GitHub Pages

🔍 Contexte Publié le 18 juin 2026 par Group-IB, cet article présente les résultats d’une investigation sur une campagne de phishing baptisée GitBait, ciblant au moins 12 institutions financières opérant au Mexique, active depuis environ trois ans. 🎯 Description de la campagne La campagne repose sur une architecture entièrement serverless combinant : GitHub Pages comme plateforme d’hébergement des pages de phishing L’API SheetBest pour l’exfiltration des credentials vers des Google Sheets contrôlées par les attaquants Un bot Telegram comme méthode d’exfiltration alternative pour certaines cibles Les pages de phishing imitent visuellement les portails de banque en ligne légitimes et collectent : noms d’utilisateur, identifiants clients, mots de passe et données de cartes de paiement via un flux multi-étapes. ...

🔍 Contexte Publié le 7 mai 2026 par l’équipe SOCRadar Threat Research, ce rapport constitue la première documentation publique d’Operation HookedWing, une campagne de phishing active depuis 2022 et non attribuée à ce jour à un acteur connu. 🎯 Ciblage et victimologie La campagne a compromis plus de 2 500 victimes uniques réparties dans plus de 500 organisations à travers le monde. Les secteurs les plus touchés sont : Aviation / Voyage (~28%) Gouvernement / Administration publique (~16%) Énergie / Pétrole (~12%) Logistique / Transport (~10%) Finance / Banque (~8%) Géographiquement, les victimes se concentrent en Afrique subsaharienne et Asie du Sud (Nigeria, Népal, Ouganda, Sri Lanka, Sénégal). Le ciblage suit les corridors aériens stratégiques reliant l’Afrique, le Golfe Persique, l’Asie du Sud et l’Asie du Sud-Est. ...

Selon LastPass (blog), l’équipe TIME suit une campagne d’infostealer en cours, large et active, qui cible des utilisateurs Mac via des dépôts GitHub frauduleux usurpant des entreprises afin de livrer le malware Atomic Stealer (AMOS). Les attaquants utilisent le SEO pour placer leurs liens en tête des résultats de recherche, et LastPass partage des IoCs et mène des actions de retrait auprès de GitHub. 🚨 Détails clés: deux pages GitHub usurpant LastPass ont été créées le 16 septembre par l’utilisateur “modhopmduck476”. Ces pages, titrées avec le nom de l’entreprise et des termes liés à macOS, redirigent vers hxxps://ahoastock825[.]github[.]io/.github/lastpass, puis vers macprograms-pro[.]com/mac-git-2-download.html, qui demande de coller une commande dans le Terminal. Cette commande effectue un curl vers une URL encodée Base64 qui décode en bonoud[.]com/get3/install.sh, télécharge un premier payload, puis un binaire “Update” dans le répertoire Temp, qui est en réalité Atomic Stealer. Les auteurs multiplient les comptes GitHub pour contourner les retraits. ...