GitVenom : Des projets open source malveillants sur GitHub distribuent des logiciels malveillants

Des chercheurs ont découvert une campagne malveillante, baptisée "GitVenom", au cours de laquelle des acteurs de menaces ont créé des centaines de faux projets open source sur GitHub pour distribuer des logiciels malveillants. Ces projets, déguisés en outils légitimes tels que des scripts d'automatisation Instagram, des bots Telegram et des astuces de jeu, présentaient des fichiers README soignés et des commits fréquents pour paraître authentiques. Le code malveillant était habilement caché dans des projets écrits dans plusieurs langages (Python, JavaScript, C/C++, C#), téléchargeant et exécutant finalement d'autres composants malveillants à partir d'un référentiel GitHub contrôlé par l'attaquant. Ces composants comprenaient des voleurs d'informations, des chevaux de Troie d'accès à distance et des pirates de presse-papiers. La campagne est active depuis des années, affectant des utilisateurs dans le monde entier, soulignant les risques liés à l'exécution aveugle de code tiers.