Malwares cachés dans les faux tests de code pour des emplois crypto
Comment fonctionne le malware caché dans les faux tests de code pour des emplois crypto, les signaux d’alerte dans les messages de recruteurs et les dépôts à rendre, les façons sûres d’exécuter un test et que faire en cas d’infection.
Les faux tests de code pour des emplois crypto sont une attaque par malware dans laquelle un faux recruteur ou une fausse entreprise envoie à un candidat un projet à faire chez soi ou une tâche technique contenant du code malveillant caché ; lorsque le candidat l’installe ou l’exécute, le code vole wallets, mots de passe et identifiants, ou installe une porte dérobée. L’emploi, l’entreprise et souvent le recruteur qui mène l’entretien sont inventés : le test de code n’est que le vecteur de livraison.
Les développeurs sont des cibles attrayantes, car leurs machines contiennent souvent des wallets crypto, des clés privées, des identifiants cloud et des accès aux systèmes de leur employeur. Des chercheurs en sécurité ont publiquement relié certaines de ces campagnes à des groupes disposant de moyens importants et liés à des États, si bien que les appâts peuvent paraître très professionnels. Ce guide explique comment fonctionne l’attaque, à quoi ressemble une version réaliste et comment vous protéger.
Comment fonctionne l’attaque, étape par étape
- 1Premier contact. Un recruteur vous aborde sur un réseau professionnel, une messagerie ou un site d’emploi avec un poste attractif dans une startup crypto, souvent en télétravail, bien payé et urgent.
- 2Construction de la crédibilité. Vous recevez une fiche de poste soignée, un site web d’entreprise et parfois un court appel avec un « responsable du recrutement » sympathique. Les profils peuvent être volés ou générés par IA.
- 3Le test. Vous recevez un lien vers un dépôt de code ou un fichier ZIP et l’on vous demande de corriger un bug, d’ajouter une fonctionnalité ou de « simplement le lancer et examiner l’architecture ».
- 4L’exécution. La partie malveillante s’exécute lorsque vous installez les dépendances ou lancez l’application. Il peut s’agir d’un script post-install, d’un paquet trafiqué ou d’une ligne dans un fichier de configuration qui télécharge et exécute une seconde charge.
- 5Le vol. Le malware recherche les extensions de wallet du navigateur, les fichiers de wallet, les mots de passe enregistrés, les cookies, les clés SSH et les fichiers d’environnement, les envoie à l’attaquant et peut installer un outil d’accès à distance.
- 6L’encaissement. Vos wallets sont vidés, parfois plusieurs jours plus tard, et les identifiants professionnels volés peuvent servir à attaquer votre employeur actuel.
Une variante se passe du dépôt : la personne qui mène l’entretien prétend que son logiciel de réunion ne fonctionne pas et envoie un lien vers une application d’appel vidéo ou un pilote « corrigé », qui est en réalité le malware. Notre article Fausses mises à jour de navigateur et malwares captcha ciblant les utilisateurs de crypto développe ce point.
Un exemple composite
Ce qui suit est un scénario hypothétique qui combine des schémas courants ; ce n’est pas un cas réel.
Imaginez qu’un développeur backend, Sam, soit contacté par un recruteur pour un poste d’« ingénieur blockchain senior » dans une nouvelle startup DeFi. Après un échange agréable, Sam reçoit un dépôt privé pour un « tableau de bord de staking » et doit corriger un test en échec sous 24 heures. Sam le clone sur son ordinateur portable du quotidien et lance la commande d’installation. Le fichier de paquet contient un script post-install qui ressemble à une étape de build mais récupère une charge cachée. Les tests passent, Sam envoie sa correction et le recruteur ne donne plus de nouvelles. Une semaine plus tard, le wallet de navigateur de Sam est vidé et son compte cloud professionnel affiche des connexions depuis l’étranger.
Rien dans cette histoire n’exigeait que Sam « clique sur un mauvais lien ». Exécuter le code a suffi. Pour aller plus loin, consultez Escrocs se faisant passer pour des régulateurs et la police dans la crypto.
Liste des signaux d’alerte
| Signal d’alerte | Pourquoi c’est important |
|---|---|
| Offre non sollicitée avec un salaire inhabituellement élevé et de l’urgence | La pression réduit les vérifications attentives |
| Le recruteur ou l’entreprise a une présence en ligne mince, récente ou incohérente | Les fausses identités coûtent peu à créer |
| Le test doit être exécuté en local, rapidement, avec « npm install » ou équivalent en premier | Le but est l’exécution, pas votre revue de code |
| Le dépôt compte peu de commits, un seul contributeur ou des fichiers obfusqués | Le code malveillant est souvent caché dans des lignes minifiées ou encodées |
| Scripts install, pre-start ou post-install inhabituels | Ils s’exécutent automatiquement |
| Demande d’installer un logiciel spécial de réunion, d’évaluation ou un pilote | Une méthode classique de diffusion de malware |
| L’interlocuteur évite la vidéo, ou le domaine e-mail de « l’entreprise » est celui d’un fournisseur gratuit | Les vraies entreprises utilisent généralement leur propre domaine |
Notre guide sur les faux emplois crypto et les arnaques aux tâches couvre d’autres fraudes liées à l’emploi, et les arnaques crypto sur LinkedIn expliquent comment fonctionne l’usurpation de recruteurs sur les réseaux professionnels. Voir aussi : Fausses collectes caritatives et dons pour catastrophes en crypto.
Comment vous protéger
Avant d’exécuter quoi que ce soit
- Vérifiez l’entreprise de manière indépendante. Trouvez vous-même le site officiel de l’entreprise, vérifiez que le poste y figure et contactez-la par un canal publié. Voir comment vérifier qu’un site web est le site officiel d’un projet.
- Lisez avant d’exécuter. Ouvrez les fichiers de paquet ou de build et recherchez des scripts d’installation, des dépendances inconnues et de longues chaînes encodées.
- Désactivez les scripts automatiques lorsque votre gestionnaire de paquets le permet, afin que les dépendances ne puissent pas exécuter de code à l’installation à votre insu.
Isolez l’environnement
- Utilisez une machine virtuelle jetable, un conteneur ou un environnement de développement cloud.
- Assurez-vous qu’il ne contient ni wallets, ni phrases de récupération, ni gestionnaire de mots de passe, ni clés SSH, ni identifiants cloud, ni sessions de navigateur connectées.
- Supprimez-le une fois le test terminé.
Séparez le travail et l’argent
Conservez vos cryptos sur un hardware wallet et évitez de stocker des phrases de récupération ou des clés privées sur un ordinateur que vous utilisez pour développer. Un appareil dédié à la crypto, distinct de celui qui vous sert à expérimenter, limite fortement ce qu’une seule infection peut atteindre. Notre guide sur les attaques de la chaîne d’approvisionnement explique pourquoi les dépendances malveillantes sont dangereuses même dans des projets légitimes.
Que faire si vous avez exécuté un test suspect
- 1Déconnectez l’appareil d’internet et cessez de l’utiliser pour toute opération sensible.
- 2Depuis un appareil sain, transférez les fonds vers de nouveaux wallets avec des phrases de récupération toutes neuves. Ne réutilisez aucune phrase de récupération ayant été saisie ou stockée sur la machine infectée.
- 3Changez vos mots de passe et révoquez les sessions de votre messagerie, de vos plateformes d’échange, de votre hébergement de code et de vos comptes cloud, en commençant par la messagerie. Renouvelez vos clés d’API et vos clés SSH.
- 4Prévenez l’équipe sécurité de votre employeur si des identifiants ou du code professionnels se trouvaient sur l’appareil.
- 5Effacez et réinstallez le système d’exploitation avant de réutiliser l’ordinateur.
- 6Signalez-le. Signalez le faux profil de recruteur à la plateforme et l’incident aux autorités locales. Vous pouvez aussi signaler des projets ou domaines frauduleux via notre page de demande.
Notre checklist que faire immédiatement si votre wallet est compromis détaille les étapes de récupération.
En résumé
Un faux test de code pour un emploi crypto fait de vos propres mains le système de livraison de l’attaquant : dès que vous installez ou lancez le projet, un code caché peut voler tout ce qui se trouve sur votre machine. Traitez toute tâche à faire chez soi non sollicitée comme du code non fiable, vérifiez l’employeur de manière indépendante, n’exécutez les tests que dans un environnement propre et jetable, et conservez vos clés crypto sur un appareil distinct et dédié.
Questions fréquentes
Comment un test de code peut-il installer un malware ?
Un projet à faire chez soi est du vrai code qui s’exécute sur votre ordinateur. Les attaquants cachent du code malveillant dans une dépendance, un script d’installation, un fichier de configuration ou une ligne obfusquée du projet. Lorsque vous installez les dépendances ou lancez l’application, ce code s’exécute avec vos droits d’utilisateur et peut voler les données de vos wallets, vos mots de passe et vos cookies de session, ou installer une porte dérobée.
Qui est visé par les faux entretiens d’embauche crypto ?
Principalement les développeurs, en particulier ceux qui ont une expérience de la crypto ou du Web3, car leurs ordinateurs contiennent souvent des wallets, des clés privées, des clés d’API et des accès aux systèmes de l’entreprise. Les designers, community managers et autres chercheurs d’emploi sont aussi ciblés via de fausses applications de réunion ou de faux documents.
Est-il sûr d’exécuter un test de code dans une machine virtuelle ?
C’est bien plus sûr que de l’exécuter sur votre ordinateur principal, à condition que la machine virtuelle ou l’espace cloud ne contienne ni wallets, ni mots de passe enregistrés, ni clés SSH, ni accès à l’entreprise, et que vous la supprimiez ensuite. Cela ne rend pas l’offre d’emploi légitime ; cela limite seulement les dégâts si le code est malveillant.
Que faire si j’ai exécuté un test de code suspect ?
Déconnectez l’appareil puis, depuis un autre appareil sain, transférez vos fonds vers de nouveaux wallets avec de nouvelles phrases de récupération, changez vos mots de passe, révoquez les sessions et les clés d’API, et prévenez votre employeur si des comptes professionnels ont été exposés. Effacez ensuite l’ordinateur infecté et réinstallez-le avant de le réutiliser.