Fausse offre d’emploi et arnaque aux entretiens à distance : Lazarus nord-coréen BeaverTail Npm Repo Malware, fausses vérifications d'équipement et verrouillage d'identité¶

Réaliser en plein milieu d'un entretien d'embauche à distance ou d'un processus d'intégration que le « recruteur » ou le « responsable du recrutement » est en train de diriger un piège informatique ou financier sophistiqué est une urgence à deux fronts. Les escroqueries actuelles en matière d'emploi à distance se divisent en deux opérations hautement destructrices identifiées par le FBI, la CISA et les cyberagences mondiales : (1) ** Développeur de logiciels et logiciel malveillant "Coding Assessment" de cryptographie (Contagious Interview / Groupe Lazarus RPDC BeaverTail & InvisibleFerret)**, où un recruteur sur LinkedIn, Upwork ou Telegram demande à un ingénieur logiciel ou à un candidat Web3/AI de cloner un référentiel GitHub, GitLab ou Bitbucket et de l'exécuter npm install && npm start (ou une version Python/Docker) sur leur ordinateur portable principal pour « corriger un bug avant l'interview en direct », en exécutant silencieusement un voleur d'informations qui exfiltre chaque cookie de session de navigateur, coffre-fort de gestionnaire de mots de passe, .ssh clé, .env fichier et portefeuille de crypto-monnaie en moins de 5 secondes ; et (2) Faux chèques « équipement de bureau à domicile » et escroqueries de réexpédition de mules, où une entreprise usurpée mène un entretien par SMS/avec les équipes, envoie par e-mail un faux $2,500 to $5,000 recherchez « Configuration du MacBook Pro et du bureau à domicile » et vous demande de déposer le chèque sur mobile et de l'envoyer $2,200 via Zelle, Venmo, virement bancaire ou cartes-cadeaux à leur « fournisseur d'équipement informatique agréé » avant que le chèque ne soit rejeté quelques jours plus tard. Pour l'intégration du vol d'identité SSN/I-9 et de la fraude générale par chèque, voir arnaque aux fausses offres d'emploi, fraude aux contrôles d'équipement et vol d'identité à l'intégration; pour la rotation des clés du package npm/PyPI et le vol de cookies du navigateur, consultez compromission du package npm/PyPI de la chaîne d'approvisionnement et rotation des clés du poste de travail des développeurs et piratage de cookies de session, malware infostealer et révocation de mot de passe. Si vous faites face à une contrainte physique immédiate, à des menaces d'écrasement ou à une confrontation en personne par coursier, appelez votre numéro d'urgence local (911 aux États-Unis et au Canada, 112 dans toute l'Union européenne, 999 au Royaume-Uni) ou consultez notre annuaire des numéros d'urgence.

Fais ça maintenant¶

1. SI VOUS AVEZ COURU npm install, npm test, yarn, pip install, ou un faux Zoom/Teams/Miro .dmg/.exe pour un entretien d'embauche : DÉBRANCHEZ VOTRE ORDINATEUR DU WI-FI ET DE L'ETHERNET DANS LES 3 SECONDES :
2. Tirez sur le câble Ethernet ou désactivez immédiatement le Wi-Fi OFF.
3. Le BeaverTail La charge utile JavaScript/Node.js télécharge un environnement Python portable (-/.npl ou %UserProfile%\.pyp) et lance le InvisibleFerret porte dérobée, qui se connecte à une commande et contrôle (C2) serveur (:1224 / :1244) diffusant en direct vos frappes au clavier, votre presse-papiers et votre système de fichiers.
4. Utilisez un smartphone séparé et propre (iPhone ou Android sur les données cellulaires) pour évacuer tous les portefeuilles de crypto-monnaie et révoquer chaque session de navigateur active (Google, GitHub, AWS, Microsoft, Apple) :
5. BeaverTail cibles MetaMask, Phantom, Rabby, Coinbase Wallet, Trust Wallet, Exodus, Electrum et Solana CLI (-/.config/solana/id.json) fichiers du coffre-fort, ainsi que Login Data et Cookies depuis Chrome, Brave, Edge, Arc et Firefox, ainsi que votre macOS login.keychain-db.
6. À partir d'un appareil propre, transférez tous les actifs cryptographiques des hot wallets vers une toute nouvelle graine de portefeuille matériel, révoquez toutes les sessions Web actives dans Google (myaccount.google.com/security), GitHub (github.com/settings/sessions) et les consoles AWS/Cloud, et supprimez vos clés SSH et GPG compromises de GitHub/GitLab.
7. SI VOUS AVEZ DÉPOSÉ UN CHÈQUE « MATÉRIEL DE BUREAU À DOMICILE » D'UN EMPLOYEUR : N'ENVOYEZ PAS UN SEUL DOLLAR À UN « VENDEUR » ET APPELEZ IMMÉDIATEMENT LE SERVICE FRAUDE DE VOTRE BANQUE :
8. Même si votre application bancaire affiche le $3,500 vérifiez comme "Solde disponible / Fonds débloqués" que l'argent n'est PAS compensé. En vertu de la Réserve fédérale américaine Règlement CC (Expedited Funds Availability Act), les banques doivent rendre les dépôts par chèque provisoirement disponibles dans un délai 1 to 2 business days, alors que découvrir que le numéro d'acheminement/de compte du chèque est faux prend 5 to 14 business days.
9. Appelez le numéro au dos de votre carte de débit et signalez : * « J'ai été ciblé par une escroquerie par chèque d'emploi et j'ai déposé sans le savoir un chèque soupçonné d'être contrefait ; veuillez signaler le dépôt afin que mon compte ne soit pas fermé pour fraude. »*
10. SI VOUS AVEZ DÉJÀ ENVOYÉ DES FONDS ATM ZELLE, VENMO, WIRE OU BITCOIN AU « VENDEUR D'ÉQUIPEMENT » : Appelez immédiatement le bureau des fraudes/rappels de fil de votre banque (pour les virements, demandez un SWIFT / Fedwire Recall et FBI IC3 Recovery Asset Team geler ; pour Zelle/Faster Payments, signalez un paiement push autorisé (APP) arnaque à l'usurpation d'identité dans le cadre d'un emploi sous fraude aux applications de paiement push autorisées et droits au remboursement).
11. SI VOUS AVEZ TÉLÉCHARGÉ VOTRE SSN, PASSEPORT, PERMIS DE CONDUIRE, W-4, I-9 OU NUMÉRO DE ROUTAGE BANCAIRE DE DÉPÔT DIRECT : Gelez votre crédit chez Equifax, Experian et TransUnion, gelez ChexSystems, verrouillez votre SSN sur myE-Verify (myeverify.uscis.gov), et demandez à votre banque de fermer le numéro de compte courant exposé et d'ouvrir un numéro de compte de remplacement.
12. SI VOUS AVEZ ACCEPTÉ UN TRAVAIL DE "INSPECTION DE COLIS / COORDONNATEUR LOGISTIQUE" DE RÉCEPTION ET DE RÉEXPÉDITION DE COLIS DEPUIS VOTRE DOMICILE : ARRÊTEZ IMMÉDIATEMENT L'EXPÉDITION DE COLIS : Ces appareils électroniques (iPhones, MacBooks, camera lenses) ont été achetés avec des cartes de crédit volées et expédiés à votre domicile (Parcel Mule Scam). Conservez toutes les étiquettes d'expédition et les journaux de discussion et contactez la police locale ou le ** Service d'inspection postale des États-Unis (USPIS)**.

Arbre de décision : entretien à distance et faux triage d'urgence pour un emploi¶

Utilisez cet organigramme pour accéder directement au protocole de confinement correspondant à la variante exacte de l'arnaque au travail que vous avez rencontrée :

flowchart TD
    Start["Urgence : suspicion de faux entretien d'embauche, de test de codage ou d'arnaque à l'intégration"] --> ScamType{"Qu'est-ce que le « recruteur » ou « l'employeur » vous a demandé de faire ?"}

    ScamType -->|"1. Clonez un dépôt Git et exécutez npm / Python / Docker OU installez une application d'appel vidéo personnalisée"| DevTrap["CRITIQUE : Interview contagieuse de la RPDC (BeaverTail / InvisibleFerret) Info-Stealer"]

    ScamType -->|"2. Déposez un chèque (PDF/Mail) et envoyez de l'argent à un « fournisseur d'équipement agréé »"| CheckTrap["Arnaque aux faux chèques en trop-payé : un chèque provisoirement crédité sera rebondi dans 5 à 14 jours"]

    ScamType -->|"3. Remplir le formulaire I-9 / W-4 / SSN / Passeport / Dépôt direct avant de découvrir une arnaque"| IdTrap["Intégration du vol d'identité et de paie : geler le crédit, ChexSystems, le code PIN IP IRS et le compte bancaire"]

    ScamType -->|"4. Recevez des colis à la maison, inspectez-les et réexpédiez-les avec les étiquettes fournies OU payez la « tâche » en crypto"| MuleOrTask["Réexpédition de colis Mule OU arnaque aux tâches cryptographiques « optimisation d'application »"]

    DevTrap --> CutNet["1. Désactivez le Wi-Fi / Débranchez Ethernet immédiatement sur le poste de travail du développeur"]
    CutNet --> EvacPhone["2. Sur un téléphone propre : déplacer les actifs cryptographiques + révoquer les sessions Google/GitHub/AWS + faire pivoter les clés SSH"]
    EvacPhone -->ForensicClean["3. Inspectez -/.npl, -/.pyp, package.json et les profils de navigateur -> Effacer et réinstaller proprement le système d'exploitation"]

    CheckTrap --> SentMoney{"Avez-vous déjà envoyé de l'argent au « vendeur d'équipement » ?"}
    SentMoney -->|"Non : Chèque déposé, 0 $ envoyé"| WarnBank["NE touchez PAS les fonds -> Appelez immédiatement le service de fraude bancaire pour signaler un dépôt de chèque sans provision sans le savoir"]
    SentMoney -->|"Oui : envoyé via Zelle / Wire / Crypto / Cartes-cadeaux"| RecallFunds["Appelez immédiatement le virement bancaire/le bureau des fraudes -> Couvrez le découvert négatif avant le rebond du chèque -> Déposez le rapport IC3"]

    IdTrap --> LockCredit["Geler Equifax/Experian/TransUnion + ChexSystems -> Fermer le numéro de compte bancaire exposé -> Verrouiller myE-Verify"]
    MuleOrTask --> StopShip["Arrêtez de réexpédier des colis et arrêtez de déposer des crypto-monnaies -> Préservez les lettres de transport et signalez-les à USPIS / IC3"]

Phase 1 : Comment fonctionnent sous le capot les deux principaux pièges du travail à distance¶

Comparez les mécanismes techniques et les indicateurs d’alerte des trois principaux vecteurs d’urgence pour l’emploi actifs dans le monde :

Phase 2 : Intervention d'urgence pour les développeurs de logiciels (Contagious Interview / BeaverTail / InvisibleFerret)¶

Si vous êtes un développeur de logiciels qui a cloné un référentiel provenant d'un recruteur ou d'un intervieweur et qui a exécuté npm install, npm start, yarn, pnpm, python, cargo, ou un exécutable sur votre poste de travail Windows, macOS ou Linux, suivez cette séquence exacte de réponse aux incidents basée sur les renseignements sur les menaces Palo Alto Networks Unit 42, CrowdStrike et CISA/FBI sur la Corée du Nord**.Contagious Interview** campagne.

Étape 1 : Comprendre les 2 étapes BeaverTail -> InvisibleFerret Kill Chain sur votre disque¶

Comment un référentiel React/Node.js apparemment normal a-t-il infecté votre Mac ou PC sans déclencher une fenêtre contextuelle antivirus ?

+-------------------------------------------------------------------------+
| ANATOMY OF A CONTAGIOUS INTERVIEW (BEAVERTAIL) MALICIOUS REPO           |
|                                                                         |
| 1. The Decoy Repo (e.g., "mern-ecommerce-assessment" or "defi-dex-ui"): |
|    - 99% of the repo is real, working React/Express boilerplate code.   |
|    - Hidden at the very end of `server/routes/api/auth.js` or           |
|      `backend/controllers/userController.js` (often scrolled 300 spaces |
|      to the right on one line so you do not see it in VS Code) is an    |
|      obfuscated `eval(Buffer.from(...))` or `axios.get(...)` call.      |
|                                                                         |
| 2. Stage 1: BeaverTail (JavaScript Info-Stealer inside Node.js):        |
|    - Scans Chrome, Brave, Opera, Edge, Vivaldi (`Default` & `Profile N`)|
|      for `Login Data`, `Local Extension Settings` (MetaMask `nkbihfbeog`|
|      Phantom `bfnaelmome`, Rabby `acmacodkjb`), and Solana `id.json`.   |
|    - Uploads stolen vaults & cookies immediately to `http://<C2>:1224`. |
|                                                                         |
| 3. Stage 2: InvisibleFerret (Python Backdoor + AnyDesk Persistence):    |
|    - BeaverTail downloads a standalone portable Python 3.11 zip into    |
|      `~/.npl/` or `%UserProfile%\.pyp\` and runs `~/.npl/.pyp/python`   |
|      executing `~/.npl/main.py` (`InvisibleFerret`).                    |
|    - InvisibleFerret logs keystrokes, reads your clipboard, scans your  |
|      entire drive for `.env`, `.ssh`, `seed`, `mnemonic`, and silently  |
|      downloads/configures `AnyDesk` for full remote desktop control.    |
+-------------------------------------------------------------------------+

Étape 2 : Vérifiez l'exactitude BeaverTail et InvisibleFerret Indicateurs de compromission (IoCs)¶

Pendant que votre ordinateur Mac, Linux ou Windows infecté est complètement déconnecté du Wi-Fi et d'Ethernet, ouvrez un terminal (ou PowerShell) pour vérifier si l'étape 2 (InvisibleFerret) a été déposé sur votre disque :

# On macOS or Linux (WITH WI-FI OFF):
ls -la ~/.npl ~/.pyp ~/.vscode
ps aux | grep -iE "npl|pyp|main\.py|anydesk|node"

# Search the cloned interview repository for hidden horizontal-scroll obfuscation or base64 evals:
grep -rnE "Buffer\.from|child_process|execSync|\.npl|\.pyp|:1224|:1244|nkbihfbeogaeaoehlefnkodbefgpgknn" /path/to/cloned/interview_repo/

# On Windows PowerShell (WITH WI-FI / ETHERNET OFF):
Get-ChildItem -Path $env:USERPROFILE -Force | Where-Object { $_.Name -match "^\.(npl|pyp)" }
Get-Process | Where-Object { $_.Path -match "npl|pyp|AnyDesk" }

Étape 3 : Exécuter les informations d'identification du développeur et l'évacuation de la cryptographie en 15 minutes (à partir d'un appareil propre)¶

Ne saisissez pas de nouveaux mots de passe ou phrases de départ sur l'ordinateur infecté. Utiliser un smartphone propre (iPhone / Android) ou un ordinateur distinct non compromis :

1. ** Évacuez immédiatement tous les portefeuilles chauds de crypto-monnaie (Minutes 0 to 5)** :
2. Même si votre portefeuille MetaMask, Phantom, Rabby ou Exodus était verrouillé avec un mot de passe, BeaverTail téléchargé votre fichier de coffre-fort chiffré (000003.log / LOCK / Local Extension Settings) et InvisibleFerret exécute un moniteur keylogger/presse-papiers (et sur macOS apparaît un faux natif osascript boîte de dialogue de mot de passe demandant le mot de passe de votre système Mac à déverrouiller login.keychain-db).
3. Créez un tout nouveau portefeuille sur votre smartphone ou portefeuille matériel (Ledger / Trezor) avec une toute nouvelle phrase de départ de 12/24 mots et transférez 100 % de vos jetons, NFT et positions de jalonnement de chaque portefeuille qui a déjà touché cet ordinateur.
4. Révoquer tous les GitHub, GitLab, Bitbucket et Cloud (AWS / GCP / Azure / Vercel) informations d'identification (Minutes 5 to 10) :
5. GitHub : Connectez-vous sur votre téléphone -> Paramètres -> Clés SSH et GPG -> Supprimer chaque clé SSH stockée dans -/.ssh/ sur l'ordinateur portable infecté. Accédez ensuite à Paramètres -> Paramètres du développeur -> Jetons d'accès personnels (révoquer tous les jetons) et Paramètres -> Sessions -> Révoquer toutes les sessions.
6. AWS / GCP / Cloud : désactivez immédiatement chaque AWS_ACCESS_KEY_ID stocké dans -/.aws/credentials ou à l'intérieur de n'importe quel .env fichier sur cet ordinateur portable (InvisibleFerret analyse récursivement chaque dossier de projet sur votre lecteur pour .env, .npmrc, .pypirc, kubeconfig, et id_rsa).
7. Si vous aviez des référentiels/clés d'employeur ou de client sur cet ordinateur portable : informez le centre des opérations de sécurité de votre employeur (SOC / CISO) immédiatement afin qu'ils puissent effectuer une rotation au sein de l'entreprise .env secrets et engagements d’audit.
8. Révoquer toutes les sessions du navigateur (Google, Microsoft, Apple, Slack, Discord, Telegram) (Minutes 10 to 15) :
9. N'oubliez pas : la modification d'un mot de passe n'invalide souvent pas les cookies de session volés, sauf si vous cliquez explicitement sur « Se déconnecter de tous les appareils / Révoquer toutes les sessions » dans la sécurité Google, le compte Microsoft, Slack, Discord et X/Twitter.
10. Modifiez votre Gestionnaire de mots de passe (1Password, Bitwarden, Keeper) mot de passe principal et révoquez le jeton de périphérique autorisé de l'ordinateur portable infecté.
11. Effacez et réinstallez le système d'exploitation sur le poste de travail infecté : Parce que InvisibleFerret installe des tâches persistantes en arrière-plan, modifie les binaires du navigateur et supprime AnyDesk accès à distance, il suffit de supprimer -/.npl et le référentiel cloné est insuffisant. Sauvegardez uniquement les documents/fichiers sources bruts (vérifiés propres avec git status / git diff), puis effectuez un effacement complet du système d'exploitation et réinstallez-le (macOS Erase All Content and Settings ou nettoyage de la partition USB Windows).

Phase 3 : Intervention d'urgence en cas de fausses escroqueries liées aux chèques « équipement de bureau à domicile »¶

Si on vous proposait un emploi à distance (Administrative Assistant, Data Entry, Customer Support, Project Coordinator, Graphic Designer), reçu un chèque (par e-mail PDF à imprimer et à déposer sur mobile, ou via une enveloppe FedEx/UPS pendant la nuit) pour acheter un ordinateur portable et du matériel de bureau à domicile, et l'a déposé sur votre compte bancaire, vous êtes dans une course contre la Fenêtre de retour de compensation des chèques de la Réserve fédérale.

1. Pourquoi l'application bancaire indique « Fonds disponibles » sur un faux chèque à 100 % (The Regulation CC Float Trap)¶

+-------------------------------------------------------------------------+
| HOW THE FAKE "EQUIPMENT CHECK" FLOAT TRAP WORKS                         |
|                                                                         |
| Day 1 (Monday): You deposit the scammer's $3,500 "Equipment Check"      |
|                 using your bank's Mobile Deposit app.                   |
| Day 2 (Tuesday): Under US Federal Law (Regulation CC), your bank MUST   |
|                  release the funds within 1-2 business days. Your app   |
|                  now shows: "Available Balance: +$3,500.00".            |
| Day 2 (Tuesday PM): "Hiring Manager" tells you to Zelle/Wire $2,800     |
|                     immediately to their "Approved MacBook Vendor" so   |
|                     your laptop arrives by Friday.                      |
| Day 8 (Next Tuesday): The real corporate bank whose routing/account     |
|                       number was forged on the check rejects it as      |
|                       COUNTERFEIT / ALTERED (`Return Code R29 / Refer   |
|                       to Maker`).                                       |
| RESULT ON DAY 8:                                                        |
|   - Your bank claws back the full $3,500.00 from your balance.          |
|   - The $2,800 you sent via Zelle/Wire is gone forever.                 |
|   - Your account drops to -$2,800.00 overdraft, and your bank's risk    |
|     algorithm may freeze/close your account and report you to           |
|     ChexSystems as a check-fraud risk.                                  |
+-------------------------------------------------------------------------+

2. Protocole de protection bancaire étape par étape si vous avez déposé le chèque¶

Cas A : Vous avez déposé le chèque, mais vous n'avez PAS encore envoyé d'argent au « fournisseur »¶

Vous avez perdu $0 jusqu'à présent, et vous pouvez empêcher votre banque de fermer votre compte si vous agissez maintenant : 1. Ne retirez, dépensez ou transférez PAS un seul centime des fonds du chèque déposé. Laissez le plein $3,500 rester intact sur le compte de sorte que lorsque le chèque est sans provision dans 5 à 10 jours ouvrables, la banque récupère proprement son propre crédit provisoire avec $0 découvert. 2. Appelez immédiatement le service des fraudes de votre banque (ou rendez-vous dans une agence physique et parlez à un directeur d'agence) : - Lorsqu'un chèque contrefait rebondit silencieusement sans explication, des moteurs de risque bancaire automatisés (Early Warning Services / ChexSystems) ne peut pas dire si vous êtes l'escroc ou une victime innocente à la recherche d'un emploi. - Dites clairement au représentant de la banque : * « J'ai postulé pour un emploi à distance et l'escroc m'a envoyé un chèque d'équipement de « 3 500 $ » que j'ai déposé par mobile aujourd'hui. Je viens de réaliser qu'il s'agit d'une fausse arnaque par chèque d'emploi. - Demandez à la banque de renoncer au $15 to $35 Frais d'article déposé retourné et confirmez que votre compte ne sera pas signalé pour fermeture.

Cas B : Vous avez déposé le chèque ET déjà envoyé de l’argent (Zelle, Venmo, Wire, Cash App, Crypto, ou Gift Cards)¶

1. Appelez le service fraude de votre banque dans les 60 secondes :
2. Signalez les deux côtés du crime : (a) le dépôt de chèque entrant est un chèque d'arnaque à l'emploi contrefait qui va rebondir, et (b) le transfert Zelle / Venmo / Wire / ACH sortant a été induit par une fraude à l'emploi.
3. Si vous avez envoyé un virement bancaire (Fedwire / SWIFT) au cours des dernières 24 à 72 heures : Exigez un rappel téléphonique frauduleux immédiat (SWIFT MT192 / pacs.004) et déposez un rapport urgent à ic3.gov donc l'équipe de récupération des actifs du FBI (RAT) peut émettre une chaîne de lutte contre la fraude financière (FFKC) geler le compte mule destinataire.
4. Si vous avez envoyé Zelle, Venmo, ou au Royaume-Uni Faster Payments : Déposez un Paiement push autorisé (APP) réclamation pour fraude et demandez les détails de l'acheminement/de l'institution de la banque réceptrice (Zelle Network Fraud).
5. Si l'escroc vous a demandé d'acheter des cartes-cadeaux Apple, Razer Gold, Steam ou Target : Appelez immédiatement la ligne anti-fraude de l'émetteur de la carte-cadeau avec les numéros de série des reçus pour geler tout solde non utilisé de la carte.
6. Préparez-vous pour le $3,500 vérifiez la récupération afin que votre compte ne devienne pas négatif lors de la facturation de ChexSystems :
7. Quand le faux $3,500 chèque sans provision dans 5 à 10 jours, votre banque déduira $3,500 depuis votre compte. Collaborez avec l'équipe de détection des fraudes de votre banque pour mettre en place un plan de remboursement sans intérêt pour tout solde négatif avant le 30e jour afin que la banque ne signale pas une fermeture de compte involontaire à ChexSystems ou Early Warning Services (EWS).

Phase 4 : Verrouiller votre identité si vous avez soumis un I-9, W-4, SSN, Passeport ou Formulaire de dépôt direct¶

Les faux recruteurs envoient presque toujours un « Onboarding Packet » (Form W-4, Form I-9, Direct Deposit Authorization, et des photos recto verso de votre permis de conduire, de votre passeport ou de votre carte de sécurité sociale) avant de lancer le contrôle ou le piège des logiciels malveillants. Si vous avez envoyé l’un de ces documents, exécutez dès aujourd’hui ce verrouillage d’identité en 5 étapes :

1. Fermez le numéro de compte bancaire exposé (Direct Deposit formulaire) : Un formulaire de dépôt direct donne à l'escroc votre numéro d'acheminement bancaire (ABA) et le numéro de compte courant complet, ainsi qu'une copie d'un chèque annulé avec votre signature, ce qui représente tout ce dont vous avez besoin pour imprimer des chèques papier frauduleux ou lancer des transactions non autorisées. ACH Debit extrait de votre compte. Dites à votre banque de fermer ce numéro de compte et de transférer vos fonds vers un tout nouveau numéro de compte interne.
2. Placez un gel de crédit gratuit dans les trois bureaux de crédit :
3. Équifax (equifax.com/personal/credit-report-services/credit-freeze/ / 1-888-298-0045)
4. Expérien (experian.com/freeze/ / 1-888-397-3742)
5. TransUnion (transunion.com/credit-freeze / 1-800-916-8800)
6. ** Geler ChexSystems (chexsystems.com) et NCTUE** : Les banques utilisent ChexSystems (pas Equifax/Experian) lorsque quelqu'un ouvre un compte courant à votre nom. Placez un Gel de sécurité ChexSystems gratuit en ligne afin que les escrocs ne puissent pas ouvrir de comptes bancaires mulets en utilisant votre permis de conduire volé et votre paquet I-9.
7. ** Verrouillez votre numéro de sécurité sociale myE-Verify (USCIS)** : Allez à myeverify.uscis.gov et activez Self Lock, qui empêche quiconque d'utiliser votre SSN dans le système d'emploi fédéral E-Verify.
8. Obtenez un IRS Identity Protection PIN (IP PIN) (irs.gov/ippin) : Empêchez les fraudeurs de produire une déclaration de remboursement d'impôt frauduleuse à votre nom en vous inscrivant immédiatement à un PIN IP IRS à 6 chiffres.

Phase 5 : Arrêter une arnaque « Parcel Reshipping Mule » ou « Crypto Task » en toute sécurité¶

Et si vous étiez embauché pour l’une de ces deux escroqueries au travail à distance sans contrôle ?

Scénario 1 : Vous avez accepté un travail de "Contrôle Qualité / Réexpédition de Colis" et avez des colis chez vous¶

Si vous avez reçu des MacBook, des iPhones ou des appareils électroniques à votre domicile et que vous avez reçu des étiquettes d'expédition PDF USPS/UPS/FedEx prépayées pour les transférer : - ARRÊTEZ d'expédier les colis immédiatement. Chaque colis arrivant chez vous a été acheté à l'aide d'une carte de crédit volée sur laquelle l'escroc a entré votre nom et votre adresse personnelle comme Ship To adresse. - Ne renvoyez PAS les colis à l'adresse de l'escroc : conservez les boîtes non ouvertes, enregistrez chaque e-mail, chat Telegram, étiquette d'expédition PDF et contrat de travail comme preuve, et contactez la police locale et les États-Unis. Service d'inspection postale (1-877-876-2455 / uspis.gov) (ou Action Fraud au Royaume-Uni) pour organiser le retour de la marchandise aux détaillants fraudés.

Scénario 2 : Vous avez été recruté via WhatsApp/Telegram pour un travail de tâche cryptographique « Optimisation d'application/évaluation de produit »¶

• Comment fonctionne le piège : "L'employeur" vous paie $50 to $150 en vrai USDT le premier jour pour avoir cliqué sur des boutons dans un faux portail Web. Le jour 2 ou le jour 3, votre compte effectue une "Tâche combinée" qui place le solde de votre portail à -$400 et vous oblige à déposer $400 de votre propre USDT pour "accomplir l'ensemble des 40 tâches". Au moment où vous déposez $400, une deuxième tâche exige $1,800, alors $6,000, alors $25,000 pour « impôts ».
• Action immédiate : ARRÊTEZ de déposer des crypto-monnaies immédiatement. Les numéros sur le site Web de la tâche sont de fausses valeurs HTML contrôlées par l'escroc ; payer le solde négatif ne débloquera jamais un retrait. Coupez tout contact et évitez les « hackers de récupération de crypto » sur Telegram ou Instagram.

Numéros d'urgence régionaux et protocoles des agences¶

Signaler un logiciel malveillant pour les entretiens à distance (Contagious Interview), la fraude aux chèques d'emploi et l'usurpation d'identité auprès des autorités cybernétiques et financières officielles de votre région :

• États-Unis et Canada : Composez 911 pour toute urgence de sécurité physique. Signaler les logiciels malveillants du développeur (Lazarus / BeaverTail) et de faux contrôles de travail/pertes de tâches au profit du ** FBI IC3 (ic3.gov)**, la FTC (ReportFraud.ftc.gov et IdentityTheft.gov) et le USPIS (1-877-876-2455). Au Canada, contactez le Centre antifraude du Canada (1-888-495-8501) et le Centre canadien pour la cybersécurité (1-833-CYBER-88).
• Royaume-Uni : Composez 999 pour les urgences ou 101 pour la police locale. Composez 159 pour vous connecter au service de fraude de votre banque et signaler les fausses escroqueries au travail et les logiciels malveillants des développeurs à Action Fraud (0300 123 2040 / actionfraud.police.uk) et le NCSC (ncsc.gov.uk). Considérez Enregistrement de protection CIFAS (cifas.org.uk).
• Union européenne : Composez 112 Dans tous les États membres de l'UE, informez immédiatement le bureau des fraudes de votre banque et déposez un rapport auprès de l'unité de cybercriminalité de votre police nationale et du CSIRT national.
• Australie et Nouvelle-Zélande : Composez 000 en Australie ou 111 en Nouvelle-Zélande. Signalez les escroqueries à l'emploi et aux tâches à Scamwatch (scamwatch.gov.au), ReportCyber (cyber.gov.au, 1300 CYBER1), et contactez IDCARE (1800 595 160 en UA / 0800 121 068 en Nouvelle-Zélande).
• Inde et Asie-Pacifique : Composez 112 en Inde en cas d'urgence et appelez la ligne d'assistance nationale contre la cybercriminalité (1930 / cybercrime.gov.in) immédiatement pour geler les virements bancaires frauduleux. À Singapour, appelez la ligne d'assistance anti-arnaque (1799).

Questions fréquemment posées¶

J'ai cloné le dépôt GitHub du recruteur (git clone ...), a ouvert les fichiers dans VS Code pour les lire et n'a JAMAIS exécuté npm install ou npm start. Suis-je toujours infecté ?¶

Contrairement à `npm install` (qui court `package.json` scripts), fonctionnant à nu `git clone` et lire clairement `.js` les fichiers n'exécutent pas le code par eux-mêmes À MOINS que le référentiel ne contienne un fichier malveillant `.vscode/tasks.json` fichier avec `"runOn": "folderOpen"` ET vous avez cliqué sur "Oui, je fais confiance aux auteurs" lorsque VS Code a ouvert le dossier. Vérifiez si un `.vscode/tasks.json` le fichier existe dans le dépôt cloné (`cat /path/to/repo/.vscode/tasks.json`) et vérifiez si `-/.npl` ou `-/.pyp` a été créé dans votre répertoire personnel. Si ni l'un ni l'autre n'existe et que tu n'as jamais couru `npm`, `yarn`, `python`, ou `node`, votre système n'a pas exécuté la charge utile : supprimez simplement le dossier cloné.

Et si j'exécutais le test de codage de l'entretien dans un conteneur Docker (docker compose up) sur mon Mac ou mon PC Windows ? Le conteneur m'a-t-il protégé ?¶

Cela dépend des volumes qui ont été montés à l'intérieur `docker-compose.yml` ou le `Dockerfile`. Si vous avez exécuté le conteneur avec un système de fichiers isolé, le logiciel malveillant ne pouvait pas voir les cookies Chrome de votre hôte ou l'extension MetaMask. Cependant, beaucoup `Contagious Interview` les référentiels incluent un `docker-compose.yml` qui monte secrètement le répertoire personnel de votre hôte (`volumes: - -/.ssh:/root/.ssh` ou `- -/:/host_home`) ou fonctionne avec `privileged: true`. Inspecter `docker-compose.yml` dans le dépôt immédiatement : s'il est monté `-`, `$HOME`, ou `/Users`, considérez votre ordinateur portable hôte comme compromis.

Comment un chèque pourrait-il être faux s'il s'agissait d'un « chèque de banque » délivré par FedEx Overnight avec un filigrane et que le caissier de la banque l'acceptait au guichet ?¶

Les chèques de banque contrefaits sont imprimés sur du véritable stock de chèques chimiques en utilisant le numéro d'acheminement valide et le magnétique. `MICR` police d'encre d'une grande banque. Un caissier humain au guichet d'une succursale vérifie uniquement que le numéro d'acheminement est valide et que le chèque semble physiquement authentique ; le caissier ne peut pas consulter le grand livre interne d'une autre banque pour savoir si le numéro de série du chèque a réellement été émis. Uniquement lorsque l'image du chèque transite par la chambre de compensation de la Réserve fédérale (`5 to 10 business days later`) la banque émettrice le rejette-t-elle comme contrefaçon.

Puis-je aller en prison si, sans le savoir, j'ai déposé un faux chèque d'emploi et dépensé une partie de l'argent avant qu'il ne soit rejeté ?¶

Être trompé par une arnaque au chèque d'emploi n'a pas d'intention criminelle (`mens rea`), à condition de ne pas mentir à la banque et de signaler l'arnaque au service des fraudes de la banque et à la police (`IC3` / rapport de la police locale) immédiatement. Cependant, en vertu de la convention de compte de dépôt de votre banque et du **Code de commerce uniforme (`UCC § 4-207 / § 4-214`)**, le titulaire du compte qui endosse et dépose un chèque est civilement et contractuellement tenu de rembourser à la banque 100 pour cent de tout solde de découvert négatif lorsqu'un chèque déposé revient impayé.

Pourquoi le recruteur a-t-il mené un véritable appel vidéo de 30 minutes avec moi sur Zoom/Google Meet s'il s'agissait de hackers nord-coréens de Lazarus ?¶

La RPDC **`Contagious Interview` (`UNC4899` / `Famous Chollima`)** Les opérateurs emploient des anglophones courants pour effectuer des appels de sélection RH convaincants de 20 à 45 minutes sur Zoom, Google Meet ou Calendly. Parce qu'un seul poste de travail de développeur contient souvent `$50,000 to $2,000,000+` dans les clés du protocole DeFi, l'accès multisig à la trésorerie ou les informations d'identification de production cloud d'entreprise, passez 30 minutes sur un appel vidéo en direct pour vous convaincre de courir `npm install` selon leur évaluation, le repo présente un retour sur investissement élevé pour l'acteur menaçant.

Que se passe-t-il si « l'employeur » envoyait de l'argent sur mon compte bancaire via ACH/Zelle et me demandait de retirer de l'argent ou d'acheter du Bitcoin pour l'envoyer à son client ?¶

C'est une **Money Mule (`Layering`)** opération. Contrairement à un chèque papier (qui est sans provision avant d'être réglé), si `$4,000` effectivement arrivé sur votre compte via `ACH`, `Zelle`, ou `Wire`, **que `$4,000` a été volé sur le compte bancaire d'une victime innocente de piratage informatique ou d'escroquerie amoureuse**. Si vous le retirez ou le convertissez en Bitcoin pour votre « employeur », les forces de l'ordre et la banque de la victime retracent les fonds volés directement sur votre compte bancaire. Ne retirez ni ne transférez pas un seul centime ; appelez immédiatement le service des fraudes de votre banque et demandez-lui de restituer le virement non autorisé à l'institution d'origine.

Guides associés¶

• Arnaque à de fausses offres d'emploi, fraude au contrôle d'équipement et vol d'identité à l'intégration
• Compromission du package npm/PyPI de la chaîne d’approvisionnement et rotation des clés du poste de travail des développeurs
• Détournement de cookies de session, logiciels malveillants infostealer et révocation de mot de passe
• Faux logiciel malveillant du presse-papiers CAPTCHA ClickFix PowerShell Win+R et correction Lumma Infostealer
• Épuisement du portefeuille de crypto-monnaie et compromission de la phrase de départ
• Fraude aux applications de paiement push autorisé (APP) : usurpation d'identité et droits de remboursement de Zelle, Venmo et Faster Payments
• Réponse au vol d'identité
• Numéros d'urgence par pays

Sources et directives officielles¶

• Bureau fédéral d'enquête (FBI), Agence de cybersécurité et de sécurité des infrastructures (CISA) et le Centre de cybercriminalité du DoD (DC3) (États-Unis) : Conseil conjoint : Corée du Nord (DPRK) Campagnes d'ingénierie sociale ciblant les développeurs de logiciels (Contagious Interview / BeaverTail / InvisibleFerret).
• Unité 42 de Palo Alto Networks (unit42.paloaltonetworks.com): Les acteurs nord-coréens de la menace attirent les demandeurs d'emploi dans le secteur technologique en les faisant passer pour de faux recruteurs (Contagious Interview Analyse).
• Commission fédérale du commerce (FTC) et Federal Reserve Board (États-Unis) : Conseils aux consommateurs sur les escroqueries aux faux chèques, les colis mules et Regulation CC (12 CFR Part 229) Règles.
• Services de citoyenneté et d'immigration des États-Unis (USCIS) : myE-Verify Guide de protection de l’identité à verrouillage automatique.
• Centre national de cybersécurité (NCSC) & Action Fraud (Royaume-Uni) : Atténuation des référentiels de codes malveillants et de la fraude au recrutement.