一位软件工程师在LinkedIn上收到一份高薪Python开发职位邀请，月薪1万至1.5万美元。尽管对方提前透露薪资等行为存在可疑之处，但出于好奇，他决定继续跟进并保持警惕。

好的，这是根据您的要求，对原文进行中文重述和精简后的版本：

标题：一次伪装成面试的Git钩子恶意软件攻击

一位自称招聘人员的人通过LinkedIn联系我，提供了一个月薪1万到1.5万美元的Python开发者职位。虽然高薪和对方过早透露薪资的做法让我觉得可疑，但考虑到对方声称来自一家Y Combinator初创公司，我决定保持警惕继续跟进。

对方通过Google Drive发来了一个包含压缩包和PDF说明的“家庭作业”。我解压后，发现是一个标准的FastAPI后端项目，检查requirements.txt也没有发现恶意包。然而，出于习惯，我运行了tree -a命令查看隐藏目录，结果发现了问题。

项目里预配置了大量Git钩子。我查看了pre-commit脚本，发现它会根据受害者的操作系统（macOS、Linux或Windows）静默执行一个远程恶意负载。该脚本使用原始IP地址连接服务器，这本身就是恶意软件的明显特征。

我进一步查看了Linux系统的恶意负载。它首先会下载一个名为tokenlinux.npl的次级负载，将其重命名为.sh文件并赋予执行权限，然后使用nohup命令在后台静默运行。这个次级负载会安装Node.js，下载并运行一个高度混淆的parser.js脚本。parser.js的依赖项非常可疑，包括clipboardy（剪贴板访问）和hardhat（一个以太坊开发环境）。攻击者可能利用hardhat来定位和窃取加密货币钱包。

值得注意的是，攻击者似乎为每个受害者分配了唯一的ID，以提供定制化的恶意负载。此外，这种攻击还有变种：有人收到的压缩包中包含一个.vscode文件夹，只要在VSCode中打开该目录，就会触发恶意命令，无需运行任何Git命令。

调查发现，这个项目并非攻击者原创，而是克隆了一个公开的FastAPI项目，并在其中植入了恶意隐藏目录。我尝试对攻击者的服务器进行扫描，发现其运行着较新版本的OpenSSH，没有已知漏洞可以利用，说明攻击者在服务器安全方面有一定防范。

总结： 这是一起利用虚假招聘进行恶意软件传播的攻击。攻击者通过高薪职位吸引求职者，并在看似正常的编程作业中隐藏恶意Git钩子或VSCode配置，一旦受害者运行代码或打开项目，就会感染恶意软件。提醒大家，在运行他人提供的代码前，务必检查隐藏目录和配置文件。

根据评论内容，主要观点和论据如下：

观点一：此类攻击将日益普遍，且技术精湛。 - ChrisMarshallNY（评分None）：“I assume these types of things are going to become more and more common...I have to respect their skills.” - wxw（评分None）：“Seems like this is becoming a recurring theme, similar story was on the front page last month.”

观点二：防御策略应借鉴银行诈骗应对方式，主动验证招聘方真实性。 - gtowey（评分None）：“My takeaway...use the same defense as when someone calls you 'from your bank'...go to the real company's site to apply and contact a real recruiter.”

观点三：LinkedIn应加强企业验证机制，如通过公司邮箱核实招聘信息。 - darth_avocado（评分None）：“If LinkedIn actually cared about preventing scams, they could implement verification using company emails...at the minimum you should have it as an optional feature.”

观点四：攻击者使用原始IP地址而非域名，可能为规避追踪或减少暴露。 - lantry（评分None）：“Why use a raw IP address?...Maybe they don't want to give any identifying info to the domain registrar?”

其他评论： 部分用户提及文章中的哈利·波特主题曲音效体验不佳（rdksu），以及AI时代此类测试是否仍具相关性（drnick1）。