Gli attaccanti interessati alle criptovalute e ai dati sensibili usano progetti GitHub per diffondere malware che smantella le difese di Windows e installa strumenti per l'accesso remoto e il furto di dati. In un rapporto del 9 novembre 2026, Security Affairs ha descritto l'indagine di Doctor Web, che al momento della ricerca aveva rilevato oltre 2.000 PC infettati.
I professionisti della sicurezza informatica sono i bersagli più recenti della campagna. I repository promettono aiuto per la scansione automatizzata, i test di sicurezza e l'analisi dei log, tra cui una presunta utility per analizzare e ripulire l'output dello scanner di sicurezza Fscan. In precedenza la campagna si concentrava sugli appassionati di giochi blockchain che usavano portafogli di criptovalute.
Il download di un progetto diventa un'infezione
L'operazione è iniziata due anni fa con progetti Visual Studio pubblicizzati attorno a giochi blockchain, bot e cheat. Le istruzioni guidavano i potenziali utenti nell'installazione di Visual Studio e nel download dei progetti GitHub, ampliando così la platea di persone con conoscenze tecniche limitate.
Le istruzioni malevole erano incorporate nel materiale di sviluppo stesso: i file di progetto contenevano comandi programmati per essere eseguiti prima di una build, mentre i file di configurazione contenevano comandi PowerShell. Anche i file Python e Go contenevano codice malevolo, nascosto da lunghe sequenze di spazi bianchi.
Aprire un progetto avvia uno script PowerShell. Lo script contatta sia server controllati dagli attaccanti sia servizi legittimi (YouTube, Telegram, Google Docs, GitCode e Pastebin) per recuperare una stringa cifrata che contiene il link a un archivio. Dopo l'estrazione, il contenuto dell'archivio si trova in una directory creata per somigliare a un componente di Windows Photos.
L'eseguibile centrale è Microsoft.exe, un'applicazione Electron modulare. Invia informazioni di sistema a un bot Telegram, mantiene la propria esecuzione ed eleva i privilegi. Da lì indebolisce le protezioni e le opzioni di ripristino del computer: Windows Defender, Controllo dell'account utente, Ripristino configurazione di sistema e copie shadow vengono disattivati. Il loader inoltre crea esclusioni di Defender, inietta codice nei processi legittimi e rimuove i prodotti antivirus McAfee, ESET e Malwarebytes.
Il suo percorso di esecuzione normale, Mode3, nasconde l'identità del processo padre e disattiva Smart App Control. Rimuove inoltre gli hook dei software di sicurezza da ntdll.dll, usa chiamate di sistema dirette e applica patch in memoria al tracciamento degli eventi e alla scansione antivirus degli script. In caso di errore su quel percorso si attiva Mode2, che applica esclusioni di Defender ed esegue l'iniezione tramite PowerShell.
Seguono controllo remoto e furto
Tre payload offrono agli attaccanti modi diversi di sfruttare un PC infetto. Per l'accesso remoto, il malware avvia due istanze identiche della backdoor AsyncRAT su porte separate. I risultati di Doctor Web suggeriscono che ciò probabilmente permette a due operatori di controllare lo stesso computer.
Un clipper prende di mira le transazioni in criptovalute sostituendo gli indirizzi dei portafogli negli appunti; acquisisce anche screenshot. Uno stealer separato raccoglie dati del browser, file di configurazione di FileZilla, MobaXterm e Total Commander, impostazioni VPN, file di messaggistica, account di gioco e token di Discord. Il materiale rubato viene impacchettato in archivi ZIP e trasferito tramite Telegram.
Il malware interferisce inoltre con i software di sicurezza modificando il file hosts per bloccare i domini dei fornitori di antivirus.
Doctor Web ha inoltre trovato segni di sviluppo in corso. Routine non utilizzate potrebbero scaricare ed estrarre Lodge.7z, un archivio che contiene un progetto Electron incompiuto il cui eseguibile si chiama WUDFHost.exe. Il codice rimanda a funzioni previste per installarsi come servizio di sistema, ripristinare Microsoft.exe dopo la cancellazione, controllare l'avvio e installare aggiornamenti.
Agli appassionati di giochi blockchain e ai professionisti della sicurezza che scaricano questi progetti, Doctor Web consiglia di tenere aggiornati gli antivirus e di analizzare ogni file scaricato.
