Des chercheurs de Doctor Web ont mis au jour une campagne d’attaques sophistiquées utilisant GitHub comme vecteur principal pour distribuer des logiciels malveillants. Ces dépôts, présentés comme des outils de sécurité ou liés au jeu blockchain, contiennent en réalité des portes dérobées et des voleurs d’informations, affectant plus de 2 000 ordinateurs au moment de leur investigation.

L’attaque a débuté il y a deux ans, ciblant initialement les utilisateurs de portefeuilles de crypto-monnaies. Les acteurs malveillants inséraient leur code dans des projets Visual Studio. On trouvait des routines PreBuildEvent dans les fichiers .csproj ou des commandes PowerShell dans les fichiers de configuration. Pour faciliter l’infection, ils fournissaient même des instructions sur l’installation de Visual Studio et le clonage des dépôts, rendant l’accès aisé pour des personnes peu averties techniquement.

Ce schéma a récemment évolué. Les attaquants ont recentré leur attention sur une cible plus pointue : les professionnels de la sécurité informatique. Les nouveaux projets GitHub se font passer pour des solutions d’automatisation de scan, de tests de sécurité ou d’analyse de logs. Doctor Web a identifié, par exemple, un dépôt simulant l’analyse et le nettoyage des résultats de l’outil de sécurité Fscan. Le code malveillant est désormais dissimulé dans des fichiers Python et Go, souvent masqué par de larges blocs d’espaces blancs, une technique visant à tromper l’œil humain.

Le processus d’infection est méthodique. Après le téléchargement du dépôt, un script PowerShell s’exécute sur le système de la victime. Ce script établit des connexions vers les serveurs des attaquants, mais aussi vers des plateformes légitimes comme YouTube, Telegram, GoogleDocs, GitCode et Pastebin. Il récupère une chaîne chiffrée, qui mène ensuite au téléchargement d’une archive, dans le cas analysé, le fichier Quixo.7z. Cette archive est décompressée dans un dossier usurpant une composante de Photos Windows, et son exécutable principal est Microsoft.exe, une application modulaire bâtie sur le framework Electron.

Ce cheval de Troie, version 1.4.5 au moment des rapports, est conçu pour causer des dégâts systémiques. Il collecte des informations sur la machine, les transmet via un bot Telegram, s’assure de son redémarrage automatique et s’emploie à élévation de privilèges. Il passe par la désactivation de Windows Defender, de l’UAC, de la Restauration Système et des sauvegardes (VSS), tout en ajoutant ses propres exclusions dans Defender. Le système est ensuite infiltré par injection de code dans des processus légitimes, comme RegAsm.exe ou dwwin.exe, et les logiciels antivirus McAfee, ESET et Malwarebytes sont désinstallés.

Les méthodes d’évasion sont particulièrement complexes. Le mode par défaut, baptisé Mode3, utilise plusieurs techniques pour contourner les protections. Il falsifie l’ID du processus parent (PPID spoofing), neutralise le contrôle des applications intelligentes, désactive des hooks de sécurité dans ntdll.dll en le comparant à sa version originale sur disque, et utilise des appels système directs (Halo’s Gate) pour éviter l’interception par les outils de détection des points d’extrémité (EDR). Il patch également les mécanismes de journalisation d’événements de Windows et le scan de scripts antivirus en mémoire.

Les modules malveillants extraits de l’archive secondaire contiennent des fonctionnalités variées. On distingue un backdoor de type AsyncRAT, qui peut fonctionner en double copie sur différents ports, permettant un contrôle par deux opérateurs simultanément. Un clipper intercepte les adresses des portefeuilles de crypto-monnaies dans le presse-papiers tout en capturant des captures d’écran, tandis qu’un stealer vole les données de navigateur, les configurations de FileZilla et MobaXterm, ainsi que les jetons Discord. L’ensemble de ces données est compressé et envoyé via Telegram, et le fichier hosts est modifié pour bloquer les domaines des éditeurs d’antivirus.

Les acteurs malveillants sont en perpétuel développement. Doctor Web a noté des routines non utilisées dans le malware qui facilitent le téléchargement et la décompression d’archives additionnelles, comme Lodge.7z, contenant un projet Electron non terminé nommé WUDFHost.exe. Ces éléments donnent un aperçu des fonctionnalités futures de ces Trojans. Les adresses associées aux attaquants, trouvées dans les dépôts frauduleux, incluent muckanthropic[.]com, muckduck.duckdns[.]org, muckcoding[.]com, muckdeveloper[.]com et 130.12.182[.]172.

Face à cette escalade, les experts recommandent de maintenir les logiciels antivirus à jour et de scanner minutieusement chaque fichier téléchargé depuis une source tierce.

Sources

• Insolence beyond belief. Threat actors target information security developers on GitHub, news.drweb.com
• Fake GitHub Security Tools Infect Over 2,000 PCs With Malware, Security Affairs, 9 novembre 2026
• Fake security tools on GitHub push backdoors and infostealers, BleepingComputer, 6 novembre 2026