La vera posta in gioco non è la verifica del codice, ma la fiducia in un repository che sembra legittimo e invece può installare un implant a più stadi sul workstation dello sviluppatore. Qui il progetto resta funzionante, e proprio per questo il payload passa sotto il radar: asset innocui in apparenza vengono usati per assemblare in silenzio il malware che ruba credenziali del browser, wallet crypto, file e clipboard.
Elastic Security Labs attribuisce l’attività a REF9403, legata alla campagna Contagious Interview, e descrive un nuovo canale d’ingresso via Slack in una workspace comunitaria usata per finte offerte di lavoro. I repository distribuiti contengono codice valido, ma le immagini SVG delle bandiere nascondono frammenti Base64 in commenti HTML che vengono ricomposti da JavaScript; chi esegue l’assegno di coding finisce con un payload in quattro fasi, un RAT su Socket.IO e un backdoor per accessi successivi.
Per i team che gestiscono take-home repo o flussi di hiring su Slack e GitHub, il punto cambia poco con una semplice code review: il progetto può comportarsi normalmente e restare comunque un veicolo per sottrarre segreti locali e aprire la strada a un accesso di supply chain downstream.