Gefälschte Sicherheitstools auf GitHub: Hintertür und Datendieb für Admin-Rechner
Doctor Web hat am 5. November 2026 eine Kampagne mit präparierten GitHub-Repositories beschrieben, die sich an IT-Sicherheitsleute richten. Der Schadcode steckt in Visual-Studio-Projekten sowie Python- und Go-Dateien, schaltet Windows-Schutzfunktionen ab und installiert AsyncRAT und einen Infostealer.
Der Antivirenhersteller Doctor Web hat am 5. November 2026 eine Kampagne beschrieben, die über präparierte GitHub-Projekte gezielt Fachleute aus der IT-Sicherheit angreift. Die Repositories geben sich als Werkzeuge für Scan-Automatisierung, Sicherheitstests und Log-Analyse aus. Wer sie unter Windows baut oder ausführt, installiert eine Hintertür, einen Clipper für Krypto-Adressen und einen Datendieb. Laut Doctor Web waren zum Zeitpunkt der Untersuchung mehr als 2.000 Rechner infiziert.
Betroffen sind Windows-Rechner, auf denen Code aus solchen Repositories gebaut oder gestartet wurde, typischerweise Arbeitsplätze von Pentestern, Admins und Sicherheitsteams. Wer in den letzten Wochen unbekannte Hilfsskripte aus GitHub übernommen hat, sollte heute die Indikatoren abgleichen. Linux- und macOS-Systeme nennt der Bericht nicht als Ziel.
Was ist passiert?
Die ersten verseuchten Repositories tauchten laut Doctor Web vor zwei Jahren auf und zielten damals auf Nutzer von Krypto-Wallets, mit angeblichen Blockchain-Spielen, Bots und Cheats. Inzwischen haben die Angreifer das Ziel gewechselt. Ein Beispiel ist ein Skript, das die Ausgabe des Netzwerkscanners Fscan aufbereiten soll.
Der Schadcode steckt in Visual-Studio-Projekten: In der .csproj-Datei startet ein PreBuildEvent den Code schon vor dem Kompilieren, in .suo-Dateien liegt ein PowerShell-Befehl. In Python- und Go-Dateien verstecken die Täter den Code hinter langen Leerzeichenfolgen. Ein PowerShell-Skript holt dann einen verschlüsselten Downloadlink, unter anderem über Pastebin, und lädt ein Archiv nach C:\ProgramData\Windows.Microsoft.Photos.
Herzstück ist ein Lader namens Microsoft.exe auf Electron-Basis. Er schaltet laut Bericht Windows Defender, die Benutzerkontensteuerung, die Systemwiederherstellung und die Volumenschattenkopien ab, setzt Defender-Ausnahmen, deaktiviert Smart App Control über die Registry und entfernt Schutzprogramme von ESET, McAfee und Malwarebytes. Um Sicherheitssoftware zu umgehen, patcht er AMSI und die Ereignisablaufverfolgung ETW im Speicher, entfernt Hooks aus ntdll.dll und nutzt direkte Systemaufrufe.
Wer ist betroffen?
Gefährdet ist jeder, der Code aus unbekannten GitHub-Repositories ungeprüft unter Windows baut oder ausführt. Der Datendieb sammelt laut Doctor Web Browserdaten, die Konfigurationsdateien von FileZilla, MobaXterm und dem FTP-Modul von Total Commander, VPN-Einstellungen, Messenger-Dateien, Spielekonten und Discord-Tokens und schickt sie über einen Telegram-Bot an die Täter. Gerade FileZilla und MobaXterm speichern nach eigener Einschätzung häufig Zugangsdaten zu Servern.
Wie kritisch ist das?
Für einen infizierten Rechner ist die Lage ernst: Die Hintertür AsyncRAT gibt den Angreifern vollen Fernzugriff, die Schutzmechanismen sind abgeschaltet. Bei Admin-Arbeitsplätzen kommt hinzu, dass die gestohlenen Zugänge zu weiteren Systemen führen können. Die Kampagne ist kein technischer Durchbruch, nutzt aber gezielt das Vertrauen in frei verfügbare Sicherheitswerkzeuge.
Was sollten Admins jetzt tun?
- Inventar: klären, wer im Team in letzter Zeit Hilfsskripte oder Visual-Studio-Projekte aus unbekannten GitHub-Repositories genutzt hat.
- Die Indikatoren von Doctor Web abgleichen: Hashes, die Domains muckanthropic[.]com, muckcoding[.]com, muckdeveloper[.]com und muckduck.duckdns[.]org, die IP-Adressen aus der Liste sowie die Dateien t.ps1 und L.ps1 in C:\Users\Public\Pictures.
- Prüfen, ob unerwartete Defender-Ausnahmen, eine abgeschaltete Systemwiederherstellung oder Änderungen an der hosts-Datei vorliegen.
- Bei einem Treffer den Rechner neu aufsetzen und alle dort gespeicherten Zugangsdaten, SSH-Schlüssel, VPN-Profile und Tokens erneuern.
- Fremden Code vor dem Bauen lesen, Build-Ereignisse in .csproj-Dateien prüfen und Tests in einer isolierten VM ausführen.
Einordnung für Unternehmen
Schon im September hatte S-EDV über gefälschte GitHub-Repositories mit einem Infostealer berichtet. Der neue Fall zeigt, dass die Täter ihre Köder an die Zielgruppe anpassen. Werkzeuge aus dem Netz gehören deshalb nicht direkt auf den Admin-Rechner, der Zugang zu Servern und Kundensystemen hat.
In eigener Sache
Für kleine Unternehmen, die Passwörter zentral und sicher verwalten wollen, betreibt S-EDV mit Passwortheld einen eigenen Passwort-Manager auf Basis von Vaultwarden.
Passende Anleitungen auf S-EDV
- Rapuncel: Infostealer über gefälschte GitHub-Repos, signierter Treiber schaltet EDR ab
- OVHcloud CLI: Fünf GitHub-Releases mit Schadcode zum Diebstahl von Zugangsdaten
- Sichere Passwörter und Passkeys im Unternehmen
