториев.

Что делать:

• Тестовые задания — только в виртуальной машине или контейнере. Не на ноутбуке с кошельками, SSH и доступом к облаку
• Есть .terraform.lock.hcl — откройте и сверьте реестр: только registry.terraform.io
• VS Code на вопрос «Доверяете авторам файлов в этой папке?» — Нет. В режиме ограничений .vscode/tasks.json не запустится сам
• Красные строки в любом «задании»: curl, base64, -enc, mshta, iwr, hidden
• Собеседование, где интервьюер выключает камеру «из-за сети», — часть того же сценария: лицо подменяют ИИ
• Если заражение возможно: отключить машину от сети, считать украденными все ключи и сид-фразы на ней, перевыпустить облачные токены, новый кошелёк — на другом устройстве, macOS — начисто

Получили оплату от незнакомого адреса — проверьте отправителя до того, как отправите деньги на биржу: https://t.me/amlconsensus_bot?start=ru Первая проверка бесплатна.

Источники: SlowMist TI Alert 22.09.2026, SentinelOne Labs «TraderTraitor Backdoors Resurface», совместное предупреждение NPA/FBI/ASD/BND 18.09.2026.