Des cybercriminels détournent la plateforme GitHub pour diffuser de faux outils de sécurité et des scripts d’administration corrompus. D’après une analyse menée par les chercheurs de Dr. Web, cette campagne de grande ampleur a déjà infecté plus de 2 000 ordinateurs sous Windows en ciblant directement les administrateurs système, les développeurs et les professionnels de la cybersécurité.
Le mode opératoire consiste à publier de faux répertoires open source prétendument conçus pour automatiser des analyses de réseaux, nettoyer des journaux d’événements ou tester des failles logistiques. Pour masquer le code malveillant, les attaquants dissimulent des instructions dans des fichiers de projets Visual Studio, des scripts Python ou des sources en langage Go en utilisant de longs espaces blancs. Sur certains projets, un événement pré-compilation exécute les charges utiles avant même la manipulation par l’utilisateur.
Une fois exécuté, le script déclenche une chaîne d’infection via PowerShell pour télécharger un chargeur modulaire nommé Microsoft.exe. Ce composant modifie des clés du Registre Windows pour désactiver le contrôle Smart App Control,restaure le code d’origine de la bibliothèque ntdll.dll pour contourner les analyses de sécurité et neutralise les fonctionnalités de traçage. Le système déploie ensuite le cheval de Troie d’accès à distance AsyncRAT, un outil de vol de données pour siphonner les jetons d’authentification des navigateurs et des clients FTP, ainsi qu’un module « clipper » capable de remplacer les adresses de portefeuilles de cryptomonnaies dans le presse-papiers.
Pour s’enraciner durablement sur les machines cibles, le malware tente également de supprimer des logiciels antivirus majeurs comme ESET, McAfee ou Malwarebytes, tout en bloquant les accès aux serveurs de mise à jour et aux sauvegardes du système d’exploitation. Les développeurs et administrateurs doivent donc redoubler de vigilance lors du téléchargement de scripts d’automatisation non officiels sur les plateformes de partage de code.
Cet article a été modifié pour la dernière fois le 6 novembre 2026 21h55
