Une analyse publiée par Apiiro le 6 octobre 2026 décrit une nouvelle vague de la campagne FakeGit. Les chercheurs ont recensé 17 610 dépôts GitHub contenant des archives associées à SmartLoader. Entre le 4 et le 5 octobre, les opérateurs ont publié de nouvelles modifications dans plus de 13 000 dépôts en 34 heures, principalement pour changer les liens de téléchargement. L’opération exploite la confiance accordée aux projets familiers et aux instructions de téléchargement qui semblent ordinaires.
Des projets copiés servent d’appâts
Les dépôts reprennent souvent le nom ou l’apparence d’un projet logiciel légitime. Leur README présente une procédure d’installation et un bouton de téléchargement qui conduit à une archive ZIP placée dans le dépôt ou dans une ressource liée. Cette présentation peut faire passer un exécutable malveillant pour un composant normal du projet.
L’archive installe SmartLoader, un chargeur conçu pour récupérer ou lancer d’autres composants. Apiiro relie la campagne à StealC, un infostealer qui peut voler des mots de passe enregistrés dans les navigateurs et des cookies de session. Un cookie actif peut permettre l’accès à un service sans repasser par l’écran de connexion; une compromission peut donc concerner des comptes professionnels même si leur mot de passe n’a pas été saisi à nouveau.
La vague d’octobre a surtout changé les liens
Apiiro a observé que 97 % des commits de son échantillon ne modifiaient que le README. Dans l’ensemble des commits examinés, 88 % redirigeaient le bouton « Download » vers une archive SmartLoader vérifiée par les chercheurs. Le dépôt existait déjà: l’opérateur a remplacé la destination du lien au lieu de recréer le projet.
Le rapport décrit également des comptes qui semblent appartenir à de vrais développeurs. Apiiro a confirmé une activité suspecte sur 219 comptes établis grâce à des traces GitHub antérieures que l’opérateur ne pouvait pas antidater; l’entreprise estime qu’environ 700 comptes pourraient appartenir à de véritables développeurs. Ces éléments ne permettent pas d’affirmer comment chacun de ces comptes a été compromis.
Une suppression ponctuelle ne suffit pas
Une entrée dans une liste de blocage ne retire pas nécessairement le fichier hébergé sur GitHub. Apiiro a trouvé des copies dans des forks, d’anciennes archives, des pièces jointes et des dépôts distincts. Lorsque le lien principal est bloqué, l’opérateur peut réorienter le README vers une autre copie.
Le rapport indique aussi que les contrôles couvrant un format d’URL GitHub peuvent manquer un autre chemin menant au même contenu. Cela complique le travail de détection automatisée. Les chiffres de l’étude décrivent l’inventaire observé par Apiiro et son échantillonnage; ils ne constituent pas une mesure exhaustive de chaque téléchargement ou de chaque victime.
Réduire le risque avant d’exécuter un dépôt
Avant de lancer un programme téléchargé depuis GitHub, vérifiez que le propriétaire du dépôt correspond bien à l’éditeur attendu et que le lien d’installation est référencé depuis son site officiel. Un README soigné, une longue histoire de commits copiée ou un nom familier ne prouvent pas l’authenticité. Appliquez les mêmes contrôles aux extensions, compétences d’IA et serveurs MCP proposés dans des catalogues publics.
Pour une équipe de développement, limitez les droits d’écriture des jetons et comptes de service, exigez une revue avant l’exécution de scripts externes et surveillez les modifications inattendues des fichiers d’installation. Si un employé a lancé une archive suspecte, l’équipe doit vérifier les sessions et jetons susceptibles d’avoir été exposés, ainsi que les dépôts auxquels le compte avait accès.
Le lien avec Soclyde
Soclyde ne détecte pas FakeGit et ne protège pas un poste où SmartLoader a été exécuté. Son coffre chiffré local-first aide une personne ou une petite équipe à gérer ses accès sans placer le coffre de mots de passe dans un service cloud centralisé exploité par Soclyde. Si un infostealer a pu lire des secrets sur un appareil, il faut néanmoins les considérer comme exposés et les renouveler depuis un environnement sain.
À retenir
FakeGit persiste en conservant des dépôts crédibles et en changeant la destination de leurs boutons de téléchargement. Vérifiez la provenance du projet et de chaque archive avant l’exécution; après un lancement suspect, faites révoquer les sessions et secrets potentiellement exposés. Notre guide sur les infostealers explique les bons réflexes après une infection.
