Los cibercriminales han descubierto una forma peligrosa de engañar a los desarrolladores para que descarguen malware explotando el funcionamiento de GitHub.

El ataque consiste en crear versiones falsas del instalador de GitHub Desktop y hacer que parezcan legítimas para usuarios desprevenidos.

Entre septiembre y octubre de 2025, esta campaña se dirigió principalmente a usuarios en Europa y el Espacio Económico Europeo, aunque las infecciones se extendieron a Japón y otras regiones.

El malware, disfrazado como un instalador estándar de herramientas de desarrollo, representa una grave amenaza para los desarrolladores que dependen de GitHub en su trabajo diario.

La cadena de ataque comienza cuando los criminales crean cuentas temporales en GitHub y bifurcan el repositorio oficial de GitHub Desktop.

Luego modifican los enlaces de descarga en el archivo README para que apunten a su instalador malicioso en lugar del legítimo. Usando anuncios patrocinados que aparecen en búsquedas de "GitHub Desktop", los atacantes promocionan estos archivos infectados entre los desarrolladores.

Los criminales explotan una característica del diseño de GitHub que permite que los commits de repositorios bifurcados sigan siendo visibles bajo el espacio de nombres del repositorio oficial, incluso después de que la bifurcación original o la cuenta se eliminen.

Esta técnica, llamada repo squatting, hace extremadamente difícil que GitHub rastree y elimine contenido malicioso.

Analistas de GMO Cybersecurity identificaron que esta campaña representa una amenaza adaptativa y en evolución.

El instalador malicioso para Windows detectado por los investigadores, llamado GitHubDesktopSetup-x64.exe con un tamaño de archivo de 127,68 megabytes, actúa como un cargador de múltiples etapas.

Se han descubierto muestras maliciosas similares disfrazadas bajo otros nombres de aplicaciones, incluyendo instaladores de Chrome, Notion, 1Password y Bitwarden, que datan de mayo de 2025.

Análisis del mecanismo de infección y tácticas avanzadas de evasión

El mecanismo de infección revela un engaño técnico sofisticado.

El instalador malicioso parece una aplicación estándar en C++ a simple vista, pero el análisis de su información de depuración revela que en realidad es una aplicación .NET de un solo archivo empaquetada en un único ejecutable llamado AppHost.

La carga maliciosa real de .NET se oculta en la sección de superposición del archivo, lo que la hace invisible para herramientas de escaneo simples.

Lo que hace esto particularmente preocupante es que el malware incorpora una API basada en GPU llamada OpenCL para evitar deliberadamente el análisis en entornos sandbox estándar.

La mayoría de los entornos sandbox de pruebas de seguridad y máquinas virtuales carecen de controladores de GPU o soporte para OpenCL, lo que obliga a los investigadores de seguridad a realizar el análisis en máquinas físicas reales con hardware gráfico antes de comprender el verdadero comportamiento del malware.

Esta técnica, denominada GPUGate, representa una protección anti-análisis deliberada diseñada para ralentizar a los investigadores de seguridad.

Además, el malware utiliza tácticas de desorientación de código para confundir a los analistas que intentan recuperar las claves de descifrado de forma estática.