Hãng diệt virus Doctor Web ngày 05/11/2026 công bố một chiến dịch giấu mã độc trong các kho GitHub, với hơn 2.000 máy tính bị nhiễm tại thời điểm nghiên cứu. Các kho độc hại đầu tiên xuất hiện khoảng hai năm trước dưới dạng dự án game blockchain, bot và cheat nhắm vào người dùng crypto; sau đó chiến dịch chuyển sang công cụ bảo mật giả — tự động hoá quét, kiểm thử bảo mật, phân tích log — nhắm vào giới bảo mật. Theo Doctor Web, chiến dịch vẫn đang hoạt động.
Cách lây: kho có hướng dẫn cài đặt rất chi tiết, bảo nạn nhân cài Visual Studio và clone dự án. Các bước độc hại nằm trong tệp dự án Visual Studio (sự kiện pre-build trong .csproj và tệp .suo), nên chỉ cần build là chạy; trong tệp Python và Go, mã bị đẩy khuất sau một dãy khoảng trắng dài. Cyber Press nêu FscanOutput_v2.2.py (giả làm công cụ xử lý kết quả của trình quét mạng Fscan) và resource.go trong số các tệp bị cài mã.
Thứ được cài vào máy: một trình tải PowerShell tra địa chỉ tải giai đoạn tiếp theo qua YouTube, Telegram, Google Docs, GitCode, Pastebin. Nó cài Microsoft.exe (Trojan.Loader.3261), rồi triển khai backdoor AsyncRAT (BackDoor.AsyncRAT.115), mã tráo địa chỉ ví crypto trong clipboard (Trojan.Clipper.688) và mã đánh cắp dữ liệu viết bằng Electron (JS.Stealer.191) nhắm vào dữ liệu trình duyệt, token Discord, cấu hình VPN và tệp FTP của FileZilla, MobaXterm, Total Commander.
Còn chống trả: theo Doctor Web, mã độc tắt Windows Defender và UAC, gỡ McAfee, ESET, Malwarebytes, sửa tệp hosts để chặn hãng bảo mật, can thiệp System Restore và sao lưu; bám trụ bằng scheduled task và khoá Run trong registry, gửi dữ liệu qua bot Telegram. Danh sách dấu hiệu nhận biết (IOC) có trong kho malware-iocs của Doctor Web.
