Un antivirus qui vole vos mots de passe : voilà le grand écart proposé par une campagne qui a pollué GitHub de faux dépôts. Un acteur malveillant a publié près de 300 dépôts GitHub maquillés en logiciels légitimes et en projets de cybersécurité, avec un seul objectif : glisser un infostealer dans la machine des visiteurs trop confiants. Les pages imitent des outils connus, jouent la carte du référencement et renvoient vers des archives piégées, planquées au cœur des README.
Points clés
- Près de 300 dépôts GitHub factices imitent des logiciels et projets de cybersécurité connus.
- La charge utile est un infostealer, spécialisé dans le vol de mots de passe et de jetons de session.
- Les faux dépôts usurpent des marques comme Malwarebytes, Bitdefender et 360 Total Security.
- L’affaire s’ajoute à d’autres campagnes de 2026 exploitant la confiance placée dans GitHub.
Une mise en scène soignée
Les dépôts repérés cochent toutes les cases du projet sérieux : noms proches de logiciels existants, descriptions rassurantes, historiques de commits gonflés artificiellement et liens de téléchargement placés bien en vue. L’attaque usurpe l’identité de marques de sécurité comme Malwarebytes, Bitdefender et 360 Total Security. Tout est calibré pour attirer des victimes via une simple recherche ou un lien partagé ailleurs.
La charge utile est un infostealer, ce type de malware spécialisé dans le vol de mots de passe, de jetons de session et d’identifiants stockés localement. Le ressort est vieux comme le phishing : faire croire qu’un téléchargement vient d’un projet open source connu, alors que l’archive récupérée est truffée de code malveillant.
GitHub, terrain de jeu récurrent
L’affaire s’ajoute à une série d’abus autour de GitHub cette année. Des chercheurs ont récemment décrit des réseaux de centaines, parfois de milliers de dépôts frauduleux servant de leurres ou de vecteurs d’infection. Socket a documenté une opération baptisée Operation Muck and Load, avec 222 dépôts confirmés répartis sur 190 comptes, quand d’autres enquêtes ont montré des dépôts recyclés en relais pour des payloads Windows et des chevaux de Troie d’accès distant.
Les pages malveillantes de cette dernière campagne ont été retirées et les détections renforcées. La leçon reste inchangée : les mécanismes de visibilité de GitHub, pensés pour aider les développeurs, se retournent aussi facilement contre eux. Un rappel qu’un logo familier et une jolie page README ne valent pas une vérification de la source.
- Cible visée : développeurs, administrateurs système et utilisateurs en quête d’outils populaires sur GitHub.
- Charge utile : infostealer orienté vol d’identifiants.
- Ampleur observée : près de 300 dépôts factices dans cette campagne.
- Technique : imitation de logiciels connus, SEO, README trompeurs et archives piégées.
