Faux outils de sécurité GitHub : compiler un « scanner » a suffi à infecter plus de 2 000 PC
Votre technicien, votre développeur ou votre fournisseur TI cherche un petit outil pour trier les résultats d’un scan réseau. Il trouve sur GitHub un projet qui fait exactement ça, avec des instructions claires : cloner, ouvrir dans Visual Studio, compiler. Il compile. C’est tout ce qu’il fallait pour infecter son poste.
Le 5 novembre 2026, la firme Doctor Web a décrit une campagne de faux outils de sécurité GitHub qui a déjà compromis plus de 2 000 ordinateurs Windows. Après avoir visé pendant deux ans les amateurs de cryptomonnaies et de jeux, les pirates publient maintenant de faux outils pour automatiser des scans, tester la sécurité ou analyser des journaux. Ils visent donc les gens qui ont les accès les plus précieux de votre entreprise.
Faux outils de sécurité GitHub : où se cache le piège
Ce qu’il faut voir
1Un « événement avant compilation » : Visual Studio exécute cette commande automatiquement, avant même que le programme existe. Compiler suffit, pas besoin de lancer l’outil.
2Le vrai code est poussé très loin à droite par des centaines d’espaces. Dans l’éditeur ou sur GitHub, on ne voit que « echo Building… ».
3PowerShell est lancé caché, sans restriction, à partir d’un dossier public que tout le monde peut écrire.
Dans les versions Python et Go, la même astuce des espaces cache une ligne malveillante au bout d’une ligne normale. Certaines variantes utilisent aussi le fichier .suo de Visual Studio.
Ce qui se passe après la compilation
1
Lien chiffré
PowerShell récupère un texte chiffré sur Pastebin, YouTube, Telegram, Google Docs ou GitCode. Une fois déchiffré, il donne l’adresse du vrai fichier.
2
« Microsoft.exe »
Une archive est décompressée dans C:\ProgramData\Windows.Microsoft.Photos. Le chargeur porte un nom rassurant.
3
Défenses coupées
Smart App Control désactivé, analyse antivirus des scripts neutralisée, exclusions ajoutées à Defender, UAC, restauration du système et clichés instantanés désactivés.
4
Antivirus retirés
Le logiciel tente de désinstaller ESET, McAfee et Malwarebytes, et modifie le fichier hosts pour bloquer leurs mises à jour.
5
Prise de contrôle
Deux portes dérobées AsyncRAT, un programme qui remplace les adresses de portefeuilles crypto copiées, et un voleur de données.
Ce que le voleur emporte
Sur le poste d’un technicien ou d’un développeur, les données volées ne servent pas seulement à vider un portefeuille crypto. Elles donnent souvent accès à vos serveurs et à votre site :
Ce que vise le voleur de données (JS.Stealer.191)
Navigateurs
Mots de passe enregistrés, témoins de session et saisie automatique : vos accès Microsoft 365, votre banque, vos outils infonuagiques.
Critique
FileZilla (fichiers XML)
Adresses, identifiants et mots de passe FTP/SFTP des sites Web que la personne entretient.
Critique
MobaXterm.ini
Sessions SSH vers vos serveurs, parfois avec mots de passe enregistrés.
Critique
Configurations VPN
De quoi se connecter à votre réseau de l’extérieur.
Critique
Total Commander (wcx_ftp.ini)
Autres connexions FTP enregistrées.
Élevé
Discord, Telegram, jeux
Comptes personnels, revendus ou utilisés pour propager l’attaque.
Moyen
Tout est envoyé aux pirates par un robot Telegram. Si un poste a été touché, changez tous les mots de passe enregistrés depuis un autre appareil propre, et pas seulement ceux du poste lui-même. C’est le même réflexe que pour l’extension Claude Code piégée dans Cursor ou le fichier AGENTS.md piégé : les outils des gens techniques sont devenus une cible.
Les croyances qui rendent ce piège efficace
Cinq règles pour les outils trouvés sur GitHub
Règles d’équipe
Avant de compiler ou de lancer un outil trouvé en ligne
- Un poste de test séparé ou une machine virtuelle, jamais le poste qui contient vos mots de passe et vos accès.
- Pas de droits administrateur pour tester un outil inconnu.
- Lire les fichiers de projet (.csproj, .sln, scripts) en mode texte avant d’ouvrir le projet dans Visual Studio.
- Préférer les versions officielles publiées par l’auteur connu de l’outil, pas une « version améliorée » d’un inconnu.
- Aucun mot de passe de serveur enregistré dans FileZilla, MobaXterm ou le navigateur : un gestionnaire de mots de passe avec MFA.
Ces règles valent aussi pour votre fournisseur TI ou votre pigiste : demandez-lui comment il teste les outils qu’il utilise sur vos systèmes.
Comment NeoTech peut vous aider
Nous mettons en place des postes de test séparés, retirons les droits administrateur inutiles, déplaçons les mots de passe de serveurs vers un gestionnaire sécurisé, et notre surveillance automatisée 24/7 avec intervention du technicien de garde réagit quand un antivirus est désactivé ou qu’une exclusion apparaît dans Defender. Découvrez nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous regardons qui, chez vous ou chez vos fournisseurs, a des accès techniques, où sont enregistrés les mots de passe de vos serveurs, et ce qu’un outil piégé pourrait emporter.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- BleepingComputer — de faux outils de sécurité sur GitHub installent porte dérobée et voleur de données, 6 nov. 2026 (en anglais)
- GBHackers — de faux outils de sécurité GitHub infectent plus de 2 000 ordinateurs, 7 nov. 2026 (en anglais)
- Threadlinqs — résumé technique et indicateurs (Trojan.Loader.3261) (en anglais)
Photo : Alicia Christin Gerald, Pexels (licence Pexels).