GitHubの偽セキュリティツールで情報窃取―Dr.Web、2,000台超の感染を報告

Doctor Webは2026年11月5日、GitHub上の開発プロジェクトにマルウェアを混入させる攻撃を公表しました。約2年前から暗号資産やゲーム関連の利用者を狙っていた活動が、セキュリティ担当者向けのツールへ対象を広げたと説明しています。同社の調査時点で、一連の活動による感染は2,000台超のPCに及びました。セキュリティ担当者だけの被害件数ではありません。

誘い文句はスキャンの自動化、セキュリティ試験、ログ解析などです。Visual Studioのプロジェクトにはビルド前に動く処理を仕込み、PythonやGoのソースでは大量の空白の先に悪性コードを隠していました。リポジトリを閲覧するだけの攻撃ではなく、取得したプロジェクトの実行やビルドが侵入の入口になります。

悪性処理はPowerShell経由で追加ファイルを取得し、Microsoft.exeという名称のElectron製ローダーを起動します。ローダーは自動起動の設定や防御機能の妨害を行い、遠隔操作用のAsyncRAT、クリップボード上の暗号資産送付先を書き換えるプログラム、情報窃取プログラムを展開します。

窃取対象にはブラウザのデータ、VPN設定、FTPクライアントの設定、Discordのトークンなどが含まれ、Telegram経由で送信されます。Doctor Webは侵害指標も公開しています。今回の報告はGitHubサービス自体の侵害ではなく、公開プロジェクトを信頼して実行する開発者を狙った活動です。