Me hackearon

midudev

Summary

El autor relata cómo estuvo a punto de ser víctima de un hackeo sofisticado a través de una pull request malintencionada en uno de sus proyectos. Explica cómo los atacantes utilizan scripts ocultos en archivos 'preinstall' y caracteres invisibles (Unicode) para evadir la detección en GitHub. Afortunadamente, salvó su equipo gracias a tener configurada una opción de seguridad que desactiva la ejecución automática de scripts. El vídeo sirve como advertencia sobre los peligros de confiar ciegamente en contribuciones y detalla los pasos críticos de seguridad para proteger tu entorno de desarrollo.

Chapters

  1. 0:00The Attempted Hack Story
  2. 2:06Analyzing the Malicious Code
  3. 5:35Decoding the Attack Vector
  4. 12:19How the Malware Executes
  5. 17:04Why I Was Saved

Topics covered

  • Vector de ataque en PRs
  • Scripts maliciosos en preinstall
  • Uso peligroso de Eval
  • Ofuscación con caracteres invisibles
  • Impacto del malware
  • Configuración ignore-scripts

Transcript excerpt

Tengo que contaros una historia de horror de cómo casi casi me hackean, cómo lo evité, cómo tú puedes evitarlo. El caso es que como ya sabéis tenemos un proyecto que se llama Reacts Wiki, un proyecto en el que básicamente son preguntas de entrevista de React y puedes decir, "¿Para qué sirve use Effect?" Bueno, pues aquí tienes una explicación, puedes buscar diferentes preguntas. Bueno, total que puedes preguntar, ver, va. Bueno, está muy bien. El otro día probando Copilot lo que hice fue mandarle algún trabajo a Copilot. ¿Ves? Añadir pregunta cómo funciona Reducer. Y aquí el primer problema, Copilot. Fijaos que con Copilot comentó, creó una pull request y a todas estas, si vamos bajando, si vamos bajando por aquí, fijaos que yo voy bajando, voy bajando y de repente hay algo un poco polémico y es que Facundo Capua, que es alguien de la comunidad, que lo conozco personalmente, muy buen cha…