Kaj se je zgodilo
Kampanja kraje poverilnic, znana pod imenom GhostAction, je po navedbah vira GitGuardian okrepila svoje delovanje in zdaj cilja na več kot 30.000 repozitorijev kode, povezanih s 3.000 uporabniki in organizacijami na GitHubu. Nagel porast aktivnosti so raziskovalci zaznali 8. in 9. oktobra 2026.
Po navedbah GitGuardian je bil porast posledica kompromitacije računov GitHub pri okoli 1.900 uporabnikih. Napadalci so prek teh računov poskušali pridobiti 3.174 tajnih podatkov (angl. secrets) iz CI sistemov javnih repozitorijev. Gre za podatke, kot so dostopni žetoni, ključi API in druge poverilnice, ki jih razvijalci pogosto shranjujejo v konfiguracijah za neprekinjeno integracijo (CI).
Vir The Hacker News dodatno navaja, da so napadalci za GhostAction svoj način delovanja razširili onkraj vstavljanja zlonamernih delovnih tokov GitHub Actions v ogrožene projekte. Po navedbah OpenSourceMalware so v najmanj 94 repozitorijih GitHub zlorabili tudi lažno predstavljanje razvijalcem odprtokodne programske opreme, s čimer so dostavili zlonamerno programsko opremo za krajo poverilnic, prikrito znotraj lažne datoteke pisave. To po navedbah vira kaže, da napadalci dejavno prilagajajo svoj pristop glede na ukrepe, ki jih proti njim sprejemajo branilci.
Kaj to pomeni za slovenska in evropska podjetja
GitHub je med najbolj razširjenimi platformami za gostovanje izvorne kode in avtomatizacijo razvojnih procesov tudi med slovenskimi in evropskimi podjetji ter posameznimi razvijalci. Kompromitacija računa GitHub ali vdor v delovne tokove CI/CD lahko pomeni izpostavitev tajnih podatkov, ki omogočajo nadaljnji dostop do oblačnih storitev, zbirk podatkov ali notranjih sistemov podjetja. Ker kampanja cilja na javne repozitorije in njihove CI konfiguracije, so še posebej izpostavljene organizacije, ki uporabljajo odprtokodne projekte ali javno dostopne verige gradnje programske opreme.
Razširitev taktike na lažno predstavljanje razvijalcem prek zlonamerne datoteke pisave dodatno povečuje tveganje, saj napad ne zahteva neposredne kompromitacije infrastrukture GitHub, temveč izkorišča zaupanje posameznih razvijalcev.
Priporočeni ukrepi
- Preverite, ali so vaši računi GitHub ali računi vaših razvijalcev morebiti vključeni med ogroženimi, in po potrebi takoj zamenjajte gesla ter omogočite dvofaktorsko preverjanje pristnosti.
- Pregledujte delovne tokove GitHub Actions v svojih repozitorijih glede nepričakovanih ali nepooblaščenih sprememb.
- Preklicite in zamenjajte vse tajne podatke (ključe API, žetone, poverilnice), ki so bili shranjeni v CI konfiguracijah javnih repozitorijev.
- Bodite previdni pri prenosu in odpiranju datotek, prejetih prek sporočil ali povezav, ki se predstavljajo kot pisave ali druge orodja za razvijalce, iz neznanih virov.
- Spremljajte obvestila GitGuardian in drugih varnostnih raziskovalcev za posodobitve glede razvoja kampanje GhostAction.
Vprašanja in odgovori
Kaj je GhostAction? GhostAction je po navedbah GitGuardian kampanja kraje poverilnic, usmerjena v uporabnike in organizacije na platformi GitHub, ki cilja na tajne podatke v CI sistemih javnih repozitorijev.
Koliko računov in repozitorijev je prizadetih? Po navedbah vira je bilo kompromitiranih okoli 1.900 računov GitHub, kampanja pa cilja na več kot 30.000 repozitorijev, povezanih s 3.000 uporabniki in organizacijami.
Ali se je napad razširil tudi na druge metode? Da, po navedbah OpenSourceMalware so napadalci v najmanj 94 repozitorijih uporabili tudi lažno predstavljanje razvijalcem z zlonamerno programsko opremo, prikrito v lažni datoteki pisave.
Pogosta vprašanja
Kaj je kampanja GhostAction?
GhostAction je po navedbah GitGuardian kampanja kraje poverilnic, ki cilja na uporabnike in organizacije na platformi GitHub ter poskuša pridobiti tajne podatke iz CI sistemov javnih repozitorijev.
Koliko GitHub računov je bilo ogroženih?
Po navedbah GitGuardian je bilo kompromitiranih okoli 1.900 računov GitHub, kar je omogočilo ciljanje na več kot 30.000 repozitorijev.
Ali se je kampanja razvila še na druge načine napada?
Po navedbah OpenSourceMalware so napadalci v vsaj 94 repozitorijih uporabili tudi lažno predstavljanje razvijalcem z zlonamerno programsko opremo, prikrito v lažni datoteki pisave.
Sorodne objave
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej
- Hekerji napadli francoske hladilnike v trgovinah E. Leclerc, Intermarche in Cooperative U
- Plex2Shell: veriga štirih ranljivosti v Plex Media Server izkoriščena v praksi
Viri
- The Hacker News
- GhostAction компромитира околу 1.900 GitHub сметки и таргетира повеќе од 30.000 складишта со код
- GhostAction Attackers Plant Credential Stealer Disguised as Font in 94 GitHub Repositories