Ce téléchargement « officiel » trouvé sur GitHub pourrait livrer vos mots de passe
Recherchez une application populaire - un portefeuille crypto, un outil de sécurité, un éditeur PDF - et l'un des premiers résultats a l'air parfait : une page GitHub soignée, un logo qui semble officiel, un gros bouton de téléchargement. GitHub est l'endroit où de vrais développeurs publient de vrais logiciels, ce qui inspire confiance. C'est exactement cet instinct qu'une campagne active depuis fin juin est conçue pour exploiter.
Les chercheurs d'Arctic Wolf ont dénombré au moins 292 fausses pages GitHub créées depuis le 26 juin, chacune habillée pour se faire passer pour une marque connue - produits de sécurité, portefeuilles et plateformes d'échange crypto, applications financières, outils de développement, e-mail sécurisé, et même logiciels de jeu. Elles sont optimisées pour bien se classer dans les résultats de recherche, si bien qu'on les trouve en recherchant exactement le logiciel que l'on voulait déjà. Le README de la page affiche un lien de « téléchargement sécurisé » soigné avec de faux badges de confiance, et il mène à un fichier qui n'est pas du tout l'application.
Ce qui arrive est un voleur d'informations éclair : il s'exécute une fois, récupère tout ce qu'il peut et disparaît. En un seul passage, il capture les mots de passe et cookies enregistrés dans plus de 19 navigateurs, cible 41 emplacements de portefeuilles de cryptomonnaies, récupère les identifiants Discord, Steam et Telegram, vide le gestionnaire d'identifiants Windows et prend même des captures d'écran, avant d'envoyer le tout à un serveur situé à l'étranger.
Quelques habitudes vous mettent à l'abri. Récupérez les logiciels sur le site du fabricant lui-même, pas sur ce qui arrive en tête d'une recherche. Considérez comme suspect un dépôt GitHub tout récent sans historique, et rappelez-vous qu'un vrai programme d'installation ne vous demande jamais d'exécuter un .exe extrait directement d'un ZIP. Tendvane s'appuie sur le même principe : ses mises à jour d'applications passent par le gestionnaire de paquets de Windows lui-même (winget) plutôt que par des pages de téléchargement aléatoires, et son contrôle Sécurité signale les programmes de démarrage et modules complémentaires de navigateur inattendus si jamais quelque chose venait à passer entre les mailles du filet.