De faux outils de sécurité sur GitHub infectent plus de 2 000 PC, y compris des pros de l’infosec
Le 9 novembre 2026, Doctor Web a documenté une campagne qui diffuse sur GitHub de faux outils de sécurité capables de désactiver Windows Defender et de déployer AsyncRAT, un clipper et un voleur d’identifiants. Vérifiez la provenance de tout outil GitHub avant de l’ouvrir, même lorsqu’il prétend auditer ou nettoyer un scanner de sécurité.
9 novembre 2026. Doctor Web publie un rapport sur une campagne qui cache des malwares dans de faux outils de sécurité hébergés sur GitHub. Plus de 2 000 PC. Les chercheurs comptent plus de 2 000 machines infectées au moment de leur analyse. La cible a changé. Après deux ans passés à viser les amateurs de jeux blockchain, les attaquants visent désormais les professionnels de la cybersécurité. Pourquoi c’est important : l’outil qu’on télécharge pour auditer quelqu’un d’autre est devenu celui qui vous compromet — il désactive l’antivirus, déploie un RAT et vole les portefeuilles crypto en arrière-plan.
Une campagne née sur les jeux blockchain, il y a deux ans
Le fil ne commence pas par la sécurité. Selon Doctor Web, la campagne a démarré il y a deux ans avec des projets Visual Studio liés à des jeux blockchain, des bots de jeu et des cheats. Les cibles de l’époque utilisaient des portefeuilles crypto, et les attaquants cachaient leur code dans les fichiers de projet — des commandes exécutées avant la compilation et des scripts PowerShell glissés dans les fichiers de configuration.
Le procédé était délibérément pédagogique : les dépôts fournissaient les instructions d’installation de Visual Studio et le mode d’emploi pour télécharger le projet depuis GitHub. Un utilisateur sans bagage technique pouvait suivre le tutoriel, compiler, lancer — et se compromettre lui-même. La barrière à l’entrée était abaissée pour la victime, pas pour l’attaquant.
Ce qui frappe dans le rapport, c’est la continuité. La campagne n’a jamais cessé. Elle a seulement changé de public. Les chercheurs de Doctor Web décrivent un groupe qui réadapte ses leurres au gré des tendances, sans refondre son infrastructure de charge utile — un signe classique d’une opération rentable et entretenue dans la durée, pas d’un coup isolé.
Le pivot vers les professionnels de la sécurité
La nouveauté, c’est la cible. Les nouveaux dépôts GitHub prétendent offrir des outils d’analyse automatisée, de test de sécurité et d’analyse de logs. Doctor Web en cite un qui imite l’analyse et le nettoyage des résultats du scanner Fscan — un outil légitime et largement utilisé par les équipes offensives comme défensives. C’est exactement le genre de binaire qu’un pentester, un analyste SOC ou un administrateur pressé télécharge sans l’isoler, parce qu’il a l’habitude d’en ouvrir.
Le piège est psychologique autant que technique. Un développeur se méfie d’un « mineur de crypto gratuit » ; un professionnel de la sécurité baisse la garde face à un outil qui porte le vocabulaire de son métier. Le rapport le dit sans détour : les attaquants visent les gens dont le travail est de repérer ce genre de chose, en jouant sur la familiarité avec l’outillage du domaine.
Les techniques d’obfuscation suivent la montée en gamme. Le code malveillant est dissimulé dans des fichiers Python et Go, avec de larges blocs d’espaces blancs pour compliquer la relecture. Certains des faux outils vont plus loin : ils suppriment l’antivirus installé sur la machine avant même que la charge utile ne se déploie.
Un chargeur Electron qui neutralise la défense de bout en bout
Le cœur de l’infection est un binaire nommé Microsoft.exe, une application modulaire bâtie sur le framework Electron. Le chemin d’accès est volontairement trompeur : à l’ouverture du projet, un script PowerShell contacte les serveurs des attaquants et des plateformes légitimes — YouTube, Telegram, Google Docs, GitCode et Pastebin. Une chaîne chiffrée récupérée pointe vers une archive qui se décompresse dans un dossier déguisé en composant Windows Photos.
Ce chargeur ne se contente pas d’exécuter un payload. Il désarme la machine :
- il collecte les informations système et les envoie à un bot Telegram ;
- il assure sa persistance et élève ses privilèges ;
- il désactive Windows Defender, l’UAC, la restauration système et les clichés instantanés (shadow copies) ;
- il ajoute ses propres exclusions Defender et injecte du code dans des processus légitimes ;
- il supprime les produits McAfee, ESET et Malwarebytes.
Le mode d’évasion par défaut, baptisé Mode3, empile les techniques : falsification du processus parent, désactivation de Smart App Control, suppression des hooks de sécurité dans ntdll.dll, appels système directs, et patching en mémoire du suivi d’événements (ETW) et de l’analyse de scripts de l’antivirus. Si ce chemin échoue, Mode2 prend le relais avec des exclusions Defender et une injection via PowerShell. Deux modes, une même conséquence : l’EDR ne voit plus rien.
Trois charges utiles : un RAT, un clipper, un voleur
Une fois la défense neutralisée, trois payloads prennent le relais.
AsyncRAT tourne en deux copies identiques sur des ports différents, un détail qui laisse penser que deux opérateurs peuvent piloter la même machine en parallèle — ou que la charge est partagée entre deux infrastructures de contrôle. C’est une porte dérobée d’accès distant complète, discrète et éprouvée.
Le clipper cible les portefeuilles crypto : il remplace les adresses copiées dans le presse-papiers par celles des attaquants, tout en prenant des captures d’écran. Un transfert copié-collé à la volée atterrit donc directement chez l’opérateur, sans aucune alerte.
Le voleur (stealer) fait le plus gros du butin : données de navigateur, fichiers de configuration FileZilla, MobaXterm et Total Commander, paramètres VPN, fichiers de messagerie, comptes de jeu et jetons Discord. L’ensemble est compressé et exfiltré via Telegram, pendant que le malware modifie le fichier hosts pour bloquer les domaines des éditeurs d’antivirus — empêchant la récupération d’une mise à jour de signature après coup.
Le tout est modulaire : chaque étage peut être remplacé ou enrichi sans toucher au reste. C’est la signature d’un malware en développement continu, pas d’un kit figé.
Un étage inachevé qui trahit les prochaines versions
Doctor Web a trouvé un composant non terminé qui en dit long sur la feuille de route. Ce module, encore en chantier, serait capable de s’installer comme service système, de retélécharger Microsoft.exe si quelqu’un le supprime, de gérer le démarrage et d’installer des mises à jour. Le rapport mentionne aussi une archive Lodge.7z contenant un projet Electron incomplet dont l’exécutable s’appelle WUDFHost.exe — un nom qui singe un composant légitime de Windows.
La leçon est brutale : ce malware est encore en train d’être écrit. Les routines inutilisées d’aujourd’hui seront les fonctionnalités actives de la prochaine vague. On ne se défend pas contre une version figée, mais contre une lignée qui évolue.
Verdict
Si vous utilisez des outils de sécurité issus de GitHub, la provenance devient votre premier contrôle d’accès. Une étoile, une page soignée ou un nom qui sonne technique ne prouvent rien : la campagne de Doctor Web montre que le leurre est conçu pour les gens du métier. Téléchargez exclusivement depuis les dépôts officiels ou les releases signées, vérifiez l’historique, la date de création du compte et les signatures, et exécutez tout binaire inconnu dans une VM isolée, sans réseau — jamais sur un poste qui porte votre antivirus et vos portefeuilles. Si vous gérez une équipe, ajoutez ce cas à vos formations internes : le réflexe « je connais cet outil » est précisément la faille que la campagne exploite. Si vous êtes déjà passé par l’un de ces dépôts, considérez la machine compromise et réinstallez : les exclusions Defender et la modification du fichier hosts ne se corrigent pas par un simple scan.