De faux outils de sécurité sur GitHub installent une porte dérobée, un clipper et un voleur

Des chercheurs de Dr.Web disent que les personnes qui clonent ou compilent certains projets GitHub installent davantage qu’un simple outil d’exemple. Du code caché dans ces dépôts mène à une porte dérobée, à un clipper qui remplace les adresses de cryptomonnaie, et à un programme qui vole des identifiants et des jetons enregistrés. Quand Dr.Web a publié son rapport le 5 novembre 2026, plus de 2 000 PC Windows avaient été infectés.

Ce que les chercheurs ont trouvé

Dans « Insolence beyond belief » (en anglais), Dr.Web décrit une campagne qui place depuis environ deux ans des dépôts malveillants sur GitHub. Les premiers projets visaient les personnes intéressées par les jeux de chaîne de blocs, les robots et les outils de triche. Les opérateurs se sont ensuite tournés vers le travail en sécurité de l’information : l’automatisation de balayages, les tests de sécurité et l’analyse de journaux.

Un exemple donné est un dépôt présenté comme un script léger pour analyser, nettoyer et mettre en forme la sortie du scanner réseau Fscan. Les parties malveillantes ne se trouvent pas dans un fichier « malware.exe » évident. Dr.Web les a trouvées dans des fichiers de projet Visual Studio (y compris une étape de précompilation qui s’exécute avant la compilation, et dans des fichiers .suo), ainsi que dans des fichiers source Python et Go, cachées derrière de longues suites d’espaces.

Le reportage du 6 novembre de BleepingComputer (en anglais) résume la même chaîne. Un script PowerShell récupère un lien de téléchargement chiffré. Ce lien mène à un chargeur basé sur Electron nommé Microsoft.exe, que Dr.Web suit sous le nom Trojan.Loader.3261. Le chargeur se configure pour redémarrer après un redémarrage, tente d’élever ses privilèges, désactive plusieurs fonctions de sécurité et de récupération de Windows, puis place l’étape suivante dans des processus Windows légitimes.

Dr.Web dit que les charges finales sont :

• La porte dérobée AsyncRAT, en deux copies qui utilisent des ports réseau différents, pour que plus d’un opérateur puisse contrôler le même PC.
• Un clipper qui remplace les adresses de portefeuille de cryptomonnaie copiées dans le presse-papiers, et qui envoie des captures d’écran et d’autres détails aux attaquants par Telegram.
• Un voleur d’informations qui recueille des données de navigateur, des réglages FileZilla et d’autres clients FTP, des réglages VPN, des fichiers de messagerie, des données de comptes de jeux et des jetons Discord, puis envoie le tout par un robot Telegram.

Le logiciel tente aussi de retirer ESET, McAfee et Malwarebytes s’ils sont installés, et il modifie le fichier hosts de Windows pour que certains sites de mise à jour d’antivirus ne se résolvent plus. Dr.Web énumère plusieurs adresses internet liées aux faux dépôts et décrit du code inutilisé qui ressemble à un futur service de persistance. Ces détails sont dans le rapport si vous enquêtez sur une infection. Ils ne sont pas nécessaires pour éviter l’appât.

Ce que ça signifie pour vous

Cette campagne vise les personnes qui téléchargent des outils de développement ou de sécurité depuis GitHub et qui les exécutent ou les compilent. Un dépôt qui ressemble à une aide pour un scanner que vous utilisez déjà est plus difficile à écarter qu’un crack ou un outil de triche évident. Si vous ne compilez pas d’outils à partir de dépôts publics, ceci n’arrive pas par une visite de site Web ordinaire.

Si une machine est déjà infectée, une session de navigateur ou un jeton Discord volé peut compter autant qu’un mot de passe volé. Voyez comment les voleurs d’informations dérobent vos sessions, et pourquoi un nouveau mot de passe ne suffit pas.

Ce que vous pouvez faire

1. Ne compilez pas et n’exécutez pas un projet GitHub non vérifié qui s’est présenté comme une aide pratique pour un scanner, un analyseur de journaux ou une trousse de test de sécurité, surtout si vous l’avez trouvé par une recherche ou un lien non officiel.
2. Si vous avez déjà compilé ou exécuté un projet de ce genre, traitez le PC comme compromis. Utilisez un appareil sain pour changer les mots de passe, révoquer les jetons Discord et autres, et déconnecter les autres sessions. Vérifiez les portefeuilles de cryptomonnaie pour toute adresse qui aurait été remplacée dans le presse-papiers.
3. Sur une machine en laquelle vous avez encore confiance, examinez les événements de précompilation Visual Studio et les fichiers Python ou Go à la recherche d’immenses blocs d’espace vide cachant du code supplémentaire, qui est le truc de dissimulation décrit par Dr.Web. En cas de doute, supprimez le projet et continuez à partir d’une copie connue comme saine.
4. Préférez les outils obtenus depuis le site officiel de l’auteur ou une source de paquets à laquelle vous faites déjà confiance, et non un dépôt ressemblant qui ajoute des scripts « d’aide ».

Comment Frame peut aider

Il s’agit ici d’un programme qui tourne sur un PC, pas d’une liste publiée de courriels de clients. Les vérifications ci-dessus sont la partie utile. Si un avis ultérieur nomme des adresses de comptes ayant fuité, Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Comment les voleurs d’informations dérobent vos sessions, et pourquoi un nouveau mot de passe ne suffit pas : pourquoi se déconnecter partout compte après un voleur, et pas seulement changer le mot de passe.
• Des téléchargements du CLI d’OVHcloud ont été remplacés par un voleur de secrets : un autre cas d’outil auquel les administrateurs pensaient pouvoir se fier et qui a livré autre chose.

Sources

• Dr.Web, Insolence beyond belief. Threat actors target information security developers on GitHub (en anglais), 5 novembre 2026
• BleepingComputer, Fake security tools on GitHub push backdoors and infostealers (en anglais), 6 novembre 2026