Откраднати достъпи: нападатели внедриха крадец на данни в над 30 000 проекта в GitHub

Мащабна вълна от атаки срещу платформата за разработчици GitHub е насочена към над 30 000 софтуерни проекта на около 3000 потребители и организации. Според фирмата за киберсигурност GitGuardian, цитирана в четвъртък от The Hacker News, при това са компрометирани около 1900 потребителски профила. Нападателите са се опитали да изтеглят 3174 тайни данни за достъп от автоматичните процеси за компилиране на публични проекти. Кампанията с името GhostAction беше забелязана за първи път през септември 2025 г. и оттогава се завръща на няколко вълни.

Начинът на действие: с откраднати токени за достъп или пароли от бази данни, събрани от зловреден софтуер, извършителите получават права за запис. След това създават манипулиран работен процес за GitHub Actions с безобидно звучащи имена като „security-audit.yml“. Той претърсва проекта заедно с историята на версиите за ключове за облачни услуги като AWS, за токени на GitHub и GitLab, за достъпи до хранилища за пакети като npm, PyPI и DockerHub, както и за API ключове на доставчици на изкуствен интелект. На 8 и 9 октомври кодът първо е бил внедрен в 160 вече засегнати по-рано проекта, а около 20 минути по-късно – в около 28 000 нови, съобщава GitGuardian.

Според изследователите от 9 октомври GitHub не позволява зловредният работен процес да се изпълнява, затова по-късните вълни на 10 и 12 октомври вече не са откраднали данни. Прави впечатление, че някои жертви са били засегнати и при предишни вълни. Това подсказва, че нападателите разчитат на данни за достъп, които след първите инциденти така и не са били сменени. Затова експертите съветват собствениците на проекти да проверят за подозрителни файлове с работни процеси и да подновят засегнатите ключове и токени.