Злоумышленники спрятали стилер под видом шрифта в 94 взломанных репозиториях GitHub
Изображение: OpenAI
Участники кампании GhostAction, которые раньше внедряли вредоносные рабочие процессы GitHub Actions во взломанные проекты, замаскировали программу для кражи учётных данных под шрифт и разместили её в 94 таких репозиториях GitHub, сообщает The Hacker News. Стилер закрепляется на компьютере разработчика и продолжает работать даже после удаления вредоносного рабочего процесса. Часть репозиториев уже удалена или закрыта, а большинство оставшихся, судя по всему, заброшены: в 65 из 79 изменений не было больше года.
По данным платформы анализа угроз OpenSourceMalware, 9 октября GitHub начал блокировать исходный вредоносный рабочий процесс. Через шесть дней появился компонент, который запускается вне GitHub: файл tasks.json заставляет VS Code запускать стилер при открытии папки проекта. Исследователи не утверждают, что блокировка стала причиной смены тактики, но отмечают, что оператор перешёл туда, куда не дотягиваются средства контроля GitHub.
Стилер скрыт в файле public/fonts/fa-solid-400.woff2 и создаёт задание планировщика, которое запускает код злоумышленников каждые пять минут. Он ищет:
- ключи AWS;
- токены PyPI;
- токены npm;
- учётные данные Git;
- учётные данные кластеров Kubernetes;
- закрытые ключи SSH;
- учётные данные для Anthropic Claude;
- учётные данные для Google Gemini.
9 октября атакующие также отправили сопровождающему одного из открытых проектов письмо с домена my-github[.]com, зарегистрированного в тот же день, от имени GitHub о якобы новом входе в его аккаунт из Москвы. Письмо предлагало перейти по ссылке для защиты аккаунта.
Поддельная страница, по данным исследователей, работала как обратный прокси: перехватывала пароль и код двухфакторной аутентификации и незаметно для жертвы авторизовала OAuth-приложение с правами читать и менять репозитории, править рабочие процессы GitHub Actions и видеть состав организаций. Полученный токен доступа уходит злоумышленникам.
Разработчикам рекомендуют с чистого устройства отозвать токены и разрешения на доступ к GitHub, сменить пароли, проверить свои репозитории и заменить все учётные данные, до которых могли добраться вредоносные рабочие процессы. Тех, кто клонировал заражённые репозитории, нужно предупредить.
