採用課題を装ったマルウェア配布──Git Hooks を悪用する攻撃手法を公開
リモート開発者向け求人を装い、選考課題の zip ファイルに仕込まれた Git Hooks 経由で OS 別ペイロードを実行する攻撃が確認された。
リリース: 2026-07-19 · 読了 5 分記事の要約
1. 核心（What）
- 求人応募者に対し、Google Drive 経由で Python プロジェクトの選考課題を配布する手口が報告された。
- プロジェクトの .git/hooks/pre-commit に、OS（Darwin/Linux/Windows）を判定して外部 IP からペイロードをダウンロード・実行するシェルスクリプトが埋め込まれていた。
- ペイロードは `node_modules` を悪用し、`clipboardy` や `hardhat` などのパッケージを用いてローカル環境の認証情報やウォレットを標的にする構成をとっている。
- 攻撃者は `id=402` のようなパラメータで候補者ごとに個別のペイロードを動的生成し、追跡を行っている。
2. 影響（Why）
- 採用プロセスを起点とした信頼の悪用: 求職中のエンジニアはコードレビューや課題遂行に集中するため、Git Hooks のような非自明なディレクトリ構造の確認を怠る心理的隙を突いている。
- 国内 SaaS 開発現場への警告: 国内の受託開発企業やスタートアップで、採用選考時に外部から提供されたリポジトリを不用意にローカル環境で `git commit` するフローは極めて危険。サンドボックス環境での検証を必須化すべき。
3. 根拠・詳細（How）
- Git Hooks による自動実行: pre-commit フック内に `uname -s` で OS を判別し、`curl` または `wget` で `45.61.164.38:5777` からペイロードを取得・実行するコードが記述されていた。
- Node.js を悪用したステージング: 取得された `package.json` には `clipboardy`（クリップボード監視）や `hardhat`（Ethereum 開発環境）が含まれ、`parser.js` がバックグラウンドで実行される仕組み。
4. 展望・課題（Next）
- 選考課題の検証フロー見直し: 外部から提供されたリポジトリは、必ず `tree -a` で隠しディレクトリを精査し、隔離された VM またはコンテナ環境で実行する運用が求められる。