一个招聘电话，差点让我交出所有密码

在 LinkedIn 上有人找我说要聘我做技术顾问，还约了见面。见面后他让我克隆一个他说是公开仓库的代码库，在 Cursor 或 VSCode 里打开看看。我当场拒绝了——那种语气和场景，太像钓鱼。事后我没打开就直接扫了那个仓库，在 tasks.json 里发现了问题：VSCode 会自动执行其中的任务，而这个任务会把环境变量里的所有凭据打包发到远程服务器，接着还会执行服务器回传的代码。整个招聘流程就是一条完整的攻击链。骗子已经在用了，而且不少招聘者还在让候选人克隆仓库当面试环节。这已经不是理论风险了。

原文：Tell HN: VSCode/Cursor Exploit Actively Used by Scammers · 来源：Hacker News