👻 GhostAction спрятала стилер в файле шрифта и заразила 94 GitHub-репозитория

Привет! Атакующие из GhostAction сменили тактику. Раньше они воровали секреты через вредоносные GitHub Actions, а теперь прячут стилер под видом обычного шрифта .woff2. Исследователи OpenSourceMalware нашли его в 94 скомпрометированных репозиториях.

👨‍💻 Для запуска используют VS Code. В файл tasks.json добавляют задачу с runOn: folderOpen, которая при определённых настройках редактора срабатывает при открытии проекта. Она запускает код, спрятанный в public/fonts/fa-solid-400.woff2.

🚨 Дальше стилер собирает AWS-ключи, токены npm и PyPI, SSH-ключи, доступы к Kubernetes и учётные данные Claude и Gemini. Всё найденное отправляет на сервер атакующих, а на компьютере оставляет cron-задачу, которая каждые пять минут запускает их код.

⚙️ Заодно атакующие взялись за фишинг. Разработчикам приходят письма якобы от GitHub с предупреждением о входе из Москвы. Ссылка ведёт на my-github[.]com, где крадут пароль и 2FA-код, а через поддельную авторизацию пытаются выдать своему OAuth-приложению доступ к репозиториям и workflows.

P.S. GitHub начал блокировать вредоносные workflows ещё 9 октября. Но новый стилер запускается уже на компьютере разработчика. Поэтому удаление заражённого workflow не поможет, если вредонос успел украсть ключи.

#GhostAction #GitHub #SupplyChain #Infosec

🤖Бесплатный ChatGPT