Dans un monde de plus en plus connect\u00e9, la s\u00e9curit\u00e9 des \u00a0donn\u00e9es\u00a0 et des \u00a0syst\u00e8mes d’information\u00a0 est devenue une priorit\u00e9 pour les entreprises. Avec l’essor des \u00a0tools\u00a0 de d\u00e9veloppement collaboratif comme \u00a0GitHub\u00a0, le risque de cyberattaques a \u00e9galement \u00e9volu\u00e9. Une r\u00e9cente campagne, r\u00e9v\u00e9l\u00e9e par \u00a0Cisco Talos\u00a0, fait ressortir comment ces outils peuvent \u00eatre utilis\u00e9s \u00e0 des fins malveillantes, mettant en lumi\u00e8re une utilisation d\u00e9tourn\u00e9e du code\u00a0 open source\u00a0.<\/p>\n
Depuis f\u00e9vrier 2025, une campagne de cybermalveillance a \u00e9t\u00e9 mise en \u0153uvre, exploitant la l\u00e9gitimit\u00e9 de \u00a0GitHub\u00a0 pour diffuser du \u00a0malware\u00a0. Les acteurs de cette op\u00e9ration, qui ne semblent pas \u00eatre un cas isol\u00e9, ont mis en place un mod\u00e8le de \u00a0malware-as-a-service (MaaS)\u00a0. Cette technique consiste \u00e0 distribuer des outils de piratage comme des services en ligne. Les cybercriminels exploitent des \u00a0lien\u00a0s apparemment innocents pour transf\u00e9rer des codes malveillants, trompant ainsi les utilisateurs avec un \u00a0trafic\u00a0 qui semble normal.<\/p>\n
Les chercheurs de \u00a0Talos\u00a0 expliquent qu’une \u00a0t\u00e9l\u00e9chargement malveillant\u00a0 depuis GitHub peut \u00eatre difficile \u00e0 distinguer d’une \u00a0utilisation normale\u00a0 d’Internet. Cela devient d’autant plus complexe lorsque les cybercriminels parviennent \u00e0 masquer le code malveillant. Le processus d’infection commence avec un \u00a0loader\u00a0 du nom d’\u00a0Emmenhtal\u00a0, qui op\u00e8re par couches invisibles \u00e0 l’utilisateur. Ce \u00a0loader\u00a0 est con\u00e7u pour dissimuler le code malveillant, ne d\u00e9voilant que dans un dernier temps un script \u00a0PowerShell\u00a0 contactant une adresse distante pour t\u00e9l\u00e9charger la \u00a0charge utile\u00a0.<\/p>\n
La charge utile, dans ce cas, \u00e9tait \u00a0Amadey\u00a0, un \u00a0malware\u00a0 actif depuis 2018 et document\u00e9 dans divers forums de \u00a0cybercriminalit\u00e9\u00a0. Sa capacit\u00e9 \u00e0 \u00a0collecter des informations\u00a0 sensibles et \u00e0 t\u00e9l\u00e9charger des fichiers suppl\u00e9mentaires en fonction des caract\u00e9ristiques de l’ordinateur infect\u00e9 en fait un outil redoutable. La principale innovation r\u00e9side dans le fait que les fichiers malveillants ne proviennent pas de serveurs obscurs, mais sont h\u00e9berg\u00e9s sur des \u00a0r\u00e9pertoires publics\u00a0 de GitHub, rendant leur \u00a0identification\u00a0 difficile.<\/p>\n
Un des comptes les plus actifs dans cette campagne \u00e9tait \u00a0Legendary99999\u00a0, qui a h\u00e9berg\u00e9 plus de 160 \u00a0r\u00e9f\u00e9rentiels\u00a0, chacun contenant un fichier malveillant. Gr\u00e2ce \u00e0 des noms al\u00e9atoires et \u00e0 des \u00a0distributions\u00a0 apparemment innocentes, les attaquants ont pu envoyer des \u00a0lien\u00a0s directs \u00e0 leurs victimes, masquant ainsi leurs v\u00e9ritables intentions. D’autres comptes ont \u00e9galement \u00e9t\u00e9 identifi\u00e9s avec des \u00a0mod\u00e8les de comportement similaires\u00a0, tels que \u00a0Milidmdds\u00a0 ou \u00a0DFfe9ewf\u00a0, renfor\u00e7ant l’id\u00e9e d’une op\u00e9ration bien orchestr\u00e9e.<\/p>\n
Une fois un syst\u00e8me infect\u00e9, \u00a0Amadey\u00a0 t\u00e9l\u00e9charge les fichiers n\u00e9cessaires depuis GitHub, adapt\u00e9s aux besoins sp\u00e9cifiques de chaque cybercriminel. La diversit\u00e9 des menaces o\u00f9 le malware peut \u00e9voluer est impressionnante. Des \u00a0trojans\u00a0 d’acc\u00e8s \u00e0 distance comme \u00a0AsyncRAT\u00a0 aux scripts d\u00e9guis\u00e9s en fichiers \u00a0MP4\u00a0, les sc\u00e9narios d’infection montrent une flexibilit\u00e9 alarmante. La vari\u00e9t\u00e9 des outils disponibles inclut m\u00eame des applications l\u00e9gitimes comme \u00a0PuTTY\u00a0 et \u00a0Selenium WebDriver\u00a0, renfor\u00e7ant la v\u00e9racit\u00e9 des attaques.<\/p>\n
Face \u00e0 cette vague d’infection, \u00a0GitHub\u00a0 a r\u00e9agi en supprimant les comptes identifi\u00e9s par \u00a0Talos\u00a0. Cependant, il ne s’agit pas seulement d’une simple question de mod\u00e9ration des comptes. Le v\u00e9ritable d\u00e9fi r\u00e9side dans le fait que des services l\u00e9gitimes peuvent \u00eatre d\u00e9tourn\u00e9s pour masquer des activit\u00e9s malveillantes. Les outils server existent pour faciliter l’acc\u00e8s au \u00a0code open source\u00a0, mais ils servent \u00e9galement d’autres int\u00e9r\u00eats.<\/p>\n
Les conclusions de cette enqu\u00eate soulignent la n\u00e9cessit\u00e9 d’une vigilance constante dans la gestion des \u00a0outils collaboratifs\u00a0. Les d\u00e9veloppeurs et les entreprises doivent \u00eatre conscients des risques associ\u00e9s \u00e0 ces plateformes, en renfor\u00e7ant leurs protocoles de s\u00e9curit\u00e9 afin de mieux rep\u00e9rer les comportements suspects.<\/p>\n
Alors que les cybermenaces continuent de cro\u00eetre et d’\u00e9voluer, il est crucial de maintenir un \u00e9quilibre entre l’acc\u00e8s aux \u00a0ressources technologiques\u00a0 et la protection contre les abus. En fin de compte, la sensibilisation aux dangers potentiels et la mise en pratique de mesures de s\u00e9curit\u00e9 robustes sont des \u00e9tapes indispensables pour naviguer dans ce paysage num\u00e9rique de plus en plus complexe.<\/p>\n