GitHub Impersonation

📅 Source : dfir.ch, publié le 14 octobre 2026 — Field Note d’investigation DFIR portant sur une infection par EtherRAT détectée via Microsoft Defender for Endpoint. 🔍 Contexte de découverte L’investigation a débuté suite à une alerte Microsoft Defender for Endpoint signalant une activité suspecte de capture d’écran via PowerShell. L’analyse de la chaîne d’exécution a révélé un binaire renommé FbtRYX8x.exe (runtime Node.js) communiquant avec plusieurs fournisseurs publics d’Ethereum RPC, comportement caractéristique d’EtherRAT, un backdoor Node.js documenté par Atos Threat Research Center, The DFIR Report et Malwarebytes. ...

🔍 Contexte Rapport publié le 17 septembre 2026 par la LastPass Threat Intelligence, Mitigation, and Escalation (TIME) Team en partenariat avec Delphos Labs. L’investigation a débuté le 13 août 2026 suite à la détection d’une fausse organisation GitHub usurpant l’identité de LastPass Authenticator. 🎯 Nature de la campagne Campagne de type Malware-as-a-Service (MaaS) utilisant GitHub comme réseau de distribution. Le kit albinofennel[.]com héberge des pages d’impersonation dynamiques pour au moins 40 marques simultanément. La campagne est active depuis plusieurs mois et présente des chevauchements avec la campagne BoryptGrab documentée par Trend Micro en mars 2026. ...