git hook חבוי בריפו של פרויקט מזויף הריץ קוד על מחשב המפתח

הזמנה מזויפת ו-.git חבוי

מייסד חברת הפיתוח REVSYS וחבר ב-Django Steering Council, פרנק ויילס (Frank Wiles), פרסם ב-2 באוקטובר 2026 בבלוג שלו סיפור על התקפה ממוקדת נגדו. הכל החל בהזמנה רגילה: זר פנה אליו ושאל אם הצוות שלו זמין לעבודה על אפליקציית וב בתחום Ed Tech. ויילס הציע פגישה.

"הלקוח" ביקש להכיר את תיאור הפרויקט לפני הפגישה ולחתום על NDA, ולאחר מכן שיתף תיקיית Dropbox שבה היו קבצי Markdown ומפרט מבולגן אך משכנע. ויילס שם לב מיד שגם תיקיית .git הייתה חבויה שם.

"ענף NDA" ו-post-checkout hook

כשוויילס לא מצא את ה-NDA וביקש לשלוח אותו באימייל, הוא קיבל תשובה: המסמך נמצא "בענף NDA" ומספיק לעבור אליו, למלא אותו ולהחזיר לפני הפגישה. דווקא אז הבין שהפרויקט לא היה אמיתי. בתיקיית .git/hooks מצא לצד קבצי ה-hook הסטנדרטיים עם סיומת .example גם hook אמיתי מסוג post-checkout.

hook-ים מסוג זה כמעט שאף אחד לא משתמש בהם בפועל, ולכן ויילס פתח אותו בזהירות. ה-hook השתמש באפליקציית Vercel כערוץ command-and-control: בעת מעבר בין ענפים הוא הוריד קובץ בינארי המיועד למערכת הפעלה ספציפית, הפך אותו לבר-ביצוע, הריץ אותו ולאחר מכן מחק את עצמו. git post-checkout hook מופעל אוטומטית בעת מעבר בין ענפים, ולכן ביצוע ההוראה הרגילה של "מעבר לענף NDA" התכוון להרצת קוד זר על מחשב המפתח.

ויילס הודיע מיד לצוותי האבטחה של Dropbox ו-Vercel כדי שיבטלו את החשבונות לפני שימצאו קורבן נוסף. לפי דבריו, המתחזים השתמשו גם בשם של בעל חברת פיתוח לא מוכר. ויילס עצמו לא נפגע.

מדוע זה מסוכן עבור מפתחים

hook-ים הם חלק רגיל מ-git, אבל הם מופעלים אוטומטית ללא אישור נוסף. תיקיית .git נשארת בקלות בלתי שמורה, מכיוון שרבים כלים לא מציגים אותה ברשימת הקבצים. מספיק שזר יעבור לענף בריפוזיטורי שנשלח כדי שקוד זדוני יופיע על מחשב המפתח. והמטרה שווה: חשבונות GitHub, מפתחות SSH, טוקנים של API וגישה למערכות של לקוחות.

ויילס ממליץ לעמיתיו בחדות: לחשוד ב"הזמנה אידיאלית" מזר שדורש ביצוע צעדים ספציפיים עם ריפוזיטורי, לבדוק קבצי hook לפני הרצת קוד ולהשתמש בסביבה מבודדת.