GhostAction erweitert Angriff: Phishing, um Anmeldeinformationen und Beharrlichkeit in VS-Code zu stehlen

Eine Gruppe hinter der GhostAction Kampagne - bereits bekannt für die Infiltration von GitHub Actions Workflows in Open-Source-Projekte - hat sein Arsenal erweitert: Neben der Installation von schädlichen Workflows in engagierten Repositories sendet es jetzt supplanting E-Mails, um Anmeldeinformationen zu erfassen und liefert einen Informations-Ladegerät als Quelle (.woff2), der als Infostealer mit Beharrheit in Entwicklerteams fungiert. Diese Entwicklung, die von OpenSourceMalware berichtet und mit Sicherheitsmitteln reproduziert wird, zeigt einen Übergang von der reinen Ausbeutung der automatischen Ausführung in CI zu einer Kombination von Social Engineering, Missbrauch von OAuth und Beharrlichkeit in der Entwicklungsumgebung.

Fakten bestätigt: OpenSourceMalware-Forscher identifizierten eine registrierte Domain als my-github [.] com that verweist auf IP 193.32.204 [.] 199 - das gleiche IP, das von der Kampagne verwendet wird, um Daten zu exfiltern - und beobachtete, dass die Domain in einer Phishing-Mail verwendet wurde, die einen GitHub-Sicherheitshinweis zur Erfassung von Passwörtern und 2FA-Codes imitierte. Die betrügerische Seite fungierte als Proxy-Inverse: Sie stahl Anmeldeinformationen und ausgeführt JavaScript, die automatisch eine OAuth-Anwendung autorisiert und den GitHub-Gerätefluss abgeschlossen, um ein Token mit Repo, Workflow und Lesen: org-Berechtigungen zu erhalten. Dieses Token ermöglicht es Ihnen, Dateien unter .github / Workflows / zu modifizieren und schädliche Workflows neu einzuwerfen. Darüber hinaus wurde eine zweite Stufe in 94 Repositories entdeckt: Einfügen einer .vscode / Tasks.json mit Trigger runOn: OrdnerOpen, eine öffentliche / Schriften / fa-solid-400.woff2-Datei mit der Nutzlast zu stehlen Anmeldeinformationen (AWS, PyPI, npm, Kubernetes, SSH, Tokens von IA Lieferanten) und ein Backup-Workflow, die, wenn der erste Track startet

Wie die Angriffskette technisch funktioniert: die gemeldete kombinierte Sequenz kann auf diese Weise zusammengefasst werden. Zunächst verpflichtet der Schauspieler Repositories und fügt einen schädlichen Workflow hinzu, der, wenn er auf GitHub Actions läuft, zugängliche Geheimnisse (GitHub-Token, Anmeldeinformationen auf dem Repo) sammelt und an einen kontrollierten Server sendet. Um Blöcke in Workflows zu entfernen, verwendet der Angreifer Phishing Regie: eine Domain ähnlich GitHub wird aufgezeichnet und verwendet, um eine falsche Login-Benachrichtigung zu senden. Die Proxy-Seite stiehlt Anmeldeinformationen und automatisiert durch Skripte den GitHub-Gerätefluss, um ein wiederverwendbares Zeichen ohne bewusste Benutzerinteraktion zu erhalten. Mit diesem Token kann der Schauspieler neue Workflows oder Dateien in Repositories schreiben. Wenn die Leistungssteuerung von Actions von GitHub begrenzt ist, fügt der Gegner Komponenten hinzu, die lokal in der Entwicklermaschine (VS Code Aufgaben und binäre Dateien, die als Quellen verkleidet sind) ausgeführt werden, um lokale Geheimnisse zu stehlen, auch einen Schritt, um regelmäßigen Zugriff zu erhalten.

Wer betroffen ist und warum es relevant ist: das Hauptziel sind Open-Source-Projektbetreuer und Entwickler mit Zugriff auf gefährdete oder verlassene Repositories. OpenSource Malware entfiel auf 94 betroffene Repositories von 66 Eigentümern; viele Repositories waren inaktiv (meist ohne Verpflichtungen in mehr als einem Jahr). Die Kombination von unbewachten Repositories und überhöhten Berechtigungen in GitHub-Tokens erleichtert die laterale Expansion: Mit einem Repository-Token kann der Angreifer die Integration, Pakete und nachgeschaltete Benutzer beeinflussen, die diesen Repositories vertrauen.

Die praktischen Konsequenzen umfassen Verlust von wiederverwendbaren Token, die Code und CI-Flows ändern, Belichtung von Cloud-Anmeldeinformationen und Lieferanten-Aufzeichnungen (AWS, npm, PyPI), SSH-Schlüsseldiebstahl und IA-APIs-Geheimnisse - alle Daten, die von Infrastruktur Missbrauch zu Malware-Vertrieb durch legitime Artefakte ermöglichen. Darüber hinaus erhöht die lokale Beharrlichkeit durch eine Datei, die beim Öffnen des Projekts in VS Code aktiviert wird, das Risiko: Die Entwicklung mit einem kompromittierten Repository kann die Workstation in eine Hintertür verwandeln.

bestätigt vs. unsicher: ist eine verifizierte Tatsache, nach Berichten, dass die my-github [.] com Domain zum Phishing verwendet wurde und dass die obige IP als Exfiltrationspunkt diente. Auch die technische Gestaltung der Gerätestromautomatisierung für Token wird bestätigt. Es ist nicht klar - laut den Forschern selbst -, ob andere Domänen mit ähnlichen Namen (z.B. my-gitlab [.] com) zum gleichen Operator gehören: Aufzeichnungen, Registratoren und CRYPTO / DNS-Geräte zeigen keine direkte Verbindung. Die Zuschreibung des Schauspielers bleibt unbestätigt und die genaue Motivation (Finanz-, Spionage-, Konzeptnachweis) wurde nicht öffentlich begründet.

Interpretation und Kontext: Die Taktik zeigt zwei bekannte, aber aggressivere kombinierte Trends: (a) Missbrauch des OAuth / Device Flow-Mechanismus, um dauerhafte Anmeldeinformationen ohne explizite Benutzereingriff zu erreichen, und (b) Nutzung von Persistenzvektoren in Entwicklungswerkzeugen (VS-Code), die nicht immer von CI-Kontrollen geprüft werden. GitHubs Antwort - die Ausführung des schädlichen Workflows zu blockieren - reduzierte die Wirksamkeit der ersten Stufe, aber der Schauspieler reagierte in einer Angelegenheit von Tagen mit einem Design, das die Abhängigkeit des Läufers vermeidet. Dies zeigt die offensive Verteidigungsdynamik, in der Angreifer ihre Infrastruktur nach jeder Minderungsmaßnahme anpassen.

Spezifische Maßnahmen, die heute von Entwicklern und Administratoren zu ergreifen sind: alle GitHub-Token und Berechtigungen von einem sauberen Gerät zu widerrufen und alle Anmeldeinformationen zu drehen, die für Workflows zugänglich sind (Wolkenschlüssel, Paket-Token, Anmeldeinformationen). Überprüfen und entfernen Sie unbekannte OAuth-Anwendungen auf der Einstellseite > Autorisierte OAuth Apps und im Tokenmanagement der Organisation. Auditieren von Repositories durch verdächtige Dateien (.github / Workflows mit gemeinsamen CI-Namen, .vscode / Tasks.json, ungewöhnliche Quellen in öffentlichen / Schriften) und von jedem geplanten cron oder Task in Entwickler-Workstations. Suche nach ausgehenden Verbindungen zu 193.32.204 [.] 199 und Domains my-github [.] com und blockieren sie auf Netzwerkebene. Aktivieren Sie Richtlinien, die den Workflow begrenzen, um das, was unbedingt notwendig ist und manuelle Bewertungen für Änderungen in .github / Workflows benötigen; verwenden Sie Schutzwerkzeuge wie GitHub Actions Sicherheitshärten und Erfordern Sie die Genehmigung für den Zugriff Dritter in Organisationen. Für hochwertige Anmeldeinformationen (Wolke, IA-Anbieter) betrachten Sie sofortige Rotation und Nutzung von kurzfristigen Anmeldeinformationen und geheimen Management-Diensten. Schließlich, um den Schutz gegen Phishing von OAuth zu erhöhen, fördern phishing-resistente Authentifizierungsmechanismen (FIDO-Sicherheitsschlüssel) und spezifische Ausbildung auf Social Engineering mit Proxyseiten und automatischen Strömen.

Weitere technische Informationen darüber, wie der Gerätefluss und die präventiven Maßnahmen in Aktion funktionieren, finden Sie in GitHubs offizielle Dokumentation über den Gerätefluss und die Aktionshärteempfehlungen: https: / docs.github.com / en / apps / oauth-apps / building-oauth-apps / Authorizing-oauth-apps # devicu-flow und https: / / docs.github.com / en / Aktionen / Security-guides / Security-hardening-for-github-actions. Sie können auch Forschung und Proben im Analyse-Repository von OpenSourceMalware verfolgen: https: / / opensourcemalware.org /.

Kurz gesagt, die GhostAction Operation hat die Fähigkeit gezeigt, schnell anzupassen und zu mischen Supply-Chain, OAuth Phishing und lokale Persistenztechniken. Open Source-Entwickler und Wartungsorganisationen müssen davon ausgehen, dass jedes Repository mit einer Geschichte von inaktiven oder vor kurzem unauditierten Verpflichtungen ein Vektor sein könnte und mit Priorität im Widerruf, Rotation und Aushärtung von Genehmigungen handeln.