Alerte GitHub : le malware Webrat caché dans des ZIP trompeurs — des milliers de développeurs piégés (vérifiez votre PC maintenant)
Webrat propagé via GitHub : comment un malware sophistiqué a berné développeurs et étudiants
Une campagne de diffusion du malware Webrat révèle une évolution inquiétante des tactiques des cybercriminels : utiliser des dépôts GitHub pour masquer des archives ZIP contenant des « exploits » factices. Détectée par les chercheurs de Kaspersky, cette opération montre que même des plateformes réputées et des ressources destinées aux développeurs peuvent devenir des vecteurs d’infection. Explications sur la mécanique, les risques et les précautions à adopter.
La chaîne d’infection : du ZIP protégé à l’accès total
Le mode opératoire suivi par les auteurs est simple en apparence, mais particulièrement ingénieux. Des archives ZIP protégées par mot de passe étaient publiées dans une quinzaine de repositories GitHub à partir de septembre. Ces archives prétendaient contenir des exploits pour trois vulnérabilités — deux affectant Windows (CVE‑2025‑59295 et CVE‑2025‑59230) et une liée au plugin WordPress OwnID Passwordless Login (CVE‑2025‑10294) — accompagnées d’un guide d’installation et de mitigations.
À l’intérieur des ZIP se trouvaient trois éléments clés : une DLL sans utilité apparente, un exécutable et un fichier batch lançant cet exécutable. En réalité, ce dernier agissait comme un dropper : il élevait les privilèges, désactivait Windows Defender puis téléchargeait Webrat depuis un domaine hébergé en Russie. Le packaging en ZIP protégé et la structure proche entre les dépôts — probablement générée via intelligence artificielle — donnaient un vernis de crédibilité aux documents, poussant des développeurs novices et des étudiants à télécharger et exécuter ces fichiers.
Webrat : capacités d’un cheval de Troie moderne
Webrat n’est pas un simple programme d’espionnage à portée limitée. Les fonctionnalités identifiées le classent parmi les malwares multifonctions :
Cette combinaison met en péril à la fois la vie privée et la sécurité financière des victimes (vol de credentials, accès aux wallets), ainsi que des organisations si le malware se propage depuis des postes connectés à des environnements professionnels.
Qui sont les cibles ? Une campagne orientée débutants
Kaspersky indique que les cibles principales de cette campagne sont des étudiants et des développeurs en début de carrière. Ces profils sont précisément ceux qui consultent souvent GitHub pour trouver du code, des exemples d’exploit ou des outils d’apprentissage. La ruse a donc été de se fondre dans l’écosystème naturel d’apprentissages et d’outils des novices, en leur proposant du « matériel pédagogique » difficile à distinguer d’une ressource légitime.
Indices d’une orchestration automatisée
Plusieurs éléments laissent penser que l’opération a été largement automatisée : la structure quasiment identique des dépôts, le format des archives ZIP protégées, et la rédaction similaire des guides d’installation. Kaspersky suggère que l’IA a été employée pour générer ces contenus, rendant la campagne facile à multiplier et difficile à repérer par simple inspection manuelle.
Mesures prises : suppression des dépôts et analyses en cours
Après la détection, GitHub a retiré l’ensemble des repositories impliqués. Les équipes de sécurité continuent d’analyser les échantillons pour caractériser précisément tous les modules du malware et retracer l’infrastructure de commande et contrôle (C2). Les spécialistes notent toutefois une difficulté pratique : une fois qu’un ordinateur est compromis, Webrat peut avoir déjà exfiltré des informations sensibles ou obtenu un accès persistant au système.
Bonnes pratiques à adopter immédiatement
Face à ce type de menace, quelques règles simples réduisent fortement les risques :
Ce que révèle cette campagne sur l’évolution des menaces
L’usage de GitHub comme vecteur illustre une tendance majeure : les cybercriminels s’adaptent aux habitudes des communautés techniques en exploitant leur confiance et leur soif de documentation. La prolifération d’outils d’IA facilite la production de contenu trompeur à grande échelle, rendant la tâche des modérateurs et des analystes plus ardue.
Responsabilité collective : plateformes, équipes de sécurité et utilisateurs
La lutte contre ce type d’opération ne repose pas sur un seul acteur. Les plateformes comme GitHub doivent continuer à renforcer leurs systèmes de détection et d’alerte, en combinant analyses heuristiques et signalements communautaires. Les équipes de sécurité doivent intégrer l’analyse des dépôts publics dans leurs menaces surveillées. Et les utilisateurs — en particulier les profils novices — doivent être instruits pour développer des réflexes de vérification avant d’exécuter quoi que ce soit.
