Le groupe cybercriminel Venom Spider envoie de faux CV aux recruteurs pour pénétrer les réseaux d’entreprise. Les chercheurs d’Arctic Wolf Labs ont documenté cette campagne en mai 2025. Elle vise les services de ressources humaines, les recruteurs et tous les organismes qui reçoivent des candidatures en ligne, c’est-à-dire presque tout le monde.
Venom Spider détourne le processus de recrutement
Venom Spider, aussi désigné sous le nom TA4557, postule à de vraies offres d’emploi. Les attaquants envoient des candidatures d’apparence ordinaire, par messagerie ou via les plateformes d’emploi. Le message contient un lien de téléchargement du prétendu CV. Le recruteur clique, puisque recevoir des CV fait partie de son travail. Il récupère alors une archive zip qui contient un raccourci Windows au format .lnk. Ce fichier installe ensuite sur son poste une porte dérobée nommée More_eggs.
Le groupe ajoute une parade contre les antivirus : le polymorphisme côté serveur. Le fichier malveillant est différent à chaque téléchargement. Sa signature change donc à chaque tentative, et les solutions antivirus classiques peinent à le reconnaître.
More_eggs ouvre l’accès aux données de l’entreprise
Une fois installée, la porte dérobée More_eggs permet aux attaquants de voler des identifiants de connexion, des données de paiement de clients, de la propriété intellectuelle et des secrets commerciaux. Pour l’entreprise touchée, l’incident constitue une violation de données au sens de l’article 4, point 12, du RGPD.
Dès que cette violation présente un risque pour les personnes, l’article 33 impose de la notifier à la Commission nationale de l’informatique et des libertés (CNIL) dans les 72 heures. Si les données volées exposent les personnes à un risque élevé, par exemple des identifiants, des données bancaires ou des dossiers de candidats, l’article 34 impose aussi de les informer directement. Notre tutoriel pour notifier une violation de données reprend chaque étape.
Pour les entités essentielles et importantes au sens de la directive NIS2, une alerte précoce s’ajoute dans les 24 heures.
Pourquoi les recruteurs attirent les faux CV
Un service de ressources humaines manipule chaque jour des CV, des lettres de motivation, des pièces d’identité, des RIB et des numéros de sécurité sociale. Ce volume de données en fait une cible rentable.
De plus, le recrutement oblige à ouvrir des documents envoyés par des inconnus. Arctic Wolf Labs souligne que Venom Spider exploite précisément cette contrainte pour endormir la vigilance des recruteurs. Bloquer toutes les pièces jointes paralyse le recrutement. Encadrez donc leur ouverture.
Commencez par savoir où arrivent vos candidatures. La fiche registre consacrée à la réception des CV vous aide à recenser les canaux, les personnes qui ouvrent les fichiers et les durées de conservation.
Protéger le service RH contre Venom Spider
Formez d’abord les recruteurs aux signaux d’alerte. Un CV qui arrive sous forme de lien de téléchargement, une archive zip ou un fichier .lnk à la place d’un PDF, une candidature trop générique pour le poste : chacun de ces signes justifie un arrêt et un appel au service informatique. Une plateforme de sensibilisation comme Focus RGPD, conçue par DPO PARTAGE, sert de support à ces rappels.
Isolez ensuite l’ouverture des candidatures. Un environnement cloisonné ou une machine virtuelle dédiée suffit à contenir un fichier piégé.
Activez aussi l’authentification multifacteur sur les comptes du service. Ainsi, des identifiants volés ne suffisent plus à entrer dans les systèmes internes. Enfin, déployez un outil de détection et de réponse sur les postes (EDR) capable de repérer les comportements caractéristiques de More_eggs. Ces mesures répondent directement à l’obligation de sécurité de l’article 32 du RGPD.
Sources
Arctic Wolf Labs décrit la campagne dans Venom Spider Uses Server-Side Polymorphism to Weave a Web Around Victims.
CSO Online précise le format des fichiers piégés et la nouvelle version de la porte dérobée dans Fake resumes targeting HR managers now come with updated backdoor.
