GhostAction ukrywa złodzieja danych w fałszywej czcionce w 94 repozytoriach GitHub

Sprawcy ataku na łańcuch dostaw GhostAction podłożyli w 94 repozytoriach na GitHubie oprogramowanie kradnące dane, ukryte w fałszywym pliku czcionki. To kampania, a nie luka w konkretnym produkcie. Według platformy OpenSourceMalware grupa zmienia metody, odkąd GitHub zaczął blokować uruchamianie jej złośliwych workflow GitHub Actions. Zarejestrowała domenę my-github[.]com i skierowała ją na adres 193.32.204[.]199. Na ten sam adres trafiają dane wykradane przez złośliwy workflow. Domena powstała 9 października 2026. Tego samego dnia z adresu noreply@my-github[.]com wyszedł fałszywy alert bezpieczeństwa GitHuba o podejrzanym logowaniu z Moskwy, z linkiem do „zabezpieczenia konta”.

Kogo dotyczy

Dotyczy opiekunów projektów open source na GitHubie, do których trafia phishing, oraz użytkowników 94 zainfekowanych repozytoriów. Badacz Paul McCarty zaznacza, że podobna domena my-gitlab[.]com, zarejestrowana 17 dni wcześniej, nie ma na razie potwierdzonego związku z GhostAction.