ウイルス対策ベンダーの Doctor Web は 2026年11月5日、GitHub リポジトリにマルウェアを仕込むキャンペーンを報告し、調査時点で2,000台以上のコンピューターが感染していたとしています。最初の不正リポジトリは約2年前に現れ、当初はブロックチェーンゲームのプロジェクトやボット、チートで暗号資産ユーザーを狙っていましたが、その後、スキャン自動化・セキュリティテスト・ログ解析をうたう偽のセキュリティツールでセキュリティ担当者を狙うようになりました。キャンペーンは現在も続いているとのことです。
感染の仕組み：リポジトリには丁寧なインストール手順があり、Visual Studio をインストールしてプロジェクトをクローンするよう促します。不正な処理は Visual Studio のプロジェクトファイル（.csproj のビルド前イベントや .suo ファイル）に隠されており、ビルドするだけで実行されます。Python や Go のファイルでは、長い空白の後ろにコードが隠されています。Cyber Press は、ネットワークスキャナー Fscan の出力整形ツールを装った FscanOutput_v2.2.py や resource.go を例に挙げています。
インストールされるもの：PowerShell のダウンローダーが YouTube、Telegram、Google ドキュメント、GitCode、Pastebin などを使って次の段階の入手先を調べ、Microsoft.exe（Trojan.Loader.3261）を設置します。これが AsyncRAT バックドア（BackDoor.AsyncRAT.115）、クリップボード上の暗号資産ウォレットアドレスをすり替えるクリッパー（Trojan.Clipper.688）、ブラウザのデータ、Discord トークン、VPN 設定、FileZilla・MobaXterm・Total Commander の FTP ファイルを狙う Electron 製の情報窃取型マルウェア（JS.Stealer.191）を展開します。
防御も妨害：Doctor Web によると、Windows Defender と UAC を無効化し、McAfee・ESET・Malwarebytes を削除し、hosts ファイルを書き換えてセキュリティベンダーへの接続を遮断し、システムの復元やバックアップも妨害します。タスクスケジューラとレジストリの Run キーで常駐し、Telegram ボット経由でデータを送信します。IoC は Doctor Web の malware-iocs リポジトリで公開されています。
