Sulmuesit pas GhostAction kanë zgjeruar sulmin ndaj zinxhirit të furnizimit: përveç injektimit të proceseve keqdashëse GitHub Actions, përdorin phishing ndaj zhvilluesve me burim të hapur dhe malware për vjedhjen e kredencialeve, të maskuar si skedar fonti. Sipas OpenSourceMalware, taktikat po përshtaten pas masave të GitHub për të bllokuar ekzekutimin e proceseve keqdashëse.
Email-et nga «noreply@my-github[.]com» imitojnë alarme sigurie të GitHub dhe pretendojnë se llogaria është hapur nga Moska. Faqja mashtruese përdor reverse proxy për të vjedhur fjalëkalimin dhe kodin 2FA, ndërsa JavaScript autorizon fshehurazi një aplikacion OAuth me leje për depot, proceset Actions dhe të dhënat e organizatave.
Token-i i përftuar u jep sulmuesve një kredencial API të ripërdorshëm për të lexuar e ndryshuar depot dhe për të injektuar skedarë te «.github/workflows/». Autorizimi kryhet automatikisht përmes sesionit të viktimës, pa i kërkuar asaj të fusë kodin e pajisjes apo të miratojë me vetëdije aplikacionin.
Komponenti i fazës së dytë ekzekutohet automatikisht nga VS Code dhe instalon një detyrë cron që nis kod të sulmuesve çdo pesë minuta. Të dhënat dërgohen përmes HTTP pa enkriptim në portën 8080. Ai është identifikuar në 94 depo të 66 pronarëve; 15 prej depove janë fshirë, riemërtuar ose bërë private. Komponenti mund të mbetet aktiv edhe pas heqjes së procesit keqdashës.
Burimi: The Hacker News — lexoni artikullin e plotë në anglisht.
