L'entretien d'embauche qui infecte : faux recruteurs, tests de code et commandes à coller
Le schéma se répète d'année en année et de victime en victime : un recruteur plausible prend contact, un test de code suit, et l'exécution du projet installe le malware. Kaspersky, Microsoft, ESET et ReversingLabs en ont documenté des variantes visant du personnel de la défense, des employés d'une organisation nucléaire, des développeurs crypto et des chercheurs d'emploi ordinaires. Le cadre du recrutement fonctionne parce qu'il demande à la cible de faire quelque chose qui ressemble à du travail — exécuter un projet, rejoindre un appel, corriger une erreur de caméra — et parce qu'un refus semble coûteux à quelqu'un qui veut le poste.
Operation DreamJob : la branche espionnage
Le rapport de Kaspersky de décembre 2024 décrit comment Lazarus contactait des employés via de faux profils de recruteur sur LinkedIn, Telegram et WhatsApp, en proposant des évaluations techniques pour des postes informatiques dans de grandes entreprises de l'aérospatiale et de la défense. Les cibles — dans un cas, au moins deux employés d'une organisation liée au nucléaire — recevaient des archives ISO contenant des utilitaires VNC trojanisés, avec pour consigne de se connecter à une adresse IP pour le prétendu test. Ce qui s'exécutait était en réalité un outillage par étapes que les chercheurs suivent sous les noms MISTPEN, CookieTime et du téléchargeur à plugins CookiePlus, ce dernier déguisé en plugin Notepad++. Kaspersky note que cette campagne est également désignée comme Operation DreamJob.De faux entretiens techniques pour développeurs
La branche la mieux documentée vise les développeurs, surtout dans la crypto et le Web3. L'équipe Threat Intelligence de Microsoft, en mars 2026, décrit la campagne Contagious Interview — active au moins depuis décembre 2022 —, dans laquelle des attaquants se font passer pour des recruteurs de sociétés de trading crypto ou de prestataires en IA et demandent aux candidats de cloner et d'exécuter un paquet npm depuis GitHub, GitLab ou Bitbucket. Une variante plus récente abuse de Visual Studio Code : l'ouverture du dépôt déclenche une invite à « faire confiance à l'auteur du dépôt », qui exécute automatiquement la configuration de tâches du projet et récupère la porte dérobée. ESET suit le même groupe sous le nom DeceptiveDevelopment et documente comment les faux sites d'entretien font fonctionner l'astuce de la caméra. Le site fait remplir au candidat un long formulaire, puis lui demande d'enregistrer une vidéo. L'accès à la caméra est demandé mais jamais réellement utilisé ; à la place, une erreur affirme que le micro et la caméra sont bloqués et propose un lien « How to fix » bien utile — qui invite la victime à coller une commande de terminal qui télécharge et exécute le malware. Les familles de charges utiles derrière ces appâts sont multiplateformes : BeaverTail, un infostealer en JavaScript visant portefeuilles et données de navigateur ; InvisibleFerret, un outil d'accès à distance en Python avec module AnyDesk ; OtterCookie ; et WeaselStore, en Go, livré sous forme de code source que la victime est invitée à compiler.Des tests de code sur npm et PyPI
Les chercheurs en supply chain voient la même économie depuis l'autre versant. En février 2026, BleepingComputer relayait les conclusions de ReversingLabs sur un ensemble de paquets baptisé Graphalgo : 192 bibliothèques malveillantes npm et PyPI imitant des paquets « graph » légitimes, semées dans des dépôts de tests de code par ailleurs propres sur GitHub. Les paquets sont restés inoffensifs jusqu'à ce qu'une mise à jour y ajoute un cheval de Troie d'accès à distance, avant d'être vite dépréciés pour masquer le basculement — un exemple, bigmathutils, avait accumulé environ 10 000 téléchargements avant sa version malveillante. Le RAT vérifie la présence de l'extension de navigateur MetaMask, exfiltre des fichiers et exécute des commandes depuis son serveur de contrôle, protégé par jetons selon ReversingLabs. Les chercheurs attribuent la campagne à Lazarus avec une confiance moyenne à élevée, citant des horodatages de commits dans le fuseau GMT+9.'Threat actors simply need to take a legitimate bare-bone project and fix it up with a malicious dependency and it is ready to be served to targets.' — ReversingLabs, via BleepingComputer
Le modèle s'étend
Il ne s'arrête plus aux ingénieurs. En juillet 2026, l'analyste de Team Cymru Will Thomas a documenté une campagne usurpant plus de 30 marques grand public — Adobe, Netflix, Coca-Cola, OpenAI, des compagnies aériennes et des groupes hôteliers — avec de faux courriels de recruteurs visant des professionnels du marketing. Les pages de destination demandent au candidat de se connecter avec Google pour planifier l'entretien, puis affichent dans la page une fausse connexion Google très convaincante — une technique browser-in-the-browser — pour capturer les identifiants. La mécanique diffère des cas de malware, car le prix ici est un compte et non un poste de travail, mais le scénario est celui des arnaques aux liens de suivi fictifs : fabriquer un petit obstacle plausible et donner à la cible une raison de cliquer.Signaux d'alerte
Quelques détails reviennent dans presque tous les cas documentés :- Un recruteur qui pousse vite vers une tâche de code et fournit un dépôt à exécuter en local, plutôt qu'un bac à sable hébergé ou une session de pair programming en direct.
- Un projet npm ou PyPI dont on ne peut nommer ni examiner les dépendances, ou un paquet propre jusqu'à sa dernière version.
- Un site d'entretien qui demande l'accès à la caméra ou au micro, signale un périphérique bloqué et propose une « correction » consistant à coller une commande dans un terminal.
- Une invite de l'éditeur à « faire confiance à l'auteur » d'un dépôt cloné, ou des instructions d'installation qui finissent par « collez ceci dans votre shell ».
- Un profil de recruteur qui ne correspond ni à la page carrières réelle de l'entreprise ni à un second canal indépendant.