GhostAction, 94 GitHub deposuna font dosyası kılığında kimlik bilgisi hırsızı yerleştirdi

GhostAction tedarik zinciri kampanyasının arkasındaki tehdit aktörü, zararlı GitHub Actions iş akışlarının ötesine geçerek açık kaynak geliştiricilerine oltalama saldırıları düzenlemeye ve ele geçirdiği depolara font dosyası kılığında bir kimlik bilgisi hırsızı eklemeye başladı. The Hacker News'in 19 Ekim'de aktardığı OpenSourceMalware araştırmasına göre yeni ikinci aşama bileşeni 66 kişiye ait 94 depoda bulundu. Araştırmacılar bu değişimin GitHub'ın özgün iş akışını engellemesinin ardından geldiğini belirtiyor.

Neler oldu?

Habere göre GitHub, GhostAction'ın zararlı iş akışını 9 Ekim 2026'da engellemeye başladı; 10 ve 12 Ekim'deki saldırı dalgaları hiçbir gizli bilgi elde edemedi. İkinci aşama engellemeden altı gün sonra ortaya çıktı. Araştırmacılar değişimin engelleme yüzünden olduğunu kanıtlayamadıklarını, ancak saldırganın GitHub'ın denetimlerinin kapsamadığı bir yönteme geçtiğini söylüyor.

Saldırgan aynı gün my-github[.]com alan adını kaydedip özgün iş akışının veri sızdırma adresi olan 193.32.204[.]199 IP'sine yönlendirdi. Alan adı, Moskova'dan yapılmış sözde bir girişe dair GitHub güvenlik uyarısını taklit eden ve bir açık kaynak bakımcısına gönderilen oltalama e-postasında kullanıldı. The Hacker News ayrıca GhostAction'ın yaklaşık 1.900 GitHub hesabını ele geçirdiğini ve 30.000'den fazla depoyu hedef aldığını aktardı.

Teknik detaylar

The Hacker News'e göre sahte giriş sayfası, kurbanın parolasını ve iki aşamalı doğrulama kodunu yakalayan bir ters vekil sunucu olarak çalışıyor. Sayfaya eklenen JavaScript, kurban cihaz kodu girmeden veya bir uygulamayı onaylamadan repo, workflow ve read:org yetkilerine sahip bir GitHub OAuth cihaz akışını sessizce onaylıyor. Elde edilen jeton depolara, iş akışı dosyalarına ve kuruluş verilerine tekrar tekrar kullanılabilen API erişimi sağlıyor.

İkinci aşama depolara üç dosya ekliyor: klasör açıldığında çalışacak şekilde ayarlanmış bir VS Code tasks.json dosyası, public/fonts/fa-solid-400.woff2 yolundaki hırsız ve yedek bir GitHub Actions iş akışı. Hırsız AWS anahtarlarını, npm ve PyPI jetonlarını, Git girişlerini, Kubernetes kimlik bilgilerini, SSH özel anahtarlarını ve Anthropic ile Google Gemini kimlik bilgilerini hedef alıyor; ardından her beş dakikada saldırganın gönderdiği kodu çalıştıran bir cron işi kuruyor. Habere göre dosya adı, Kuzey Kore'nin bu yılın başındaki PolinRider kampanyasında kullanılanla aynı. Yedek iş akışları lint.yml, ci-check.yml, build-check.yml, repo-health.yml, audit.yml, code-review.yml, test-suite.yml ve cache-cleanup.yml gibi adlar taşıyor.

Hâlâ erişilebilen 79 deponun 65'ine bir yıldan uzun süredir commit yapılmamıştı. OpenSourceMalware'den Jenn Gile, saldırganın işinin sınırlı deneyime işaret ettiğini söyledi.

Ne yapmalı?

Araştırmacılar etkilenen geliştiricilere GitHub erişimlerini ve jetonlarını temiz bir cihazdan iptal etmelerini, parolalarını değiştirip hesap korumasını güçlendirmelerini, depolarını yukarıdaki dosya ve iş akışı adları için denetlemelerini, iş akışlarının erişebildiği tüm kimlik bilgilerini yenilemelerini ve etkilenen depoları klonlayanları uyarmalarını öneriyor. Benzer görünen alan adlarına yönlendiren GitHub güvenlik uyarılarına karşı da dikkatli olunmalı.