Злоумышленник добавил вредоносные рабочие процессы в десятки тысяч репозиториев GitHub

Примерно с 12:45 UTC 10 ноября злоумышленник, используя скомпрометированные учётные данные GitHub, добавлял вредоносный рабочий процесс в десятки тысяч репозиториев. Его код предназначен для кражи секретов GitHub Actions и облачных учётных данных. По оценке исследователей, основной целью кампании стали секреты CI.

Автоматические триггеры публикации затронули как минимум один пакет Packagist и один пакет Go. По всей видимости, распространение пакетов стало побочным эффектом автоматизации публикации. Затронутые в этой волне учётные записи пересекаются с активностью, о которой сообщалось в октябре в связи с кампанией GhostActions.

Среди связанных индикаторов исследователи обнаружили рабочие процессы для поиска секретов с именами security-audit.yml, audit.yml и ci-check.yml. Они отправляют на 193.32.204.199 ключи, найденные в репозиториях и истории Git.

Зафиксирована также активность стиллера для компьютеров разработчиков. Он маскируется под файл public/fonts/fa-solid-400.woff2, хотя на самом деле это JavaScript. Скрытая задача VS Code запускает файл при открытии папки. Стиллер собирает ~/.git-credentials, ключи SSH и учётные данные для npm, PyPI, AWS и Claude. Кроме того, он устанавливает задание cron с меткой #ghc2, которое опрашивает 193.32.204.199:8080 в поисках команд.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.