GhostAction Attackers Plant Credential Stealer Disguised as Font in 94 GitHub Repositories
The Hacker News · 19 oct, 15:05
Qué hacer: Revoca tokens y acceso a GitHub desde dispositivo limpio, cambia contraseñas, audita repositorios y rota todas las credenciales almacenadas (claves AWS, tokens PyPI/npm, SSH).
Los atacantes de GhostAction han evolucionado su campaña de cadena de suministro para incluir phishing sofisticado y malware distribuido como archivo de fuente falso. Tras registrar el dominio my-github.com, enviaron correos de phishing suplantando alertas de seguridad de GitHub para robar credenciales y autorizar aplicaciones OAuth maliciosas que permiten inyectar flujos de trabajo maliciosos. Además, han implantado un componente de segundo estadio que persiste en máquinas desarrollador incluso después de eliminar el flujo de trabajo original, usando archivos de configuración de VS Code y archivos de fuente que contienen malware recolector de credenciales.
La evolución del ataque incluye múltiples vectores de entrada. El atacante registró my-github[.]com apuntando a 193.32.204[.]199, la misma IP de exfiltración del flujo de trabajo malicioso original. El phishing suplanta alertas de seguridad de GitHub, notificando un acceso desde Moscú e instruyendo al usuario a hacer clic en un enlace. La página falsa funciona como proxy inverso, capturando contraseña y códigos 2FA, e inyecta JavaScript que autoriza automáticamente una aplicación OAuth con permisos para modificar flujos de trabajo, leer/escribir repositorios y acceder a datos organizacionales.
El componente de segundo estadio es particularmente persistente. Se compone de tres elementos: un archivo tasks.json de VS Code que ejecuta código al abrir la carpeta, un archivo de fuente woff2 que contiene un stealer capaz de robar claves AWS, tokens PyPI/npm, credenciales Git, credenciales Kubernetes, claves SSH privadas y credenciales de proveedores IA (Anthropic Claude, Google Gemini), y un flujo de trabajo GitHub adicional como fallback. Se han identificado 94 repositorios comprometidos con este componente de segundo estadio. Los repositorios afectados pertenecen a 66 propietarios, con 65 de 79 sin commits durante más de un año, sugiriendo proyectos abandonados como objetivos.
Puntos clave
- 94 repositorios comprometidos con componente de segundo estadio distribuido en archivo de fuente
- Phishing suplanta alertas de GitHub para robar credenciales y autorizar OAuth automáticamente
- Stealer cosecha claves AWS, tokens npm/PyPI, credenciales IA y claves SSH privadas
- Componente persiste mediante VS Code tasks.json con trigger automático al abrir carpeta
- GitHub bloqueó el flujo original el 9 de octubre; atacante desplegó variante sin necesidad de runner en menos de una semana