Des faux CV piégés visent les services de ressources humaines des entreprises françaises : les chercheurs de Securonix ont publié le 24 mars 2026 l’analyse de cette campagne, baptisée FAUX#ELEVATE. Le courriel ressemble à une candidature ordinaire. La pièce jointe, nommée « nouveau_curriculum_vitae.vbs », est en réalité un script Windows.
À l’ouverture, un faux message d’erreur en français annonce un document corrompu. Le recruteur passe donc à la candidature suivante. Pendant ce temps, le script s’installe. Selon Securonix, la chaîne complète, de l’exécution jusqu’au vol des identifiants, dure environ 25 secondes.
Comment les faux CV piégés trompent l’antivirus
Le fichier pèse 9,7 Mo et compte 224 471 lignes. Seules 266 d’entre elles, soit 0,12 %, forment le code malveillant. Le reste se compose de commentaires en anglais sans rapport avec le script, ajoutés pour noyer les motifs que les antivirus recherchent.
Avant d’agir, le script interroge Windows pour savoir si le poste appartient à un domaine d’entreprise. Sur un ordinateur personnel, il ne déploie pas ses charges. Les auteurs visent donc les postes reliés à un réseau professionnel, là où se trouvent les comptes et les données de l’entreprise.
Ensuite, le script réclame les droits d’administrateur en boucle, jusqu’à ce que l’utilisateur cède. Une fois ces droits obtenus, il exclut les lecteurs C: à I: de l’analyse de Microsoft Defender et désactive le contrôle de compte d’utilisateur (UAC).
Mots de passe volés et minage de Monero
Le script télécharge ensuite ses outils depuis Dropbox, un service courant qui ne déclenche pas d’alerte réseau. Sa configuration se trouve sur des sites WordPress compromis au Maroc.
Un outil appelé ChromElevator extrait les mots de passe enregistrés dans Chrome, Edge et Brave. Firefox n’échappe pas au vol : l’historique, les cookies et les mots de passe partent aussi.
Les données volées quittent le poste par courriel, via le serveur smtp.mail.ru (port 465, connexion chiffrée), étiquetées selon le pays de la victime et le type d’information.
En parallèle, l’outil XMRig transforme le poste en machine de minage de Monero. Le minage s’arrête dès que l’utilisateur touche son clavier ou sa souris, puis reprend quand le poste reste inactif. Ses échanges avec le serveur de minage sont chiffrés et passent par le port 443, comme une navigation HTTPS ordinaire.
Un poste RH compromis, une violation de données à traiter
Les faux CV piégés visent un poste qui contient des CV, des coordonnées de candidats et souvent des accès au logiciel de paie ou au SIRH. Les mots de passe enregistrés dans le navigateur ouvrent donc l’accès à ces données. Dès que vous constatez l’infection, traitez l’événement comme une violation de données personnelles.
L’article 33 du RGPD impose de notifier la Commission nationale de l’informatique et des libertés (CNIL) dans les 72 heures après en avoir pris connaissance, sauf si la violation ne présente pas de risque pour les personnes. De même, l’article 34 impose d’informer les personnes concernées quand le risque est élevé. Notre tutoriel pour notifier une violation de données détaille la démarche.
L’article 32 exige aussi des mesures de sécurité adaptées au risque. Pour un service qui ouvre des pièces jointes inconnues toute la journée, la formation au repérage des pièces jointes dangereuses en fait partie. Focus RGPD, la plateforme de sensibilisation de DPO PARTAGE, propose ainsi des vidéos sur l’hameçonnage.
Les parades à mettre en place cette semaine
Un CV arrive en PDF ou en document Word. Un fichier .vbs, .exe ou .bat joint à une candidature n’a aucune raison d’exister. Fermez donc cette porte, du filtrage des courriels à la segmentation du réseau :
- Bloquez sur la passerelle de messagerie les pièces jointes exécutables, dont les scripts .vbs.
- Affichez les extensions de fichiers sur les postes RH, pour que « curriculum_vitae.vbs » se voie comme un script.
- Déployez un outil de détection sur les postes (EDR), capable d’alerter sur un ajout d’exclusion dans Microsoft Defender ou sur la désactivation de l’UAC.
- Surveillez les connexions SMTP sortantes vers des serveurs inhabituels, comme smtp.mail.ru sur le port 465.
- Interdisez l’enregistrement des mots de passe professionnels dans les navigateurs, au profit d’un gestionnaire de mots de passe.
- Segmentez le réseau pour qu’un poste RH compromis n’atteigne pas le reste du système d’information.
Enfin, vérifiez que votre registre décrit bien le traitement des candidatures, comme le montre notre fiche registre sur la réception des CV. En cas d’incident, vous saurez ainsi quelles données le poste contenait.
Sources
Securonix a publié l’analyse technique FAUX#ELEVATE Targets France Enterprises with Cryptominers and Infostealers, source des chiffres sur le fichier et la chaîne d’infection.
The Hacker News a résumé la campagne dans Hackers Use Fake Resumes to Steal Enterprise Credentials and Deploy Crypto Miner.
Les obligations de notification figurent aux articles 32 à 34 du règlement (UE) 2016/679 (RGPD) sur EUR-Lex.
Questions fréquentes
Comment reconnaître un faux CV piégé ?
Un faux CV piégé porte souvent une extension de programme, comme .vbs, .exe, .bat ou .js, au lieu de .pdf ou .docx.
Dans la campagne FAUX#ELEVATE, le fichier s’appelait « nouveau_curriculum_vitae.vbs » et affichait un faux message d’erreur en français à l’ouverture.
Que faire si un salarié a ouvert une pièce jointe .vbs ?
Débranchez le poste du réseau, sans l’éteindre, puis prévenez immédiatement votre service informatique et votre DPO.
Changez ensuite depuis un autre poste les mots de passe enregistrés dans les navigateurs du poste touché. Évaluez enfin la violation de données pour décider d’une notification à la CNIL sous 72 heures.
Faut-il notifier la CNIL après une infection par un faux CV ?
Oui, dès que des données personnelles ont pu être consultées ou volées, sauf si la violation ne présente pas de risque pour les personnes.
Avec FAUX#ELEVATE, le vol vise les mots de passe, les cookies et l’historique des navigateurs. Un poste RH expose aussi des CV et des données de salariés.
Pourquoi FAUX#ELEVATE épargne-t-il les ordinateurs personnels ?
Le script vérifie si le poste appartient à un domaine d’entreprise et ne déploie ses charges que dans ce cas.
Les attaquants visent ainsi les comptes et les données professionnels, plus rentables, et limitent leur exposition.
Un antivirus suffit-il contre ce type de script ?
Non, le fichier est conçu pour tromper l’analyse : 266 lignes de code malveillant noyées dans 224 471 lignes.
De plus, le script exclut les lecteurs C: à I: de Microsoft Defender une fois les droits obtenus. Un outil de détection comportementale et le blocage des scripts en pièce jointe complètent donc l’antivirus.
