Falsi tool di sicurezza su GitHub con malware dentro

Cosa è successo

GitHub è il sito dove gli sviluppatori pubblicano il codice dei loro programmi, in contenitori chiamati repository. Chiunque può aprirne uno.

Il 6 novembre 2026 BleepingComputer ha riportato un rapporto di Doctor Web, azienda di antivirus. Descrive una campagna di repository malevoli iniziata circa due anni fa, all'inizio contro chi usa portafogli di criptovalute, con esche come giochi blockchain, bot e cheat. Ora il bersaglio sono i professionisti della sicurezza.

Gli strumenti sono falsi: promettono di automatizzare scansioni, test di sicurezza e analisi dei log. Un esempio citato è uno script presentato come «soluzione leggera per analizzare, ripulire e formattare l'output dello scanner di rete Fscan».

Doctor Web parla di più di 2.000 sistemi Windows compromessi finora. È un conteggio suo: non l'abbiamo trovato verificato altrove.

Come funziona l'attacco

Il codice malevolo è nascosto in file di progetto di Visual Studio, in script Python e in sorgenti Go, dietro lunghe sequenze di spazi bianchi: a prima vista il file sembra normale.

In alcuni progetti Visual Studio un evento di pre-build, cioè un comando che parte prima della compilazione, lo esegue. Basta compilare il progetto.

Poi PowerShell recupera un link cifrato e scarica un loader (un programma che ne scarica altri) modulare, costruito con Electron (una tecnologia comune per fare programmi desktop, usata ad esempio da molte app di chat), chiamato «Microsoft.exe» (Doctor Web lo classifica come Trojan.Loader.3261). Il link cifrato lo script lo va a cercare, a seconda dei casi, su server degli attaccanti oppure su piattaforme normali come Pastebin, YouTube, Telegram e Google Docs: usare più canali diversi rende più difficile bloccare l'attacco chiudendo un solo indirizzo. Il loader ottiene la persistenza, alza i privilegi, disattiva funzioni di sicurezza e il ripristino di Windows e si inietta in processi legittimi.

Per non farsi vedere usa diversi trucchi tecnici. Si traveste da processo figlio di explorer.exe (un programma di sistema che Windows usa comunque, così non sembra sospetto); disattiva con un valore di registro lo Smart App Control di Windows, una protezione che blocca i programmi non affidabili; e rimette a posto, come erano prima, alcune funzioni di un file di sistema (ntdll.dll) che gli antivirus modificano apposta per sorvegliarle: annullando la modifica, il malware aggira quel controllo. Aggiunge anche delle esclusioni a Microsoft Defender, e in una modalità di riserva inietta il codice in un altro programma di sistema di Windows.

Cosa installa sul computer

Doctor Web elenca tre programmi finali (con le sue sigle tecniche tra parentesi, per chi vuole cercarle nell'elenco IOC).

AsyncRAT (BackDoor.AsyncRAT.115), uno strumento di accesso remoto: chi lo controlla può usare il computer da lontano.

Un clipper (Trojan.Clipper.688, installato da Trojan.InjectNET.14), che sostituisce negli appunti gli indirizzi dei portafogli di criptovalute.

Un infostealer (JS.Stealer.191), che ruba dati dei browser, impostazioni VPN, file di configurazione dei client FTP, account di gioco e token Discord, e li invia con un bot Telegram.

Il malware tenta anche di rimuovere ESET, McAfee e Malwarebytes, di isolarli dai server di aggiornamento e di interferire con i backup di Windows.

Un componente che dovrebbe tenere il loader sempre attivo e riscaricarlo se viene cancellato sembra incompleto: secondo Doctor Web fa pensare che l'autore stia ancora migliorando il malware.

Cosa non si sa

Quanti repository in totale sono coinvolti: non è detto. L'elenco degli indicatori di compromissione che Doctor Web ha pubblicato su GitHub ne cita alcuni a titolo di esempio (fra gli altri, uno presentato come pannello di configurazione Frp e uno come bot per un gioco crypto), ma non dice se sia l'elenco completo.

Se GitHub li abbia rimossi: non è detto, né dal rapporto né dall'elenco IOC.

Come vengono promossi o trovati dalle vittime: non è detto.

Chi c'è dietro: Doctor Web indica solo alcuni domini e un indirizzo usati dall'infrastruttura dell'attacco, non un nome o un gruppo. Identità e origine restano sconosciute.

Paesi e settori delle vittime, e se ci siano vittime in Italia: nessuna fonte letta lo dice, nemmeno il rapporto originale.

Non risulta nemmeno un avviso ufficiale di GitHub (cercato apposta): l'azienda non ha pubblicato niente di suo su questo caso, per quanto trovato.

Cosa puoi fare

Doctor Web dà un consiglio generico: tenere aggiornate le firme dell'antivirus e scansionare tutto quello che si scarica da Internet (e segnala, non a caso, che i propri prodotti rilevano questo malware: è anche un consiglio che promuove il prodotto di chi lo scrive). I punti che seguono sono invece nostri, generici, e non vengono né da Doctor Web né da BleepingComputer.

Prima di eseguire o compilare codice scaricato da GitHub, leggilo, comprese le impostazioni di pre-build nei progetti Visual Studio.

Per provare uno strumento che non conosci usa una macchina virtuale isolata, senza i tuoi dati e le tue password.

Se pensi di aver eseguito uno di questi progetti, i dati nel browser e nei client FTP, le VPN e i token Discord vanno considerati a rischio: cambia le password da un altro apparecchio e considera il computer compromesso (AsyncRAT dà accesso remoto): scollegalo dalla rete e fallo bonificare o reinstallare. Per gli indicatori precisi da cercare serve l'elenco IOC di Doctor Web.

Da dove vengono questi dati

La notizia è stata raccontata da BleepingComputer (Bill Toulas, 6 novembre 2026), che riprende il rapporto di Doctor Web. Sono stati letti per intero anche il rapporto originale di Doctor Web e l'elenco degli indicatori di compromissione (IOC) che Doctor Web ha pubblicato su GitHub: confermano i fatti di BleepingComputer e aggiungono i nomi tecnici del malware (Trojan.Loader.3261, AsyncRAT, clipper e infostealer con le loro sigle) e alcuni esempi di nomi di repository malevoli.

Resta comunque una sola famiglia di fonti, tutte riconducibili a Doctor Web: nessun'altra azienda di sicurezza ha confermato indipendentemente questi fatti, per quanto trovato. Abbiamo cercato anche un avviso ufficiale di GitHub: non risulta pubblicato.