Un scanner DNS écrit en Go, propre en apparence, qui installe en douce un mineur de cryptomonnaie et de quoi vider votre portefeuille : voilà le genre de cadeau empoisonné qui traîne désormais sur GitHub. Les chercheurs de Socket ont mis au jour une campagne baptisée « Operation Muck and Load », active depuis janvier, qui a inondé la plateforme de modules Go malveillants soigneusement déguisés en outils légitimes.
Points clés
- Un faux scanner DNS en Go a mené à 222 dépôts répartis sur 190 comptes GitHub
- Plus de 700 modules malveillants publiés depuis janvier, déployant Vidar, des RATs et le mineur XMRig
- Les charges utiles chiffrées sont cachées sur Pastebin, Telegram et YouTube pour échapper au blocage
222 dépôts, 190 comptes, une même recette
Le point de départ de l’enquête est un faux scanner DNS. En remontant le fil, Socket a relié ce module à 222 dépôts répartis sur 190 comptes GitHub, tous taillés pour paraître crédibles. Au total, plus de 700 modules piégés auraient été publiés depuis le début de l’année. Le maquillage est classique mais efficace : noms de projets plausibles, code apparemment fonctionnel, et la charge utile planquée sous plusieurs couches.
Une fois installé, le paquet ne se contente pas d’une seule vilenie. Il déploie Vidar, un infostealer connu pour siphonner identifiants, cookies et données de wallets crypto, des chevaux de Troie d’accès distant (RAT) pour garder la main sur la machine, et XMRig, le mineur Monero qui transforme discrètement votre CPU en tirelire pour quelqu’un d’autre.
Pastebin, Telegram et YouTube comme boîtes aux lettres
Là où la campagne se distingue, c’est dans la logistique. Les adresses des charges finales ne sont pas codées en dur dans les modules : elles sont chiffrées et dissimulées sur des services grand public comme Pastebin, Telegram et YouTube. Le malware va y récupérer ses instructions, ce qui complique le blocage : difficile de couper un canal quand il se cache derrière des plateformes que personne ne songe à filtrer.
Cette approche modulaire permet aussi aux opérateurs de changer de charge utile ou de serveur à la volée, sans retoucher les dépôts déjà en place. Pratique pour survivre aux premières vagues de suppression.
Le supply chain attack, sport favori des attaquants
Les écosystèmes open source (npm, PyPI, et donc les modules Go) restent un terrain de jeu privilégié : il suffit qu’un développeur pressé copie-colle une dépendance sans vérifier sa provenance pour que la contamination s’installe. La confiance qu’on accorde par réflexe à un dépôt public est précisément ce que ces campagnes exploitent.
La parade n’a rien de sorcier, elle est juste rarement appliquée : auditer ses dépendances, se méfier des projets fraîchement créés et peu étoilés, verrouiller les versions, et ne pas prendre le premier module qui matche le nom recherché pour l’original. Sur GitHub comme ailleurs, un beau README ne vaut pas certificat de bonne conduite.
