Github : une campagne de malware sévit, mettez votre sécurité à l'épreuve
Le géant du contrôle de version, GitHub, est sous le feu des critiques. Une opération malveillante, orchestrée via des dépôts publics, s'attaque aux ordinateurs de millions d'utilisateurs. C'est une menace sérieuse qui exige une vigilance accrue.
Imitations de logiciels légitimes : un piège sophistiqué
Les cybercriminels ont déployé une campagne audacieuse : la création de fausses copies de logiciels populaires, tels que WinRAR, Malwarebytes, Postman ou Krita. L'objectif ? Tromper les utilisateurs, les inciter à installer des programmes malveillants qui compromettent leur système. Il ne s'agit pas seulement de vols d'informations, mais aussi de l'introduction de virus sophistiqués.
Un défaut de microsoft defender : une faille critique
L'Arctic Wolf, une société spécialisée en cybersécurité, a mis en lumière un défaut alarmant dans Microsoft Defender, le logiciel de protection de Windows 11. Ce défaut permet de remplir complètement le disque dur de l'ordinateur, ouvrant la porte à une infestation massive. Un risque que nul ne peut ignorer.
Le modus operandi : un réseau de faux dépôts
L'attaque repose sur l'exploitation de 292 dépôts GitHub frauduleux, déguisés en projets légitimes. Chaque dépôt contenait un fichier README pointant vers des pages web dédiées à la diffusion du malware. La technique est diaboliquement simple : reproduire à la lettre l'apparence des interfaces des entreprises, créant ainsi une illusion de confiance. Le phishing, déguisé en sécurité.
Un script malveillant adaptable et efficace
Le script du côté client analyse la route URL en deux segments, ajustant l'apparence pour imiter fidèlement les entreprises ciblées. L'infection se produit via un fichier ZIP volumineux, dont le nom change constamment, contenant un fichier libcurl.dll modifié et une copie légitime de WinGUP (nom de code du malware). L'exécution de ce fichier déclenche une « charge latérale de DLL », injectant le malware sans alerte. Une technique d'infection perspicace et redoutable.
Viser les navigateurs et les cryptomonnaies
Le malware identifié, de type BoryptGrab, vise à voler des informations sensibles, notamment des identifiants, des cookies, des données de paiement et des données stockées dans plus de 19 navigateurs web, ainsi que des 32 portefeuilles de cryptomonnaies. Les hackers interceptent également les sessions de Telegram, les tokens de Discord, les crédenciales de Steam et les messages de Meta. Une collecte d'informations à grande échelle.
L'impossibilité d'attribuer l'attaque
Bien que les développeurs de GitHub suppriment activement les dépôts malveillants, des dizaines restent encore actifs. Arctic Wolf recommande vivement de vérifier l'authenticité de tout projet avant de l'installer. L'origine de l'attaque reste incertaine, mais il est probable qu'elle soit liée à des acteurs russes, motivés par des considérations économiques. La vigilance est la meilleure défense.