--- title: "Sur GitHub, de faux outils de sécurité installent des logiciels voleurs" description: "Des dépôts GitHub piégés ciblent les professionnels de la cybersécurité avec une porte dérobée et un voleur d’informations. Plus de 2 000 systèmes Windows ont déjà été compromis selon les chercheurs cités." canonical: https://inyourgeek.com/articles/2026-11-08-sur-github-de-faux-outils-de-securite-installent-des type: article author: "Sébastien Soulier" publisher: "InYourGeek" language: fr datePublished: 2026-11-08 dateModified: 2026-11-08 section: "Sécurité" tags: ["cybersecurite", "github", "malware", "infostealer"] --- # Sur GitHub, de faux outils de sécurité installent des logiciels voleurs > Des dépôts GitHub piégés ciblent les professionnels de la cybersécurité avec une porte dérobée et un voleur d’informations. Plus de 2 000 systèmes Windows ont déjà été compromis selon les chercheurs cités. 8 novembre 2026 · Sécurité · 3 min Le 6 novembre 2026, [Bleeping Computer](https://www.bleepingcomputer.com/news/security/fake-security-tools-on-github-push-backdoors-and-infostealers/) a rapporté une campagne visant des professionnels de la cybersécurité. Des projets présentés comme des outils de scan, de test ou d’analyse de journaux installent en réalité une porte dérobée et plusieurs malwares. ## Des outils crédibles pour piéger les spécialistes La campagne aurait commencé il y a environ deux ans, avec des utilisateurs de portefeuilles de cryptomonnaies dans le viseur. Les attaquants ont récemment changé d’angle et publient désormais des dépôts liés à l’automatisation de scans, aux tests de sécurité et à l’analyse de logs. Les chercheurs de Dr. Web ont identifié notamment un faux script présenté comme une solution légère pour analyser, nettoyer et formater la sortie du scanner réseau Fscan. Plus de 2 000 systèmes Windows ont été compromis à ce stade, selon leurs conclusions rapportées par Bleeping Computer. Le code malveillant se cache dans des fichiers de projets Visual Studio, des scripts Python et des sources Go. Il est dissimulé derrière de longues séquences d’espaces, une technique ancienne mais toujours efficace. Dans certains projets Visual Studio, une routine de pré-compilation lance directement le code avant même la construction du logiciel. ## Une chaîne d’infection conçue pour rester discrète L’infection commence par PowerShell, qui récupère un lien de téléchargement chiffré. Celui-ci mène à un chargeur modulaire basé sur Electron, nommé `Microsoft.exe`. Une fois installé, le programme établit sa persistance, élève ses privilèges, désactive des mécanismes de sécurité et de récupération de Windows, puis injecte la suite de l’infection dans des processus légitimes. Son mode opérationnel par défaut, appelé Mode3 par Dr. Web, combine six techniques d’évasion. Le chargeur fait notamment apparaître `explorer.exe` comme processus parent, modifie le registre pour désactiver Smart App Control et restaure le code original de `ntdll.dll` afin de supprimer des hooks ajoutés par les outils de sécurité. Il effectue aussi des appels système directs et modifie en mémoire `EtwEventWrite` ainsi que `AmsiScanBuffer`, ce qui réduit la visibilité de la télémétrie et du contrôle antivirus des scripts. Si ce mode échoue, le chargeur passe en Mode2. Il ajoute alors des exclusions à Microsoft Defender et utilise PowerShell pour déchiffrer puis injecter les charges utiles dans `RegAsm.exe`. ## Des données volées et plusieurs charges utiles La campagne déploie AsyncRAT, un malware capable de fournir une porte dérobée, ainsi qu’un clipper qui remplace les adresses de portefeuilles de cryptomonnaies copiées dans le presse-papiers. Un infostealer collecte pour sa part des données de navigateur, des paramètres VPN, des fichiers de configuration de clients FTP, des données de comptes de jeu et des jetons Discord. Les informations sont ensuite exfiltrées par l’intermédiaire d’un bot Telegram. Le chargeur tente également de supprimer les antivirus ESET, McAfee et Malwarebytes, de les empêcher d’accéder à leurs serveurs de mise à jour et d’interférer avec les sauvegardes Windows. Dr. Web a enfin trouvé un composant qui semble inachevé, mais pourrait maintenir le chargeur actif et le télécharger de nouveau après sa suppression du disque. Ce dernier élément suggère que le logiciel malveillant continue d’évoluer. Les chercheurs ont publié la liste complète des indicateurs de compromission observés dans cette campagne. Sur GitHub, le badge de projet de sécurité ne suffit donc manifestement pas à garantir que le projet protège votre machine plutôt qu’il ne l’examine. ## Sources - [Fake security tools on GitHub push backdoors and infostealers](https://www.bleepingcomputer.com/news/security/fake-security-tools-on-github-push-backdoors-and-infostealers/) — bleepingcomputer.com _Article rédigé avec assistance IA à partir des sources citées, relu et validé par un humain avant publication._ --- Page HTML équivalente : https://inyourgeek.com/articles/2026-11-08-sur-github-de-faux-outils-de-securite-installent-des Publié par InYourGeek — https://inyourgeek.com/a-propos Méthode et garde-fous : https://inyourgeek.com/methode Tous les articles : https://inyourgeek.com/archives