Se ha descubierto una campaña de malware a gran escala en GitHub después de que un investigador identificara más de 10.000 repositorios que distribuyen archivos infectados con troyanos, lo que plantea preocupaciones sobre el abuso del modelo de confianza de la plataforma y las limitaciones en la detección automatizada.

La investigación comenzó cuando el investigador notó que una versión clonada de su propio repositorio aparecía en los resultados de los motores de búsqueda.

Aunque el nombre del proyecto, la descripción y el historial de commits parecían idénticos, un commit recién añadido introducía un enlace malicioso en el archivo README que apuntaba a un archivo ZIP descargable.

Posteriormente se observó un comportamiento similar en múltiples repositorios con diferentes nombres y colaboradores, sin relaciones directas de fork, lo que sugiere una campaña coordinada en lugar de incidentes aislados.

Un análisis más detallado reveló un patrón constante en estos repositorios. Los atacantes replicaron repositorios legítimos, incluyendo historiales de commits completos y perfiles de colaboradores, probablemente para establecer credibilidad.

Impactos de la Campaña de Malware en GitHub

Luego modificaban periódicamente el archivo README para incluir enlaces a archivos ZIP externos. Estos commits a menudo se sobrescribían y se volvían a subir cada pocas horas, generalmente etiquetados como “Update README.md”, una táctica que puede ayudar a evadir los mecanismos de detección o mantener la visibilidad en los sistemas de indexación.

Los archivos ZIP enlazados contenían un pequeño conjunto de archivos, incluyendo scripts de comando, cargadores ejecutables y bibliotecas dinámicas.

Si bien los enlaces a archivos individuales a menudo no mostraban detecciones en VirusTotal, la descarga y el escaneo del archivo completo revelaron malware troyano.

Esto indica que los atacantes pueden estar utilizando técnicas de evasión que consisten en dividir u ofuscar los componentes de la carga útil para saltarse las herramientas de escaneo automatizado.

Para identificar la escala de la campaña, el investigador desarrolló un script utilizando datos de eventos de GitHub provenientes de GH Archive.

En lugar de escanear todos los repositorios, lo cual sería impracticable debido a los límites de velocidad de la API, el script se centró en repositorios con actividad de commit frecuente.

De aproximadamente 16 millones de eventos de commit analizados durante cinco días, alrededor de 3.000 repositorios mostraron patrones de actualización sospechosos.

Después de refinar los filtros para excluir bots, imponer la diversidad de colaboradores y detectar tiempos de commit anómalos, el script identificó finalmente unos 10.000 repositorios que coincidían con el patrón malicioso.

Según Orchid en un informe, muchos de los repositorios comprometidos habían permanecido indetectados durante meses o incluso años.

Los investigadores también descubrieron que varios repositorios se actualizaban solo esporádicamente, desafiando la suposición de que la actividad rápida de commits es un rasgo definitorio de los repositorios maliciosos.

Otros indicadores incluyeron commits sin cambios reales en los archivos y convenciones de nomenclatura consistentes, lo que resalta aún más los métodos de despliegue automatizados.

La campaña parece diseñada para explotar la visibilidad de GitHub en los motores de búsqueda y los flujos de trabajo de los desarrolladores. Al clonar repositorios recién creados o de bajo tráfico, los atacantes aumentan la probabilidad de aparecer en los resultados de búsqueda para consultas muy específicas.

Preservar el historial de commits y los metadatos de los colaboradores añade legitimidad, haciendo más probable que confíes y descargues los archivos maliciosos.

A pesar de los esfuerzos de reporte, la remediación ha sido inconsistente. GitHub eliminó los repositorios enumerados explícitamente por el investigador. Sin embargo, los recién identificados permanecieron activos, lo que sugiere un enfoque de aplicación reactivo en lugar de proactivo.

Informes públicos e investigaciones anteriores indican que esta táctica se ha utilizado al menos desde principios de 2025, con campañas similares distribuyendo familias de malware como SmartLoader y StealC.

Los hallazgos resaltan un desafío más amplio para las plataformas de alojamiento de código: detectar comportamientos maliciosos que imitan la actividad de desarrollo legítima.

Sin un análisis escalable del contenido del repositorio, los patrones de commit y los enlaces externos, tales campañas pueden persistir sin ser detectadas.

Para ti como desarrollador, este incidente subraya la importancia de verificar las descargas externas, incluso cuando provienen de repositorios aparentemente legítimos.