Útočníci stojící za kampaní GhostAction rozšířili své aktivity o nové způsoby napadání vývojářů a softwarových repozitářů. Vedle manipulace s automatizovanými pracovními postupy GitHub Actions nyní využívají také phishingové zprávy a škodlivý kód ukrytý v souborech, které se vydávají za běžná webová písma.
Na tuto změnu upozornila bezpečnostní platforma OpenSourceMalware. Její analýza ukazuje, že útočníci přizpůsobují své metody ochranným opatřením, která GitHub postupně zavádí proti škodlivým automatizacím.
Jednou z používaných metod je podvodná doména my-github[.]com, prostřednictvím které útočníci napodobují bezpečnostní upozornění GitHubu. Vývojářům zasílají zprávy o údajném podezřelém přihlášení k účtu a snaží se je přimět k návštěvě falešné přihlašovací stránky.
Takto vytvořená stránka může zachytit heslo, ověřovací kód a zároveň automatizovat schválení škodlivé aplikace OAuth. Výsledný přístupový token pak útočníkům dovoluje manipulovat s repozitáři a jejich automatizovanými procesy.
Škodlivý soubor s fontem krade citlivá vývojářská data
Další fáze útoku zneužívá nastavení editoru Visual Studio Code. Do napadeného projektu je vložen konfigurační soubor tasks.json, který může spustit škodlivou úlohu již při otevření složky.
Součástí repozitáře je také soubor public/fonts/fa-solid-400.woff2, který na první pohled připomíná běžný webový font. Ve skutečnosti obsahuje komponentu určenou ke krádeži přístupových údajů.
Malware vyhledává mimo jiné klíče AWS, tokeny npm a PyPI, přihlašovací údaje GitHubu, privátní SSH klíče, přístupy ke Kubernetes a údaje pro služby Anthropic Claude nebo Google Gemini. Následně může vytvořit pravidelně spouštěnou úlohu, která každých pět minut vykonává další příkazy útočníků.
Výzkumníci identifikovali tuto druhou fázi útoku ve 94 repozitářích patřících 66 vlastníkům. Řada projektů přitom nebyla dlouhodobě aktivně udržována, což zvyšuje riziko, že škodlivé změny zůstanou nepovšimnuty.
Vývojářům se doporučuje prověřovat nejen GitHub Actions, ale také automaticky spouštěné úlohy editorů, soubory vydávající se za statické prostředky a nově udělená oprávnění aplikacím OAuth.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
