GhostAction атакует разработчиков открытых проектов через фишинговый прокси
GhostAction дополнила вредоносные рабочие процессы GitHub Actions адресным фишингом разработчиков проектов с открытым исходным кодом. Операторы рассылали поддельные уведомления о безопасности с домена-двойника my-github.com, размещённого на IP-адресе 193.32.204.199. Фишинговый сайт работал через обратный прокси: он показывал содержимое GitHub, переписывал маршруты и собирал учётные данные. Исследованные данные подтверждают отправку на фишинговый источник имён пользователей и паролей, но не подтверждают отправку отображавшегося жертвам кода приложения-аутентификатора.
Персонализированные уведомления и обратный прокси
В письмах, имитировавших уведомления GitHub, получателям сообщали о якобы состоявшемся входе в учётную запись из Москвы и предлагали перейти по уникальному URL на фишинговом домене. Текст приманки давил на администраторов репозиториев, предупреждая о потенциальной компрометации репозиториев и организаций.
Восстановленный исходный код страницы и телеметрия браузера указывают, что сайт был фишинговым набором на основе обратного прокси, а не статичной копией GitHub. Он проксировал содержимое GitHub через поддомены с подстановочным символом, в том числе github.my-github.com, api.my-github.com и collector.my-github.com, переписывал маршруты GitHub и собирал учётные данные. Набор передавал операторам имена пользователей, пароли и данные, связанные с аутентификаторами.
Данные HAR подтверждают, что учётные данные отправлялись на фишинговый источник. Жертвам также показывали запрос на ввод кода аутентификатора, однако полученные свидетельства не подтверждают отправку введённого кода одноразового пароля (OTP) приложения.
Авторизация устройства и доступ к GitHub
Фишинговый набор автоматизировал авторизацию устройства через GitHub OAuth. Внедрённый JavaScript запрашивал области доступа repo, workflow и read:org, сохранял данные потока авторизации устройства в cookie vh_device, обращался к конечной точке /vh_beacon и отправлял полученный токен злоумышленникам по TCP-порту 8443. Запрошенные разрешения давали доступ к перечислению репозиториев, организации и изменению рабочих процессов GitHub Actions. Идентификатор клиента OAuth: Ov23ctrqCqZ79UaYKwyq.
Полученный доступ согласуется с задокументированной активностью GhostAction, направленной на компрометацию сопровождающих проектов и внедрение вредоносных рабочих процессов в репозитории. Эти процессы ищут учётные данные, связанные с AWS, GitHub, GitLab, Slack, Google, SendGrid, Anthropic, OpenAI и другими сервисами, в репозиториях и истории Git. Результаты отправляются на адрес 193.32.204.199. Фишинговая инфраструктура создаёт путь для получения первоначального доступа, который может привести к компрометации репозиториев, внедрению рабочих процессов, краже секретов CI/CD и облачных сервисов, а также к последующим атакам на цепочку поставок.
Перенаправления и рекомендации по проверке
В ходе кампании использовались изменяемые перенаправления и условный контент, в том числе нерелевантные страницы. По оценке исследователей, это могло помогать обходить автоматическое сканирование.
Авторы отчёта рекомендуют специалистам по защите расследовать домен, отправителя и пути URL, а также проверить разрешения OAuth, сессии GitHub, ключи, вебхуки, рабочие процессы, артефакты релизов и активность в репозиториях. Все потенциально скомпрометированные учётные данные, токены публикации пакетов, облачные ключи и секреты CI/CD авторы рекомендуют отозвать или заменить.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
