Sur GitHub, de faux outils de sécurité piègent les professionnels de la cybersécurité

Le site américain Bleeping Computer rapporte le 6 novembre 2026 que des professionnels de la cybersécurité sont ciblés par des projets de sécurité infectés publiés sur GitHub. Ces projets installent une porte dérobée (« backdoor ») et un logiciel de vol d'informations (« information stealer »). Le site s'appuie sur les travaux des chercheurs de l'entreprise de cybersécurité Dr. Web, qui ont constaté que plus de 2 000 systèmes Windows ont été compromis à ce jour.¹

La campagne a commencé il y a environ deux ans. Au départ, elle visait les utilisateurs de portefeuilles de cryptomonnaies. Les leurres étaient alors des jeux sur blockchain, des bots et des outils de triche, destinés surtout aux amateurs de blockchain et de jeux vidéo. D'après Bleeping Computer, l'auteur de la campagne a récemment changé de cible : il publie maintenant des dépôts malveillants censés automatiser les scans, les tests de sécurité et l'analyse de journaux. L'un des dépôts relevés par Dr. Web propose un faux script, présenté comme une solution légère pour analyser, nettoyer et mettre en forme les résultats du scanner réseau Fscan. Ce changement signifie que la menace touche désormais des personnes dont le métier consiste justement à se servir de ce genre d'outils pour protéger des systèmes.¹

Une chaîne d'infection conçue pour neutraliser les défenses

Dr. Web a trouvé du code malveillant dans des fichiers de projet Visual Studio, des scripts Python et des fichiers source en Go. Ce code est caché derrière de longues suites d'espaces vides. Bleeping Computer parle d'une « technique ancienne qui s'avère toujours efficace ». Selon les chercheurs, dans certains projets Visual Studio, une routine de pré-compilation (« pre-build event ») exécute le code avant même la compilation. Cela veut dire que la simple étape de compilation d'un projet suffit à lancer le code malveillant.¹

L'infection commence par un appel à PowerShell, qui récupère un lien de téléchargement chiffré. Ce lien sert à télécharger un chargeur modulaire bâti sur Electron et nommé Microsoft.exe. Le chargeur s'installe durablement sur la machine, augmente ses droits, désactive des fonctions de sécurité et de récupération de Windows, puis injecte l'étape suivante du logiciel malveillant dans des processus légitimes. Bleeping Computer détaille plusieurs procédés. Le chargeur fait passer explorer.exe pour le processus parent du logiciel malveillant. Il modifie une valeur du registre Windows pour désactiver Smart App Control. Il recharge depuis le disque le code d'origine de ntdll.dll, ce qui supprime les points de contrôle ajoutés par les logiciels de sécurité. Il passe directement par des appels système de Windows, plus difficiles à intercepter. Enfin, il modifie en mémoire EtwEventWrite pour bloquer le suivi des événements, et AmsiScanBuffer pour gêner l'analyse antivirus des scripts.¹

Si ce premier mode de lancement échoue, le chargeur passe à un second, appelé Mode2. Celui-ci ajoute des exclusions à Microsoft Defender, puis un script PowerShell déchiffre les charges malveillantes et les injecte dans RegAsm.exe. Trois programmes sont finalement installés. Le premier est la porte dérobée AsyncRAT. Le deuxième remplace, dans le presse-papiers, les adresses de portefeuilles de cryptomonnaies par d'autres adresses. Le troisième vole des informations : données des navigateurs, réglages VPN, fichiers de configuration de clients FTP, données de comptes de jeux et jetons Discord. Ces données sont envoyées par l'intermédiaire d'un bot Telegram.¹

Selon Dr. Web, le logiciel malveillant essaie aussi de supprimer les antivirus ESET, McAfee et Malwarebytes de l'ordinateur infecté, de les couper de leurs serveurs de mise à jour, et il perturbe les sauvegardes Windows. Les chercheurs ont en outre trouvé un composant qui semble inachevé. Il pourrait servir à maintenir le chargeur en fonctionnement et à le télécharger de nouveau s'il est effacé du disque. D'après Bleeping Computer, cette découverte laisse penser que l'auteur de la campagne travaille à ajouter de nouvelles fonctions. Pour l'instant, ce composant n'est donc décrit que comme un projet en cours, pas comme un outil déjà utilisé. Les chercheurs ont publié la liste complète des indicateurs de compromission relevés pendant cette campagne.¹

GitHub, un appât qui revient d'une campagne à l'autre

Ce n'est pas la seule campagne de ce type documentée ces dernières semaines. Le 27 octobre 2026, Check Point Research, en Israël, a décrit une campagne qu'il appelle Yoba. Ses auteurs profitent de la popularité des outils d'intelligence artificielle comme ChatGPT et Claude. Ils créent sur GitHub de faux projets qui se présentent comme des applications de bureau baptisées « GPT-5.6 Sol », « GPT-6 Astra » ou « Claude Opus ». Le logiciel malveillant est placé à côté de vrais exécutables signés par OpenAI et Anthropic, pour être chargé de manière indirecte. Check Point Research précise que cette technique, appelée DLL sideloading, sert souvent à contourner les protections de sécurité.²

Les deux campagnes ont des points communs : elles utilisent GitHub pour attirer leurs victimes et Telegram pour une partie de leurs échanges. D'après Check Point Research, les auteurs de Yoba n'ont pas d'infrastructure de commande et de contrôle dédiée. Ils passent par Telegram, Tor, Catbox et le DNS over HTTPS (DoH), ce que l'entreprise interprète comme une grande discipline de sécurité opérationnelle. Check Point Research ajoute que certains indices suggèrent une origine russe de l'auteur, et que celui-ci semble travailler surtout dans le fuseau horaire UTC-4. L'article de Bleeping Computer, lui, n'attribue la campagne étudiée par Dr. Web à aucun acteur. On ne peut donc pas dire, à ce stade, si les deux campagnes sont liées. Dans les deux cas, les auteurs comptent sur la confiance accordée aux projets publiés sur cette plateforme.^1,2

D'autres travaux récents montrent que le secteur technologique est visé par des méthodes très différentes. Le blog Schneier on Security a rapporté le 28 octobre 2026 que des chercheurs ont créé une fausse start-up pour étudier les faux informaticiens nord-coréens. Au Nigeria, TechCabal indique le 6 novembre 2026 que le pays révise ses lois sur la cybersécurité. Selon le média, l'intelligence artificielle a été liée à 55 % des incidents de cybercriminalité enregistrés en Afrique l'an dernier, et les cas de deepfakes ont été multipliés par sept entre le deuxième et le quatrième trimestre 2024. Toujours selon TechCabal, le gouvernement nigérian reconnaît que les règles actuelles ne posent pas de garde-fous suffisants. Le pays envisage aussi une architecture nationale de cybersécurité qui fixerait des normes de sécurité minimales pour les organisations.^3,4

Pour les professionnels visés par la campagne étudiée par Dr. Web, la liste des indicateurs de compromission pourrait servir à vérifier si leurs machines ont été touchées. Reste à savoir si le composant inachevé repéré par les chercheurs sera finalisé et déployé. Si c'était le cas, le chargeur deviendrait plus difficile à supprimer. Le changement de cible déjà observé, des amateurs de cryptomonnaies vers les spécialistes de la sécurité, montre que l'auteur de la campagne adapte ses leurres au public qu'il veut atteindre.¹