GhostAction, 94 GitHub deposuna font kılığında kimlik bilgisi hırsızı ekledi

GhostAction tedarik zinciri saldırısının arkasındaki saldırganlar, kötü amaçlı GitHub Actions workflow’larının ötesine geçerek açık kaynak geliştiricilerini hedefleyen kimlik avı ve stealer dağıtımına başladı. OpenSourceMalware tarafından aktarılan bulgulara göre, ikinci aşama bileşenleri 94 ele geçirilmiş GitHub deposunda tespit edildi.

Saldırıda GitHub güvenlik uyarısını taklit eden sahte sayfalar kullanılıyor. Bu sayfaların parolaları ve 2FA kodlarını topladığı, ayrıca kullanıcı farkında olmadan repo, workflow ve read:org izinlerine sahip bir GitHub OAuth uygulamasını yetkilendirdiği bildiriliyor. Böylece saldırganlar, depoları ve Actions workflow dosyalarını değiştirmeye yarayan yeniden kullanılabilir OAuth erişim bilgileri elde edebiliyor.

İkinci aşama ise VS Code klasörü açıldığında otomatik çalışan bir tasks.json dosyası, public/fonts/fa-solid-400.woff2 adıyla saklanan stealer ve yedek bir GitHub Actions workflow’undan oluşuyor. Font dosyası AWS anahtarları, PyPI ve npm token’ları, Git kimlik bilgileri, Kubernetes erişim bilgileri, SSH özel anahtarları ile Anthropic Claude ve Google Gemini kimlik bilgilerini toplamaya çalışıyor. Stealer ayrıca her beş dakikada bir saldırgan kodu çalıştıran cron görevi oluşturuyor ve topladığı verileri HTTP üzerinden gönderiyor. Bu yapı, kötü amaçlı workflow kaldırıldıktan sonra bile geliştirici makinelerinde kalıcılık sağlayarak depoların yanı sıra geliştirici hesaplarını ve bağlı servisleri de risk altına sokuyor.

-
Bu içerik GPT-5.6-LUNA modeli ile hazırlandı.