Los atacantes de GhostAction instalan un programa para robar credenciales camuflado como fuente en 94 repositorios de GitHub

Los res­pon­sa­bles de­trás de los ata­ques a la ca­de­na de su­mi­nis­tro co­no­ci­dos como Ghos­tAc­tion han di­ver­si­fi­ca­do sus mé­to­dos más allá de la in­ser­ción de flu­jos de tra­ba­jo ma­li­cio­sos en GitHub. Ahora em­plean co­rreos de su­plan­ta­ción de iden­ti­dad di­ri­gi­dos a de­sa­rro­lla­do­res de có­di­go abier­to y dis­tri­bu­yen pro­gra­mas ma­li­cio­sos de tipo roba-cre­den­cia­les ocul­tos en ar­chi­vos con apa­rien­cia de fuen­tes ti­po­grá­fi­cas, tras las me­di­das to­ma­das por GitHub para blo­quear la eje­cu­ción de di­chos flu­jos.

Para lle­var a cabo el en­ga­ño, los ata­can­tes re­gis­tra­ron un do­mi­nio si­mu­lan­do a la pla­ta­for­ma y con­fi­gu­ra­ron una pá­gi­na falsa que actúa como proxy in­ver­so. Este sitio re­co­pi­la con­tra­se­ñas y có­di­gos de au­ten­ti­ca­ción de doble fac­tor, ade­más de in­yec­tar có­di­go Ja­vaS­cript para au­to­ri­zar de forma si­len­cio­sa una apli­ca­ción OAuth con am­plios per­mi­sos sobre los re­po­si­to­rios, per­mi­tien­do a los agre­so­res mo­di­fi­car flu­jos de tra­ba­jo y ob­te­ner ac­ce­so a datos or­ga­ni­za­cio­na­les sin re­que­rir la apro­ba­ción ma­nual de la víc­ti­ma.

Adi­cio­nal­men­te, la cam­pa­ña in­clu­ye un se­gun­do com­po­nen­te per­sis­ten­te en los equi­pos de los de­sa­rro­lla­do­res que se ac­ti­va au­to­má­ti­ca­men­te al abrir una car­pe­ta en Vi­sual Stu­dio Code me­dian­te una tarea con­fi­gu­ra­da pre­via­men­te. Este me­ca­nis­mo eje­cu­ta un pro­gra­ma roba-cre­den­cia­les di­se­ña­do para sus­traer lla­ves de ser­vi­cios en la nube, fi­chas de au­ten­ti­ca­ción de di­ver­sos re­gis­tros de soft­wa­re, cre­den­cia­les de Ku­ber­ne­tes y lla­ves pri­va­das, ins­ta­lan­do ade­más una tarea pro­gra­ma­da para la eje­cu­ción pe­rió­di­ca de có­di­go ex­terno.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre la iden­ti­dad de los ope­ra­do­res o el ori­gen exac­to del grupo más allá de las ob­ser­va­cio­nes sobre su in­fra­es­truc­tu­ra téc­ni­ca y nivel de ex­pe­rien­cia.