Поддельные репозитории GitHub маскируются под программы: как безопасно скачивать ПО

14 июля стало известно о кампании с сотнями поддельных репозиториев GitHub. Они выглядят как страницы известных программ и сервисов, но ведут посетителя на стороннюю загрузку. Первичное исследование Arctic Wolf Labs связывает эту схему с вредоносными архивами и кражей данных после запуска файла.

Важно не делать из новости вывод, что GitHub сам по себе опасен. Платформа остаётся обычным местом для проектов с открытым исходным кодом. Риск появляется, когда страницу находят через рекламу, поисковую выдачу или чужую ссылку и принимают за официальный источник установщика без проверки.

Как устроена схема с поддельной загрузкой

Исследователи Arctic Wolf Labs описали почти 300 репозиториев, которые имитировали известные программы и организации. Встречались темы, связанные с защитой, финансовыми сервисами, утилитами для macOS и игровым ПО. Сама страница репозитория могла выглядеть убедительно: знакомое название, описание, значки и кнопка, похожая на официальный путь к скачиванию.

Проблема начиналась после перехода по этой кнопке. Посетителю предлагали ZIP-архив со сторонней страницы. После запуска файла вредоносная цепочка могла собирать сохранённые данные браузеров, сведения из мессенджеров и токены игровых сервисов. Поэтому опасен не только файл с очевидно подозрительным названием, но и «бесплатная версия», «ранняя сборка» или «актуальный установщик», найденный вместо официальной страницы разработчика.

Проверять каждую строку кода и технические индикаторы не нужно. Для обычного пользователя важнее остановиться до запуска файла и понять, откуда взят установщик.

Где безопаснее искать программу

Если программа нужна для работы, учёбы, PC VR или настройки компьютера, начните с официального сайта разработчика. Уже оттуда можно перейти в подтверждённый магазин приложений или на страницу проекта. Такой путь безопаснее, чем прямой архив из поисковой выдачи, комментария, чата или первого попавшегося репозитория.

У GitHub-проекта стоит сверить несколько простых признаков. Посмотрите, упоминает ли на него официальный сайт продукта. Проверьте владельца организации, историю релизов и раздел с документацией. Не принимайте число звёзд, красивое описание или значки совместимости за доказательство подлинности: их можно скопировать. Особенно осторожно относитесь к кнопкам, которые уводят на другой домен ради «быстрой загрузки».

Платные программы, взломанные версии и неофициальные сборки — отдельный риск. Обещание бесплатного доступа нередко служит единственной причиной, по которой посетителя торопят скачать архив. Для драйверов, VR-клиентов, программ удалённого доступа и системных утилит лучше использовать только сайт производителя, Microsoft Store, Steam или другой официальный каталог, если разработчик прямо на него ссылается.

Что делать после сомнительного запуска

Если архив уже был открыт или неизвестный установщик запускался, не стоит повторно открывать его, чтобы «проверить». Не вводите пароли в браузере и не продолжайте входить в важные аккаунты с этого компьютера, пока не станет понятна причина. В первую очередь сохраните название файла, адрес страницы и время запуска: это поможет при проверке.

Затем запустите полную проверку штатным защитным средством и проверьте, не появились ли незнакомые программы, расширения браузера или новые запросы на вход. Пароли от основной почты, игровых аккаунтов, облачного хранилища и финансовых сервисов лучше менять с другого, доверенного устройства. После смены пароля завершите лишние сессии в настройках аккаунтов, если сервис даёт такую возможность.

Не удаляйте случайные системные папки и не отключайте защиту ради установки программы. Если на компьютере хранятся рабочие документы, сохранённые пароли или доступ к важным сервисам, разумнее прекратить дальнейшие эксперименты и обратиться за диагностикой. Специалисту пригодятся сохранённые сведения о файле и странице, а не только общее сообщение о «вирусе».

Главное

Поддельный репозиторий опасен не названием GitHub, а попыткой выдать посторонний архив за обычный установщик. Безопасный порядок прост: сначала официальный сайт или подтверждённая страница разработчика, затем проверка адреса, и только после этого загрузка. Этот лишний шаг особенно важен, когда программу пытаются получить в спешке или она обещает бесплатный доступ к платной функции.

Если после загрузки компьютер ведёт себя необычно, появляются незнакомые расширения или не получается завершить проверку, связаться с командой можно через форму на сайте, в WhatsApp или Telegram, а также по телефону.

Дополнительный материал ExShare: Удаление вирусов, майнеров и рекламы на Windows 10/11- удалённо “под ключ”.

Практический материал по теме: Безопасность и защита на Mac и Windows: какие задачи сюда входят.