Me hackearon

midudev

Resumen

El autor relata cómo estuvo a punto de ser víctima de un hackeo sofisticado a través de una pull request malintencionada en uno de sus proyectos. Explica cómo los atacantes utilizan scripts ocultos en archivos 'preinstall' y caracteres invisibles (Unicode) para evadir la detección en GitHub. Afortunadamente, salvó su equipo gracias a tener configurada una opción de seguridad que desactiva la ejecución automática de scripts. El vídeo sirve como advertencia sobre los peligros de confiar ciegamente en contribuciones y detalla los pasos críticos de seguridad para proteger tu entorno de desarrollo.

Capítulos

  1. 0:00Introducción al caso de hackeo
  2. 1:00El origen de la Pull Request sospechosa
  3. 2:00Análisis del archivo infectado
  4. 2:57El misterio de la línea de 36k
  5. 4:19Descifrando el payload con console log
  6. 6:38Por qué Eval es un riesgo de seguridad
  7. 8:05El objetivo final del ataque
  8. 9:15Comportamiento del malware y exclusión rusa
  9. 10:30Cómo me infecté yo accidentalmente
  10. 11:57La configuración que me salvó la vida
  11. 14:31Buenas prácticas de seguridad global
  12. 15:00Uso de caracteres Unicode invisibles
  13. 16:22Protocolo de actuación ante una infección real

Temas tratados

  • Vector de ataque en PRs
  • Scripts maliciosos en preinstall
  • Uso peligroso de Eval
  • Ofuscación con caracteres invisibles
  • Impacto del malware
  • Configuración ignore-scripts

Extracto de la transcripción

Tengo que contaros una historia de horror de cómo casi casi me hackean, cómo lo evité, cómo tú puedes evitarlo. El caso es que como ya sabéis tenemos un proyecto que se llama Reacts Wiki, un proyecto en el que básicamente son preguntas de entrevista de React y puedes decir, "¿Para qué sirve use Effect?" Bueno, pues aquí tienes una explicación, puedes buscar diferentes preguntas. Bueno, total que puedes preguntar, ver, va. Bueno, está muy bien. El otro día probando Copilot lo que hice fue mandarle algún trabajo a Copilot. ¿Ves? Añadir pregunta cómo funciona Reducer. Y aquí el primer problema, Copilot. Fijaos que con Copilot comentó, creó una pull request y a todas estas, si vamos bajando, si vamos bajando por aquí, fijaos que yo voy bajando, voy bajando y de repente hay algo un poco polémico y es que Facundo Capua, que es alguien de la comunidad, que lo conozco personalmente, muy buen cha…