В кампании-копии GhostAction злоумышленники скомпрометировали 94 репозитория GitHub
Кампания-копия GhostAction привела к компрометации как минимум 94 репозиториев GitHub, 79 из них исследователи проанализировали подробно. Злоумышленники добавили в репозитории файл .vscode/tasks.json и файл public/fonts/fa-solid-400.woff2. Несмотря на расширение WOFF2, второй файл содержит обычный код Node.js. VS Code автоматически запускает скрытую задачу eslint-check, которая выполняет этот скрипт без расширения, связанного с JavaScript.
Сбор учётных данных и выполнение команд
Стилер определяет пользователя, имя хоста и репозиторий GitHub, затем собирает первые 3 000 байт из файлов учётных данных AWS, PyPI, npm, Git, Netrc, Claude, Gemini и Kubernetes. Он считывает целиком файлы ~/.ssh/id_rsa и ~/.ssh/id_ed25519, рекурсивно ищет в домашнем каталоге токены AWS, Anthropic, GitHub, npm и PyPI, а также перехватывает переменные окружения с префиксами AWS_, ANTHROPIC, OPENAI, HF_TOKEN и GITHUB_TOKEN.
Собранные данные отправляются на контролируемый злоумышленниками сервер HTTP-запросом POST на порт 8080. Запрос включает тег кампании ?c=. Скрипт также создаёт задание cron с меткой #ghc2. Каждые пять минут оно обращается к тому же серверу, получает команды оболочки из /c2/$(hostname) и передаёт их в bash. По данным отчёта, это обеспечивает закрепление и позволяет выполнять команды удалённо даже после удаления вредоносных рабочих процессов GitHub.
Второй рабочий процесс содержит дополнительные шаблоны для поиска учётных данных и сканирует вики-страницы репозиториев с помощью GITHUB_TOKEN. Если прямая эксфильтрация не удаётся, он может загрузить результаты в секретный gist.
Отличия от PolinRider и масштаб распространения
Загрузчик напоминает технику PolinRider, которую используют северокорейские злоумышленники. При этом полезная нагрузка, серверная инфраструктура и индикаторы компрометации различаются. В одном из репозиториев также находился отдельный загрузчик конфигурации Tailwind в стиле PolinRider. Он извлекал зашифрованные полезные нагрузки из данных блокчейна.
Активность указывает на переход от выполнения рабочих процессов, размещённых на GitHub, к работе на станциях разработчиков и постоянному локальному выполнению команд. Кампания в основном затрагивала неактивные репозитории. Автоматизация распространяла вредоносный контент во все места, где скомпрометированная учётная запись GitHub имела права на запись.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
