GhostAction-aanvallers verspreiden credential stealer via phishing en nep-fontbestanden in 94 GitHub-repositories, met geavanceerde OAuth-misbruiktechnieken.
De dreigingsactor achter de GhostAction supply chain-aanval heeft zijn tactiek uitgebreid. Naast het injecteren van kwaadaardige GitHub Actions-workflows in gecompromitteerde projecten, gebruiken de aanvallers nu ook een credential stealer die is vermomd als een nep-fontbestand. Deze nieuwe methode is gericht op open-source ontwikkelaars en maakt gebruik van phishing om toegang te verkrijgen tot accounts en repositories.
Volgens het dreigingsinformatieplatform OpenSourceMalware registreerde de aanvaller het domein my-github[.]com, dat verwijst naar hetzelfde IP-adres dat wordt gebruikt voor het exfiltreren van data die via de kwaadaardige workflow wordt verzameld. Dit domein werd op 9 oktober 2026 geregistreerd, 17 dagen na de registratie van my-gitlab[.]com. Hoewel beide domeinen een vergelijkbaar naamgevingspatroon volgen, is het onduidelijk of ze door dezelfde actor worden beheerd. Beveiligingsonderzoeker Paul McCarty benadrukt dat er geen directe infrastructuurverbindingen zijn tussen deze domeinen en GhostAction.
Het domein my-github[.]com werd direct na registratie gebruikt voor een phishingmail die zich voordeed als een GitHub-beveiligingswaarschuwing. De mail, verzonden vanaf "noreply@my-github[.]com", waarschuwde een open-source beheerder voor een vermeende nieuwe login vanuit Moskou en spoorde aan om via een link het account te beveiligen. De nep-loginpagina fungeerde als reverse proxy, waarbij het wachtwoord en de tweefactorauthenticatiecode van het slachtoffer werden gestolen. Daarnaast werd JavaScript geïnjecteerd dat automatisch een OAuth-applicatie autoriseerde met uitgebreide rechten om workflows te wijzigen, wat een aanval in GhostAction-stijl mogelijk maakt.
De gebruikte JavaScript automatiseert het GitHub OAuth device flow-proces, waarbij zonder medeweten van het slachtoffer een OAuth-token met repo-, workflow- en read:org-rechten wordt verkregen. Dit token geeft de aanvaller brede toegang om repositories te lezen en schrijven, workflows aan te passen en inzicht te krijgen in organisatiegegevens. Het doel is het verkrijgen van een herbruikbare API-credential die kan worden misbruikt om kwaadaardige workflows te injecteren en verdere automatisering van aanvallen mogelijk te maken.
Daarnaast is vastgesteld dat de campagne een tweede fase bevat die persistentie op de systemen van ontwikkelaars nastreeft, zelfs nadat de kwaadaardige workflow is verwijderd. Hierbij worden onder andere Visual Studio Code configuratiebestanden gebruikt om bij het openen van mappen automatisch schadelijke taken uit te voeren, een techniek die lijkt geïnspireerd op eerdere aanvallen uit Noord-Korea.
