Ataque ‘GhostAction’ usa falsa fonte de texto para roubar dados no GitHub

Um grupo de cibercriminosos atualizou um ataque conhecido como “GhostAction” para infectar programadores e roubar dados confidenciais diretamente dos computadores.

A nova fase do golpe usa e-mails falsos em nome do GitHub para atrair desenvolvedores de softwares de código aberto e instala um arquivo malicioso disfarçado de fonte de texto em pelo menos 94 repositórios da plataforma.

A investida foi identificada pela empresa de cibersegurança OpenSourceMalware.

A estratégia começa com uma mensagem de phishing que simula um alerta oficial do serviço.

O e-mail usa o assunto de uma nova tentativa de login vinda de Moscou, na Rússia, e pede para que o usuário clique em um link para proteger a conta.

Ao acessar o endereço, a vítima é levada para uma página falsa de login que intercepta senhas e códigos de autenticação de dois fatores.

Ataque usa fonte falsa para roubar dados no GitHub Foto: Reprodução/ChatGPT A página clonada aprova de forma silenciosa o acesso a uma aplicação que concede permissões amplas ao invasor.

Assim, os criminosos alteram os arquivos de automação (GitHub Actions) para incluir um código malicioso de segunda etapa que permanece no computador, mesmo que a automação clonada seja removida da plataforma.

Invasão via código e tarefas ocultas Para garantir a permanência no sistema do desenvolvedor, o malware insere três arquivos nos projetos afetados.

Um deles configura o editor de código Visual Studio Code para rodar tarefas automáticas sempre que a pasta for aberta.

Essa instrução aciona um arquivo com a extensão de fonte de texto que guarda, na verdade, um vírus focado em varrer o sistema em busca de chaves da Amazon Web Services , credenciais de acesso ao Git, tokens de gerenciamento de pacotes e acessos para ferramentas de inteligência artificial como o Claude e o Google Gemini .

Segundo as investigaçõesda OpenSourceMalware, essa mudança de tática ocorreu após a plataforma tentar conter as ações do grupo diretamente no servidor.

“A primeira etapa precisa que o GitHub execute o fluxo de trabalho.

Em 9 de outubro, o GitHub começou a impedir que o fluxo malicioso rodasse.