GitHub est en train de devenir rapidement la plateforme incontournable pour le partage de logiciels. Conçue à l'origine pour permettre aux développeurs de collaborer sur du code, elle héberge aujourd'hui des millions de projets, allant de simples scripts amateurs à des applications largement utilisées. Cette popularité en a toutefois fait une plateforme de diffusion très prisée par les cybercriminels.
Pour la plupart des particuliers, GitHub n’est pas un outil dont on a besoin au quotidien. On peut y être confronté lorsqu’on recherche un outil, qu’on suit des instructions d’installation ou qu’on teste une solution recommandée sur un forum ou sur les réseaux sociaux. Et c’est là que le risque commence. GitHub n’est pas une boutique d’applications. Il ne vérifie pas la sécurité de chaque dépôt, et n’importe qui peut y publier du code, y compris des cybercriminels.
Des campagnes récentes mettent en évidence les risques d’abus liés à cette pratique. Nous avons vu des cybercriminels créer des référentiels convaincants qui usurpent l’identité de marques connues telles que Malwarebytes LastPass, proposant des téléchargements qui sont tout sauf légitimes. Dans d’autres cas, des centaines de référentiels ont été mis en place pour diffuser des versions infectées par des chevaux de Troie de logiciels populaires. Ces pages ont souvent un aspect soigné, comprennent de la documentation et affichent même de fausses interactions d’utilisateurs afin de paraître dignes de confiance.
Nous avons également observé des campagnes ciblant des groupes spécifiques, notamment les amateurs de jeux rétro, les personnes à la recherche d'agents d'IA gratuits, les utilisateurs d'OpenClaw et celles qui recherchentle service AppleCare+.
Qu'est-ce que GitHub exactement, et dans quels cas faut-il l'utiliser ?
À la base, GitHub est une plateforme d'hébergement de code. Les développeurs l'utilisent pour partager du code source, suivre les modifications et collaborer. Pour les particuliers, ses utilisations légitimes comprennent :
- Accéder à des outils open source introuvables ailleurs
- Télécharger des mises à jour ou des versions bêta directement auprès des développeurs
- Consulter le code source pour comprendre le fonctionnement d'un logiciel
Pour les développeurs, GitHub est indispensable. Pour les particuliers, son utilisation est facultative et doit être abordée avec la même prudence que celle dont vous feriez preuve en téléchargeant des fichiers depuis n'importe quel autre site Internet.
À moins d’avoir une raison particulière, vous n’avez pas besoin de télécharger de logiciels depuis GitHub. La plupart des applications courantes disposent de sites web officiels ou de canaux de distribution fiables. Si vous vous retrouvez sur GitHub parce qu’un résultat de recherche ou un guide en ligne vous y a conduit, c’est le moment idéal pour prendre le temps de vérifier ce que vous êtes en train de consulter.
Comment rester en sécurité
Les référentiels malveillants s'appuient souvent sur une combinaison d'ingénierie sociale et de raccourcis techniques. Voici quelques signaux d'alerte :
- Usurpation d'identité d'une marque: le dépôt prétend provenir d'une entreprise connue, mais le nom du compte ne correspond pas à celui de l'organisation officielle. Les pirates ont souvent recours à des variations subtiles ou à des comptes nouvellement créés.
- Comptes récemment créés: un dépôt associé à un compte créé il y a quelques jours ou quelques semaines constitue un signal d'alerte, surtout s'il prétend héberger des logiciels reconnus.
- Méthodes de téléchargement inhabituelles: les projets légitimes fournissent généralement le code source et, le cas échéant, des versions clairement documentées. Méfiez-vous si l'on vous invite à télécharger des fichiers exécutables directement à partir de liens ou d'archives peu fiables.
- Activité gonflée ou factice: le nombre d'étoiles, les forks et les tickets peuvent être manipulés. Un dépôt comptant beaucoup d'étoiles mais peu de discussions pertinentes ou d'historique de contributions peut ne pas être ce qu'il semble être.
- Documentation insuffisante ou générique: de nombreux dépôts malveillants copient du texte provenant de projets légitimes, mais ne parviennent pas à assurer la cohérence. Recherchez des instructions vagues, des liens rompus ou une identité visuelle incohérente.
- Avertissements de sécurité ignorés: si votre navigateur, votre antivirus ou votre système d'exploitation signale un téléchargement, prenez-le au sérieux. Ces avertissements constituent souvent votre première ligne de défense.
Les cybercriminels exploitent de plus en plus les plateformes de confiance pour se fondre dans la masse et contourner les défenses traditionnelles. Il est essentiel de prendre conscience de cette évolution. La prochaine fois que vous tomberez sur une page GitHub proposant un téléchargement pratique, examinez-la de plus près. Quelques secondes supplémentaires passées à l'examiner attentivement peuvent vous éviter d'installer quelque chose que vous n'aviez pas l'intention d'installer.
- Utilisez une solution anti-malware à jour et fonctionnant en temps réel, et ne négligez pas ses avertissements — même si, ou surtout si, le « développeur » vous dit de vous y attendre.
- N'oubliez pas que les dépôts GitHub ne font l'objet d'aucun contrôle. C'est à vous qu'il revient, en dernier ressort, de déterminer ce que vous pouvez télécharger en toute sécurité.
- Il est généralement plus prudent de commencer par le site officiel du fournisseur et de suivre son lien vers GitHub, plutôt que l'inverse.
Nous ne nous contentons pas de signaler les menaces, nous les éliminons.
Les risques de cybersécurité ne devraient jamais se propager au-delà d'un titre. Éliminez les menaces de vos appareils en téléchargeant Malwarebytes dès aujourd'hui.
