Comment les hackers exploitent de faux sites d'outils open source pour détourner vos clics et distribuer des logiciels malveillants

La tromperie technique se déclenche lors de l'interaction avec l'utilisateur. Lorsqu'une victime clique sur un bouton « Télécharger » sur l'un de ces sites, une couche JavaScript hébergée sur CloudFront convertit ce premier clic en une redirection. Ce mécanisme détourne l'utilisateur vers l'infrastructure TDS de la campagne .

Système de distribution de trafic : un filtrage pour les cibles à haute valeur

Le TDS agit comme un filtre sophistiqué, et non comme une simple redirection. L'analyse de Check Point révèle qu'il applique des techniques d'anti-analyse multicouches pour distinguer les victimes réelles des chercheurs en sécurité, des environnements sandbox et des robots d'exploration automatisés. Seuls les utilisateurs qui passent ces contrôles sont redirigés vers les charges malveillantes finales . Cette distribution sélective rend la campagne plus difficile à cartographier et augmente la valeur de chaque infection réussie pour les opérateurs. Pour mieux échapper à la détection, le système utilise des techniques telles que des clés de session à usage unique .

Le trio de malwares : RemusStealer, AnimateClipper et SessionGate

La campagne a été observée en train de livrer trois familles de malwares distinctes, chacune ayant un objectif de monétisation différent.

• RemusStealer : Il s'agit d'un infostealer (voleur d'informations) en mode Malware-as-a-Service (MaaS), commercialisé entre 250 et 500 dollars. Il cible un très large éventail de données sensibles, y compris les identifiants de plus de 20 navigateurs, les données de plus de 220 extensions de portefeuilles de cryptomonnaies, les gestionnaires de mots de passe et les outils d'authentification à deux facteurs (2FA) .
• AnimateClipper : Un « clipper » de cryptomonnaies conçu pour détourner les transactions en temps réel en remplaçant l'adresse de portefeuille copiée par l'utilisateur par une adresse contrôlée par l'attaquant. Il est capable de surveiller et d'intercepter des transactions sur plus de 20 écosystèmes blockchain différents .
• SessionGate : Ce framework, jusqu'alors non documenté, est un chargeur (loader) à plusieurs étapes qui utilise un obfuscation poussée et des techniques d'anti-analyse extensives pour délivrer des applications potentuellement indésirables (PUA) ou d'autres charges. Il agit comme point d'ancrage initial et chargeur dans les chaînes d'attaque observées .

Une opération mondiale de longue haleine

L'ampleur de la campagne est considérable. Check Point rapporte que cet écosystème est actif depuis fin 2025 et a généré plus de 5 000 soumissions sur la plateforme d'analyse VirusTotal, ce qui indique un large bassin de victimes. Les principales cibles géographiques couvrent le monde entier, avec une forte activité concentrée en Turquie, en Pologne, au Brésil, en Allemagne, en France, en Russie et au Royaume-Uni .

Pour les développeurs et les professionnels de la cybersécurité, la leçon est claire et urgente. L'époque où l'on téléchargeait un outil sur la base d'un simple résultat de recherche est révolue. Les utilisateurs doivent impérativement vérifier qu'ils se trouvent sur le dépôt officiel d'un projet, se rendre directement sur une page GitHub ou GitLab connue et se méfier de tout téléchargement qui ne fournit pas immédiatement le fichier attendu. Le professionnalisme de ces faux sites rend une simple inspection visuelle insuffisante face à un écosystème bâti sur la confiance volée et la tromperie automatisée.