Gestohlene Zugänge: Angreifer schleusen Datendieb in über 30.000 GitHub-Projekte

Eine groß angelegte Angriffswelle auf die Entwicklerplattform GitHub hat mehr als 30.000 Software-Projekte von rund 3.000 Nutzern und Organisationen ins Visier genommen. Nach Angaben der Sicherheitsfirma GitGuardian, über die The Hacker News am Donnerstag berichtete, wurden dabei etwa 1.900 Benutzerkonten kompromittiert. Die Angreifer versuchten demnach, 3.174 geheime Zugangsdaten aus den automatischen Build-Prozessen öffentlicher Projekte abzuziehen. Die Kampagne mit dem Namen GhostAction war erstmals im September 2025 aufgefallen und ist seither in mehreren Wellen zurückgekehrt.

Das Vorgehen: Mit gestohlenen Zugangstokens oder Passwörtern aus Datensammlungen von Schadprogrammen verschaffen sich die Täter Schreibrechte. Dann legen sie einen manipulierten Arbeitsablauf für GitHub Actions mit harmlos klingenden Namen wie „security-audit.yml“ an. Dieser durchsucht das Projekt samt Versionsgeschichte nach Schlüsseln für Cloud-Dienste wie AWS, nach GitHub- und GitLab-Tokens, nach Zugängen zu Paketverzeichnissen wie npm, PyPI und DockerHub sowie nach API-Schlüsseln von KI-Anbietern. Am 8. und 9. Oktober wurde der Code laut GitGuardian zunächst in 160 bereits früher betroffene Projekte eingeschleust, rund 20 Minuten später dann in etwa 28.000 neue.

Seit dem 9. Oktober verhindert GitHub nach Angaben der Forscher, dass der schädliche Arbeitsablauf ausgeführt wird; spätere Wellen am 10. und 12. Oktober erbeuteten deshalb keine Daten mehr. Auffällig ist, dass einige Opfer schon in früheren Wellen getroffen worden waren. Das deutet darauf hin, dass die Angreifer auf Zugangsdaten setzen, die nach den ersten Vorfällen nie ausgetauscht wurden. Fachleute raten Projektbetreibern deshalb, verdächtige Workflow-Dateien zu prüfen und betroffene Schlüssel und Tokens zu erneuern.