--- title: "Fałszywe narzędzia bezpieczeństwa na GitHubie instalują backdoory i infostealery" description: "Badacze opisali kampanię, w której fałszywe projekty bezpieczeństwa na GitHubie instalują backdoora, klippera i infostealera. Zainfekowano już ponad 2000 systemów Windows, a malware kradnie dane przeglądarek, VPN, kont oraz komunikatorów." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/falszywe-narzedzia-bezpieczenstwa-na-githubie-instaluja-backdoory-i-infostealery" markdown_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/falszywe-narzedzia-bezpieczenstwa-na-githubie-instaluja-backdoory-i-infostealery/index.md" date_published: "2026-11-10T15:16:40.758Z" date_modified: "2026-11-10T15:16:40.758Z" author: "Redakcja" category: "Cyberbezpieczeństwo" tags: - "cyberbezpieczeństwo" - "github" - "malware" - "infostealer" - "backdoor" source_url: "https://www.bleepingcomputer.com/news/security/fake-security-tools-on-github-push-backdoors-and-infostealers/" source_name: "BleepingComputer" image_url: "https://najnowsze-informacje.pl/api/media/file/cyberbezpieczenstwo-unsplash-1793991753313.jpeg" image_alt: "man siting facing laptop" image_credit: "© Clint Patterson / Unsplash" image_credit_url: "https://unsplash.com/@cbpsc1" --- # Fałszywe narzędzia bezpieczeństwa na GitHubie instalują backdoory i infostealery > Złośliwe projekty na GitHubie podszywają się pod narzędzia bezpieczeństwa i infekują systemy Windows backdoorem oraz infostealerem. ## Kluczowe informacje - Złośliwe repozytoria są kierowane do specjalistów od cyberbezpieczeństwa. - Badacze wykryli ponad 2000 zainfekowanych systemów Windows. - Ładunek obejmuje AsyncRAT, klippera i infostealera. - Malware próbuje wyłączać zabezpieczenia, usuwać wybrane antywirusy i zakłócać kopie zapasowe. Specjaliści od cyberbezpieczeństwa są celem kampanii, w której napastnicy publikują na GitHubie zainfekowane projekty udające narzędzia do skanowania, testów bezpieczeństwa i analizy logów. Repozytoria zawierają kod instalujący backdoora oraz infostealera. Według firmy Dr. Web kampania doprowadziła dotąd do przejęcia ponad 2000 systemów Windows. ## Od kryptowalut do narzędzi dla zespołów bezpieczeństwa Kampania rozpoczęła się około dwóch lat temu. Początkowo operatorzy kierowali złośliwe projekty do użytkowników portfeli kryptowalutowych, a także do odbiorców zainteresowanych grami blockchain, botami i narzędziami do oszukiwania w grach. Ostatnio zmienili profil przynęt i zaczęli publikować projekty, które mogą wyglądać wiarygodnie dla administratorów oraz badaczy zajmujących się bezpieczeństwem. Dr. Web opisał między innymi fałszywy skrypt przedstawiany jako lekkie narzędzie do przetwarzania, czyszczenia i formatowania wyników skanera sieciowego Fscan. Złośliwy kod ukryto w plikach projektów Visual Studio, skryptach Pythona oraz plikach źródłowych Go. W części przypadków wykorzystano długie ciągi pustych znaków, aby utrudnić zauważenie kodu. W projektach Visual Studio kod może być uruchamiany w ramach procedury wykonywanej przed kompilacją. - Kampania trwa od około dwóch lat i zmieniła grupę docelową z użytkowników kryptowalut na specjalistów od bezpieczeństwa. - Złośliwe projekty podszywają się pod skrypty do skanowania, testowania zabezpieczeń i analizy logów. - Łańcuch infekcji wykorzystuje PowerShell oraz modularny loader oparty na Electronie. - Końcowe ładunki obejmują AsyncRAT, klippera i infostealera. ## Loader wyłącza ochronę i uruchamia kolejne ładunki Po uruchomieniu złośliwego projektu łańcuch infekcji wykorzystuje PowerShell do pobrania zaszyfrowanego odnośnika. Ten prowadzi do modularnego loadera o nazwie Microsoft.exe, który odpowiada za dalsze etapy ataku. Według badaczy loader próbuje utrzymać się w systemie, uzyskać wyższe uprawnienia, ograniczyć działanie funkcji bezpieczeństwa i odzyskiwania systemu, a także uruchamiać malware w legalnych procesach. Dr. Web zidentyfikował w jego domyślnym trybie sześć technik utrudniających wykrycie. W alternatywnym wariancie loader może dodatkowo konfigurować wykluczenia w Microsoft Defender i wykorzystywać skrypt PowerShell do odszyfrowania oraz uruchomienia kolejnych komponentów. Na zainfekowane urządzenia trafiają trzy główne rodzaje ładunków. AsyncRAT zapewnia funkcje backdoora, klipper podmienia adresy portfeli kryptowalutowych kopiowane do schowka, a infostealer zbiera dane z przeglądarek, ustawienia VPN, pliki konfiguracyjne klientów FTP, dane kont gamingowych oraz tokeny Discorda. Zebrane informacje są następnie wyprowadzane z urządzenia za pośrednictwem bota w serwisie Telegram. ## Malware atakuje także narzędzia ochronne Opisany loader próbuje usuwać zainstalowane programy ESET, McAfee i Malwarebytes, odcinać je od serwerów aktualizacji oraz zakłócać działanie kopii zapasowych systemu Windows. Takie funkcje zwiększają ryzyko utraty danych i utrudniają usunięcie infekcji. Badacze znaleźli również pozornie niedokończony komponent, który mógłby pomagać w utrzymaniu loadera oraz ponownym pobraniu go po usunięciu z dysku. Dr. Web ocenia to jako sygnał, że operator rozwija kampanię i może dodawać do malware kolejne funkcje. Kampania pokazuje, że samo przeznaczenie projektu opisanego w repozytorium nie jest wystarczającą gwarancją bezpieczeństwa. Szczególne znaczenie ma weryfikacja kodu oraz sposobu jego uruchamiania przed wykorzystaniem narzędzia w środowisku firmowym. Dr. Web udostępnił pełną listę wskaźników kompromitacji zaobserwowanych podczas analizy, co może pomóc administratorom sprawdzić, czy ich systemy miały kontakt z elementami tej kampanii. ## Wyjaśnienie pojęć ### [klipper](https://najnowsze-informacje.pl/definicje/klipper) Malware monitorujące schowek i mogące podmieniać znajdujące się w nim dane, na przykład adresy portfeli kryptowalutowych. ### [infostealer](https://najnowsze-informacje.pl/definicje/infostealer) Rodzaj złośliwego oprogramowania przeznaczonego do potajemnego zbierania i wykradania informacji z zainfekowanego urządzenia, takich jak hasła, dane portfeli kryptowalutowych lub klucze dostępu. ## Źródło pierwotne [BleepingComputer](https://www.bleepingcomputer.com/news/security/fake-security-tools-on-github-push-backdoors-and-infostealers/) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-11-10T15:16:40.758Z - **Ostatnia aktualizacja:** 2026-11-10T15:16:40.758Z - **Kategoria:** Cyberbezpieczeństwo - **Adres kanoniczny:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/falszywe-narzedzia-bezpieczenstwa-na-githubie-instaluja-backdoory-i-infostealery](https://najnowsze-informacje.pl/cyberbezpieczenstwo/falszywe-narzedzia-bezpieczenstwa-na-githubie-instaluja-backdoory-i-infostealery) - **Wersja Markdown:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/falszywe-narzedzia-bezpieczenstwa-na-githubie-instaluja-backdoory-i-infostealery/index.md](https://najnowsze-informacje.pl/cyberbezpieczenstwo/falszywe-narzedzia-bezpieczenstwa-na-githubie-instaluja-backdoory-i-infostealery/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „Fałszywe narzędzia bezpieczeństwa na GitHubie instalują backdoory i infostealery”, 2026-11-10, https://najnowsze-informacje.pl/cyberbezpieczenstwo/falszywe-narzedzia-bezpieczenstwa-na-githubie-instaluja-backdoory-i-infostealery