GitHub : de fausses alertes VS Code propagent un malware

La société de sécurité applicative Socket a identifié une campagne d'ingénierie sociale à grande échelle ciblant les développeurs sur GitHub. Les attaquants publient des messages dans la section Discussions de nombreux dépôts populaires en se faisant passer pour des alertes de sécurité urgentes liées à Visual Studio Code, avec des titres calibrés pour générer la panique tels que « Severe Vulnerability — Immediate Update Required », accompagnés de faux identifiants CVE et de détails techniques crédibles. Pour renforcer la crédibilité de ces publications, les auteurs usurpent l'identité de mainteneurs reconnus ou de chercheurs en sécurité connus de la communauté. Les messages redirigent les victimes vers des sites externes proposant au téléchargement un prétendu correctif pour VS Code, en réalité un malware de vol d'informations. Selon Socket, l'opération est hautement automatisée : des comptes créés récemment ou peu actifs publient ces faux advisories sur des milliers de dépôts en l'espace de quelques minutes seulement.

Ce qui s'est passé

La société de sécurité applicative Socket a identifié une campagne d'ingénierie sociale à grande échelle ciblant les développeurs sur GitHub. Les attaquants publient des messages dans la section Discussions de nombreux dépôts populaires, se faisant passer pour des alertes de sécurité urgentes liées à Visual Studio Code. Les titres sont calibrés pour générer la panique : « Severe Vulnerability — Immediate Update Required », accompagnés de faux identifiants CVE et de détails techniques crédibles.

Pour renforcer la crédibilité, les auteurs usurpent l'identité de mainteneurs reconnus ou de chercheurs en sécurité. Les messages redirigent les victimes vers des sites externes où un prétendu correctif VS Code est proposé au téléchargement — en réalité un malware de vol d'informations. Selon Socket, l'opération est hautement automatisée : des comptes créés récemment ou peu actifs publient ces faux advisories sur des milliers de dépôts en quelques minutes.

Le mécanisme est particulièrement efficace car GitHub envoie automatiquement des notifications par e-mail aux utilisateurs mentionnés dans les discussions, ce qui amplifie considérablement la portée de l'attaque. Cette technique rappelle d'autres campagnes récentes ciblant la chaîne d'approvisionnement logicielle, comme l'empoisonnement du SDK Telnyx sur PyPI ou les efforts de GitHub pour renforcer la détection de code malveillant.

Pourquoi c'est important

Les développeurs sont des cibles de choix : leurs postes de travail contiennent des clés SSH, des tokens d'API, des accès à des pipelines CI/CD et des dépôts de code source. Compromettre un seul développeur peut ouvrir la porte à une attaque sur toute la chaîne d'approvisionnement logicielle d'une organisation. La section Discussions de GitHub, moins surveillée que les Issues ou les Pull Requests, offre un vecteur d'attaque encore sous-estimé.

Cette campagne souligne aussi les limites de la confiance implicite accordée aux notifications de plateformes légitimes. Quand un e-mail provient de GitHub avec un titre évoquant une vulnérabilité critique, le réflexe de cliquer est naturel, même pour des professionnels aguerris. C'est précisément ce biais que les attaquants exploitent.

Ce qu'il faut retenir

• Ne téléchargez jamais de correctif depuis un lien posté dans une Discussion GitHub : vérifiez toujours la source sur le site officiel de l'éditeur ou dans les bases NVD, CISA KEV et MITRE CVE.
• Méfiez-vous des comptes récemment créés ou sans historique de contribution qui publient des alertes de sécurité urgentes.
• Configurez vos notifications GitHub pour filtrer les Discussions et activez l'authentification multifacteur sur tous vos comptes de développement.