Skip to content
Hacker Posts

JFrog expose AccuraSoftHire : faux entretiens et paquets npm piégés

JFrog documente AccuraSoftHire, une fausse société de recrutement qui piège les développeurs via des paquets npm malveillants camouflés en plugins Tailwind. Dix paquets identifiés.

Publié le 3 min de lecture
recherchenpmjfrogphishingsupply-chain

JFrog Security Research publie une analyse d'AccuraSoftHire, une fausse entreprise de recrutement montée pour piéger des développeurs via de faux entretiens d'embauche. Le rapport primaire est sur le site de JFrog. La technique — rattachée par JFrog à la campagne « Contagious Interview » suivie par Unit 42 — consiste à faire exécuter au candidat un test technique « à domicile » qui charge un paquet npm malveillant. Si vous recevez un dépôt de test dans un process de recrutement, isolez-le : l'opération repackage et republie ses paquets dès que npm les retire.

Comment fonctionne la chaîne

D'après JFrog, un recruteur contacte le développeur sur une plateforme d'emploi ou LinkedIn, puis bascule en messagerie privée et fournit un dépôt React/Redux à compléter. La configuration Tailwind du dépôt charge tailwind-custom-forms, une copie de @tailwindcss/forms à laquelle un loader a été ajouté.

Point clé pour la détection : le loader s'exécute pendant le build Tailwind CSS, pas au npm install — les scanners qui n'inspectent que les scripts d'installation le manquent. Il lit la dernière transaction d'une adresse Ethereum émettrice, dont le champ destinataire encode deux adresses de serveur, récupère deux charges en HTTP clair sur le port 443 (/0x/cls et /0x/ls), les déchiffre par XOR et en exécute une en mémoire et l'autre dans un processus Node détaché.

Le site carrière sert aussi un leurre ClickFix : un faux échec de test caméra affiche une commande curl « configuration VS Code recommandée » pointant vers /camera-driver/setup-win, setup-mac ou setup-linux, qui télécharge un script d'amorçage récupérant payload.js.

Les paquets npm piégés

JFrog liste dix paquets, reproduits ici verbatim depuis le rapport (avec leurs identifiants XRAY) :

tailwind-custom-forms       (XRAY-1044121)
tailwindcss-contact-forms   (XRAY-1075528)
tailwind-form-styles        (XRAY-1089020)
tailwind-forms-kit          (XRAY-1096148)
tailwind-lines-clamps       (XRAY-1157325)
tailwind-clamps-line        (XRAY-990252)
tailwind-lineclamp          (XRAY-1157326)
scrollbar-hide-plugin       (XRAY-1044162)
tailwindcss-anim            (XRAY-1041090)
tailwind-anim               (XRAY-1041142)

Comptes npm associés : goss1000, sun117, evaward1, georgeodom1, helmets.

Indicateurs de compromission

Reproduits verbatim depuis le rapport JFrog :

Domaine / infrastructure :
  accurasofthire[.]com
  103.179.142.155

Émetteur Ethereum (dead-drop) :
  0xa322E5f3D311D3080e6f0121063e9aDC2490Ef1a

Adresses e-mail :
  handy.apple117@gmail.com
  antongoss11995@gmail.com
  oleksandr.hryniuk@accurasofthire.com
  support@accurasofthire.com

Comptes GitHub : accurasofthire, hiretechpartners, oleksandr3201
Host de messagerie native : com.accurasoft.jobalerts
Marqueurs de build : A10-online, A10-npm-handy, A10-new_npm

JFrog précise que le rapport ne publie pas de hachs de fichiers (liste complète dans un dossier de cas séparé) et que les photos des personas LinkedIn peuvent appartenir à de vraies personnes non impliquées.

Que faire

  1. Exécutez tout test de recrutement en environnement jetable : VM éphémère ou conteneur, sans accès aux secrets ni au wallet de l'entreprise.
  2. Bloquez les paquets listés ci-dessus dans votre proxy npm / outil SCA, et traitez tout @tailwindcss/forms dont la provenance diffère de l'officiel comme suspect.
  3. Bloquez les IOC réseau : accurasofthire[.]com, l'IP et les adresses e-mail au périmètre.
  4. Surveillez les builds, pas seulement les installs. Un loader déclenché au build Tailwind échappe aux scanners de scripts d'install — instrumentez l'étape de build.
  5. Méfiez-vous des leurres ClickFix : aucune offre d'emploi légitime ne demande de coller une commande curl | sh pour « réparer » une webcam.

Attribution — à manier avec prudence

Binance attribue au FBI la responsabilité nord-coréenne de son vol d'environ 6,34 milliards de dollars (29 octobre 2026), lié à un faux entretien. JFrog ne confirme aucun lien entre AccuraSoftHire et cette intrusion : l'éditeur écrit n'avoir « trouvé aucun lien » entre les deux. Les faux entretiens ciblant les développeurs sont un mode opératoire documenté depuis 2023 et partagé par plusieurs grappes (Unit 42 parle de « Contagious Interview » ; JFrog cite des recoupements avec ClickFake et PolinRider). La prudence s'impose : un modus operandi commun n'est pas une attribution. Pour les équipes, le signal utile est le vecteur — le recrutement comme porte d'entrée dans la chaîne logicielle.

Articles liés