Une fausse interview peut ressembler à du travail normal de développeur. C’est ce qui rend cette attaque efficace.

Un recruteur contacte le candidat sur LinkedIn, propose un poste remote bien payé et envoie un exercice technique en ZIP. Le projet ressemble à un petit backend. Les dépendances ne paraissent pas suspectes. Le candidat ouvre, installe, lance les tests et fait peut-être un commit. Dans le cas publié par Citizen Dot, cette routine déclenchait le piège.

Ordinateur de développeur ouvrant un exercice d’entretien dans une sandbox isolée, avec les clés protégées à l’extérieur

L’archive contenait un répertoire .git déjà préparé avec des hooks. Le pre-commit choisissait un payload pour Linux, macOS ou Windows et lançait discrètement une commande distante. Les étapes suivantes téléchargeaient d’autres scripts, installaient des dépendances Node.js et exécutaient un parser obfusqué, avec des signaux compatibles avec le vol de tokens, credentials ou wallets.

Sur Hacker News, la discussion a atteint environ 408 points et 112 commentaires. Les échanges portaient surtout sur les protections concrètes: VM jetables, devcontainers, Git hooks, VS Code Workspace Trust et vérification des recruteurs.

Le contexte plus large

Proofpoint, The Hacker News, DomainTools et OpenSourceMalware ont déjà documenté des campagnes de recrutement piégé contre des développeurs. Les noms varient: Contagious Interview, Famous Chollima, Void Dokkaebi, UNK_DeadDrop. Il ne faut pas attribuer ce cas précis sans confirmation, mais le modèle est mûr.

Un poste de développeur peut contenir des SSH keys, GitHub tokens, identifiants npm/PyPI, sessions cloud, fichiers .env, accès VPN, wallets et code source. Pour un mainteneur open source, une clé volée peut devenir un incident de supply chain.

La bonne habitude

Un git clone normal ne copie pas automatiquement les hooks distants dans .git/hooks. Le danger augmente avec une archive ZIP qui contient déjà .git, des instructions de commit, core.hooksPath, scripts de package, .vscode/tasks.json, launch configs ou scripts d’installation.

Avant d’exécuter, inspectez les fichiers cachés: .git, .git/hooks, .vscode, .devcontainer, package.json, Makefile, Dockerfile et scripts. Cherchez les hooks, postinstall, URLs distantes, IP brutes et blobs encodés.

Travaillez dans une VM ou un devcontainer jetable, sans monter votre home, vos clés SSH, votre navigateur, votre password manager, vos tokens ou de vrais .env. Si vous avez déjà lancé un projet suspect, révoquez les sessions, faites tourner les secrets et prévenez la sécurité si la machine avait un accès professionnel.

La règle est calme mais ferme: le code inconnu d’un entretien doit aller dans un environnement jetable, pas sur la machine qui détient vos accès.