面试项目竟是恶意软件

I Inspected My Take-Home Interview Project. It Was a Whole Operation

上周四，一位招聘人员通过 LinkedIn 联系我，提供了一份月薪 10000 到 15000 美元的远程 Python 开发工作。面对如此诱人的薪资和看似正规的 Y Combinator 初创公司背景，我起初并未多想。然而，在检查他们提供的 take-home 面试项目时，我习惯性运行了 `tree -a` 命令，结果发现 `.git/hooks` 目录下隐藏着恶意的 `pre-commit` 脚本。该脚本会检测操作系统并静默下载远程 payload，最终利用 `Hardhat` 等工具试图窃取加密货币钱包信息。这并非简单的钓鱼，而是一场精心策划的恶意软件分发行动，甚至利用了 VSCode 的启动配置来扩大感染范围。