Des attaquants en quête de cryptomonnaies et de données sensibles utilisent des projets GitHub pour diffuser des logiciels malveillants qui neutralisent les protections de Windows et installent des outils d'accès à distance et de vol de données. Dans un rapport du 9 novembre 2026, Security Affairs a décrit l'enquête de Doctor Web, qui a relevé plus de 2 000 PC infectés au moment de ses recherches.
Les professionnels de la sécurité de l'information sont les nouvelles cibles de la campagne. Les dépôts promettent une aide pour l'analyse automatisée, les tests de sécurité et l'analyse des journaux, dont un utilitaire présenté comme capable d'analyser et de nettoyer les résultats du scanner de sécurité Fscan. Auparavant, la campagne visait surtout les amateurs de jeux blockchain qui utilisaient des portefeuilles de cryptomonnaies.
Le téléchargement d'un projet devient une infection
L'opération a débuté il y a deux ans avec des projets Visual Studio annoncés autour de jeux blockchain, de bots et de triches. Des instructions guidaient les utilisateurs potentiels dans l'installation de Visual Studio et le téléchargement des projets GitHub, ce qui élargissait leur portée aux personnes ayant peu de connaissances techniques.
Les instructions malveillantes étaient intégrées au matériel de développement lui-même : les fichiers de projet contenaient des commandes programmées pour s'exécuter avant une compilation, tandis que les fichiers de configuration renfermaient des commandes PowerShell. Les fichiers Python et Go comportaient également du code malveillant, dissimulé par de longues séquences d'espaces.
L'ouverture d'un projet lance un script PowerShell. Celui-ci contacte à la fois des serveurs contrôlés par les attaquants et des services légitimes (YouTube, Telegram, Google Docs, GitCode et Pastebin) pour récupérer une chaîne chiffrée contenant un lien vers une archive. Une fois extrait, le contenu de l'archive se trouve dans un répertoire conçu pour ressembler à un composant de Windows Photos.
L'exécutable central est Microsoft.exe, une application Electron modulaire. Il transmet des informations système à un bot Telegram, maintient son exécution et élève ses privilèges. À partir de là, il affaiblit les options de protection et de récupération de l'ordinateur : Windows Defender, le contrôle de compte d'utilisateur, la restauration du système et les copies d'ombre (clichés instantanés) sont désactivés. Le chargeur crée également des exclusions Defender, injecte du code dans des processus légitimes et supprime les antivirus McAfee, ESET et Malwarebytes.
Son chemin d'exécution normal, Mode3, masque l'identité du processus parent et désactive Smart App Control. Il retire aussi les hooks des logiciels de sécurité de ntdll.dll, utilise des appels système directs et modifie en mémoire le traçage d'événements (ETW) ainsi que l'analyse des scripts antivirus. En cas d'échec sur ce chemin, Mode2 se déclenche : il applique des exclusions Defender et effectue l'injection via PowerShell.
Contrôle à distance et vol de données
Trois charges utiles offrent aux attaquants différentes façons d'exploiter un PC infecté. Pour l'accès à distance, le logiciel malveillant lance deux instances identiques de la porte dérobée AsyncRAT sur des ports distincts. Selon les constats de Doctor Web, cela permet probablement à deux opérateurs de contrôler le même ordinateur.
Un clipper cible les transactions en cryptomonnaies en substituant des adresses de portefeuille dans le presse-papiers ; il réalise aussi des captures d'écran. Un logiciel voleur distinct collecte les données des navigateurs, les fichiers de configuration de FileZilla, MobaXterm et Total Commander, les paramètres VPN, les fichiers des messageries, les comptes de jeux et les jetons Discord. Les données volées sont regroupées dans des archives ZIP et transférées via Telegram.
Le logiciel malveillant perturbe en outre les logiciels de sécurité en modifiant le fichier hosts pour bloquer les domaines des éditeurs d'antivirus.
Doctor Web a également relevé des signes d'un développement en cours. Des routines inutilisées pourraient télécharger et extraire Lodge.7z, une archive contenant un projet Electron inachevé dont l'exécutable se nomme WUDFHost.exe. Le code laisse entrevoir des fonctions prévues pour s'installer comme service système, restaurer Microsoft.exe après suppression, contrôler le démarrage et installer des mises à jour.
Aux amateurs de jeux blockchain et aux professionnels de la sécurité qui téléchargent ces projets, Doctor Web recommande de maintenir les antivirus à jour et d'analyser chaque fichier téléchargé.
