GitHub es usado para distribuir malware oculto en repositorios públicos

Una campaña activa desde febrero de 2025 aprovecha la confianza en GitHub para difundir malware. Investigadores de Cisco Talos descubrieron que los atacantes usaban cuentas falsas y enlaces aparentemente legítimos para infectar sistemas con cargas maliciosas como Amadey.

«El malware se escondía a plena vista»

Los ciberdelincuentes utilizaron GitHub como canal encubierto, aprovechando que las descargas desde esta plataforma suelen considerarse seguras. Según Talos, los repositorios maliciosos simulaban ser proyectos normales, con nombres aleatorios como «Legendary99999» o «Milidmdds».

El modus operandi

El proceso comenzaba con Emmenhtal, un loader que ocultaba el código malicioso en capas. Al final, un script en PowerShell descargaba Amadey, un malware que recopila datos del sistema y descarga archivos adicionales desde GitHub. Entre las cargas detectadas había troyanos como AsyncRAT o herramientas legítimas modificadas como PuTTY.

GitHub reacciona

La plataforma eliminó las cuentas fraudulentas tras la notificación de Talos. Sin embargo, el riesgo persiste al usar servicios legítimos para fines maliciosos. Los investigadores destacan que esta estrategia dificulta la detección, ya que el tráfico parece normal.

Un problema con historia

Amadey se conoce desde 2018 en foros rusos, pero su adaptación a GitHub muestra una evolución en las tácticas de distribución. El modelo malware-as-a-service (MaaS) permite a los atacantes alquilar herramientas de infección, facilitando campañas estructuradas como esta.

Vigilancia reforzada

El caso expone la vulnerabilidad de plataformas ampliamente utilizadas como vectores de ataque. Aunque GitHub actuó rápidamente, la sofisticación de la campaña obliga a extremar precauciones con descargas y enlaces, incluso en entornos de confianza.