L'entretien d'embauche qui installe le logiciel malveillant
Un recruteur vous contacte pour un poste qui vous correspond de façon presque troublante. Il y a un entretien vidéo sympathique, puis un petit test de code à télécharger et à essayer. Voilà toute l'attaque.
Sept agences du Japon, des États-Unis, d'Australie et d'Allemagne ont signé le 18 septembre un avis conjoint décrivant un groupe nord-coréen qu'elles appellent WaterPlum, connu des chercheurs sous le nom de Contagious Interview. Entre décembre 2025 et juillet 2026, il s'est installé sur plus de 30 000 ordinateurs dans plus de 100 pays. Les opérateurs ont récupéré les identifiants d'environ 7 000 comptes de cryptomonnaie et transféré près de 1,7 milliard de yens, soit environ 10,7 millions de dollars, vers la Corée du Nord. Cinq familles de logiciels malveillants sont apparues dans la campagne, avec des noms comme BeaverTail et InvisibleFerret, diffusées via des paquets npm et des projets Visual Studio Code.
Les personnes visées étaient des concepteurs web, des ingénieurs et des spécialistes des cryptomonnaies, mais le stratagème lui-même ne demande aucune compétence technique pour fonctionner. On a dit à certaines victimes que leur caméra fonctionnait mal pendant l'entretien et on les a guidées vers une "solution" qui consistait en réalité à coller et exécuter une commande. D'autres ont simplement ouvert le devoir à rendre. Ce qui est sorti de ces machines dépasse largement les portefeuilles : mots de passe, contenu du presse-papiers, frappes au clavier et photographies de pièces d'identité. L'avis précise que ces identités volées sont réutilisées, afin que des informaticiens nord-coréens puissent se faire passer pour de vraies personnes lorsqu'ils postulent à l'étranger.
La défense n'a ici rien de spectaculaire. Rien de ce qu'un inconnu vous envoie pendant un recrutement ne devrait s'exécuter sur l'ordinateur avec lequel vous gérez vos comptes, et aucun recruteur sérieux n'a besoin que vous colliez une commande dans un terminal pour réparer une webcam. Un vrai test technique peut attendre que vous ayez vérifié l'existence de l'entreprise via un numéro ou une adresse que vous avez trouvés vous-même. Si vous pensez avoir déjà lancé quelque chose que vous n'auriez pas dû, le contrôle de sécurité de Tendvane liste ce qui est installé et ce qui démarre avec Windows, c'est-à-dire précisément là où ce genre de chose s'installe.