Des chercheurs de Dr. Web ont décrit une campagne de dépôts GitHub qui se présentent comme des outils de sécurité (automatisation de scans, tests, analyse de journaux) et installent une porte dérobée AsyncRAT, un logiciel qui remplace les adresses de portefeuilles crypto dans le presse-papiers et un voleur de données. Plus de 2000 systèmes Windows auraient été compromis. Le code malveillant se cache dans des fichiers de projet Visual Studio, des scripts Python et du Go, et peut s'exécuter dès la compilation : un outil cloné et compilé sans lecture préalable suffit.
Ce qui s'est passé
D'après BleepingComputer (6 novembre 2026), qui s'appuie sur l'enquête de Dr. Web :
- la campagne a commencé il y a environ deux ans et visait d'abord les utilisateurs de portefeuilles crypto, avec des leurres comme des jeux blockchain, des bots et des outils de triche ;
- l'acteur a récemment changé de cible et publie des dépôts qui imitent des outils pour professionnels de la cybersécurité ;
- un exemple : un faux script présenté comme une solution légère pour analyser, nettoyer et mettre en forme la sortie du scanner réseau Fscan ;
- plus de 2000 systèmes Windows ont été compromis à ce jour, selon Dr. Web ;
- Dr. Web a publié la liste complète des indicateurs de compromission (IOC) observés.
Comment ça fonctionne, en principe
Nous décrivons le principe, sans détail réutilisable.
La dissimulation. Le code malveillant est placé dans des fichiers de projet Visual Studio, des scripts Python et des fichiers source Go, caché derrière de longues suites d'espaces. Dans un éditeur ou sur la page GitHub, la ligne paraît vide ou se termine hors de l'écran. BleepingComputer note que la technique est ancienne et reste efficace.
Le déclenchement à la compilation. Dans certains projets Visual Studio, une tâche « pre-build event » exécute le code avant la compilation. Il n'est donc pas nécessaire de lancer l'outil : ouvrir le projet et le compiler suffit.
La chaîne d'infection. PowerShell récupère un lien de téléchargement chiffré, qui sert un chargeur modulaire basé sur Electron, nommé « Microsoft.exe ». Ce chargeur s'installe durablement, élève ses privilèges, désactive des fonctions de sécurité et de récupération de Windows, puis injecte la suite dans des processus légitimes.
L'évasion. Dr. Web décrit six techniques dans le mode par défaut du chargeur. En résumé, elles visent à aveugler les outils de défense : faire passer explorer.exe pour le processus parent, désactiver Smart App Control, retirer les points d'interception que les solutions de sécurité placent dans le système, contourner la journalisation des événements (ETW, Event Tracing for Windows) et l'interface d'analyse des scripts par l'antivirus (AMSI, Antimalware Scan Interface). Si ce mode échoue, un mode de repli ajoute des exclusions à Microsoft Defender.
Les charges finales.
- AsyncRAT, un cheval de Troie d'accès à distance (RAT, Remote Access Trojan) qui donne le contrôle du poste ;
- un « clipper », qui remplace les adresses de portefeuilles crypto copiées dans le presse-papiers ;
- un voleur de données qui collecte les données des navigateurs, les réglages VPN, les configurations de clients FTP, des données de comptes de jeux et des jetons Discord, puis les exfiltre via un bot Telegram.
Le logiciel tente aussi de supprimer les antivirus ESET, McAfee et Malwarebytes, de les couper de leurs serveurs de mise à jour, et perturbe les sauvegardes Windows. Dr. Web a enfin trouvé un composant apparemment inachevé destiné à maintenir le chargeur actif et à le retélécharger s'il est supprimé, signe que l'outil continue d'évoluer.
Qui est concerné
- Les pentesteurs, analystes SOC et équipes de réponse à incident qui récupèrent régulièrement des outils sur GitHub pour un besoin ponctuel : parser une sortie, automatiser un scan, analyser des journaux.
- Les développeurs sur Windows qui clonent et compilent des projets Visual Studio ou lancent des scripts trouvés en ligne.
- Les organisations elles-mêmes, au-delà du poste : le voleur de données collecte les données des navigateurs et les réglages VPN. Notre lecture, qui reste une hypothèse : sur le poste d'un professionnel de la sécurité, ces données peuvent ouvrir l'accès à des environnements clients ou à des réseaux internes.
Se protéger : contrôles concrets
Les mesures ci-dessous sont des bonnes pratiques ; elles ne viennent pas du rapport de Dr. Web, sauf mention contraire.
1. Ne jamais compiler ni lancer un outil tiers sur le poste de travail principal
Les outils récupérés sur GitHub s'exécutent dans un environnement jetable : machine virtuelle isolée, sans accès aux identifiants de l'entreprise, sans session navigateur ouverte, sans VPN client. C'est la mesure qui neutralise le plus de scénarios, parce qu'elle ne dépend pas de la capacité à repérer le code malveillant.
2. Lire les points d'exécution automatique avant d'ouvrir un projet
Le déclenchement à la compilation passe par les fichiers de projet. Avant d'ouvrir un projet Visual Studio inconnu, inspectez les événements de pré-compilation et de post-compilation dans les fichiers .csproj, .vcxproj ou équivalents. Faites de même pour les scripts d'installation des projets Python et les directives de génération des projets Go. Utilisez un outil qui affiche les espaces et les lignes longues (un diff en ligne de commande, ou l'option d'affichage des espaces de votre éditeur) : une ligne qui paraît vide mais fait plusieurs milliers de caractères est un signal.
3. Préférer les sources maintenues
Pour un outil connu comme Fscan, partez du dépôt officiel du projet. Pour un utilitaire tiers, regardez qui le publie, depuis quand le compte existe, l'historique des commits et les dépendances. Un dépôt récent qui « améliore » un outil populaire mérite plus de méfiance qu'un projet maintenu depuis des années.
4. Tenir une liste d'outils validés pour l'équipe
Bonne pratique pour une équipe sécurité ou une équipe de développement : un registre interne des outils approuvés, avec la source et la version, et un dépôt miroir interne. Un outil hors liste passe par une revue rapide avant usage. Cela réduit le nombre de fois où quelqu'un clone un dépôt inconnu sous pression.
5. Surveiller les comportements décrits par Dr. Web
Plusieurs actions de la chaîne sont visibles pour un EDR (Endpoint Detection and Response, l'outil de détection et de réponse sur les postes) bien réglé et pour vos journaux :
- ajout d'exclusions à Microsoft Defender ;
- modification de la valeur de registre qui contrôle Smart App Control ;
- tentatives de désinstallation d'un antivirus ou de blocage de ses mises à jour ;
- perturbation des sauvegardes Windows ;
- trafic sortant vers l'API de Telegram depuis un poste qui n'en a pas l'usage.
Croisez aussi vos journaux avec la liste d'IOC publiée par Dr. Web.
6. Préparer la réponse si un poste est touché
Un poste infecté par un voleur de données oblige à considérer comme compromis tout ce qui y était stocké : sessions de navigateur, mots de passe enregistrés, configurations VPN. Bonne pratique : révoquer les sessions, changer les mots de passe depuis un autre appareil, renouveler les configurations VPN, et réinstaller le poste plutôt que de le nettoyer.
Méthode de vérification. Demandez à trois membres de l'équipe où s'est exécuté le dernier outil GitHub qu'ils ont utilisé, et s'ils ont lu ses fichiers de projet avant. Si la réponse est « sur mon poste » et « non », la mesure 1 n'est pas en place, quelle que soit la politique écrite.
FAQ
Qu'est-ce qu'AsyncRAT ?
Un cheval de Troie d'accès à distance (RAT) qui permet à un attaquant de contrôler un poste compromis. Dans cette campagne, il est livré avec un clipper et un voleur de données.
Comment savoir si un dépôt GitHub est malveillant ?
Aucun critère unique ne suffit. Les signaux utiles : compte récent, outil qui « améliore » un projet connu, lignes anormalement longues ou suites d'espaces dans le code, tâches de pré-compilation dans les fichiers de projet, appels PowerShell qui téléchargent du contenu. La protection fiable reste d'exécuter tout outil inconnu dans un environnement isolé.
Compiler un projet sans le lancer est-il sans risque ?
Non. Dans cette campagne, certains projets Visual Studio exécutent le code malveillant par une tâche de pré-compilation, donc avant même que l'outil soit construit.
Quelles données le voleur de données récupère-t-il ?
D'après Dr. Web, cité par BleepingComputer : données des navigateurs, réglages VPN, configurations de clients FTP, données de comptes de jeux et jetons Discord, exfiltrés via un bot Telegram.
Sources
- BleepingComputer, Fake security tools on GitHub push backdoors and infostealers, 6 novembre 2026 : https://www.bleepingcomputer.com/news/security/fake-security-tools-on-github-push-backdoors-and-infostealers
Pour sécuriser les postes et les outils de vos équipes techniques sans freiner leur travail, WeeSec accompagne les équipes sur le DevSecOps.