Herramientas de seguridad falsas en GitHub distribuyen puertas traseras e infostealers

El 6 de noviembre de 2026, investigadores de Dr. Web alertaron de una campaña que distribuye proyectos infectados en GitHub dirigidos a profesionales de la ciberseguridad. Los repositorios simulan herramientas para automatizar escaneos, realizar pruebas de seguridad y analizar registros. La campaña comenzó hace unos dos años enfocada en usuarios de criptocarteras.

Entre los repositorios detectados figura un script falso presentado como una solución ligera para procesar, limpiar y dar formato a la salida del escáner de redes Fscan. El código malicioso se oculta en archivos de proyectos de Visual Studio, scripts de Python y código Go, incluso detrás de extensas secuencias de espacios en blanco. En algunos proyectos de Visual Studio, una rutina de evento de precompilación ejecuta el código antes de compilarlo.

La cadena de infección utiliza PowerShell para obtener un enlace de descarga cifrado que recupera un cargador modular basado en Electron, denominado ‘Microsoft.exe’. El componente establece persistencia, eleva privilegios, desactiva funciones de seguridad y recuperación de Windows e inyecta la siguiente fase en procesos legítimos.

Según Dr. Web, el cargador aplica técnicas de evasión para aparentar que explorer.exe es su proceso principal, desactivar Smart App Control, restaurar el código original de ntdll.dll, realizar llamadas directas al sistema y modificar en memoria EtwEventWrite y AmsiScanBuffer. Como alternativa, Mode2 añade exclusiones en Microsoft Defender y descifra e inyecta las cargas en RegAsm.exe.

Las cargas finales incluyen la puerta trasera AsyncRAT, un clipper que sustituye direcciones de criptocarteras en el portapapeles y un infostealer. Este último recopila datos de navegadores, configuraciones de VPN, archivos de clientes FTP, información de cuentas de videojuegos y tokens de Discord, que exfiltra mediante un bot de Telegram. Dr. Web estima que más de 2.000 sistemas Windows han sido comprometidos.

El malware también intenta eliminar ESET, McAfee y Malwarebytes, impedir su conexión con servidores de actualización e interferir con las copias de seguridad de Windows. Los investigadores identificaron además un componente aparentemente inacabado que podría mantener activo el cargador y volver a descargarlo si se elimina del disco, lo que apunta a futuros cambios en la amenaza.

Fuente: BleepingComputer.