GhostAction: שלב שני עם סטילר בקובץ פונט מזויף ב-94 מאגרי GitHub, ופישינג למפתחים

קמפיין GhostAction מתפתח: אחרי ש-GitHub החלה לחסום את ה-workflow הזדוני ב-9 באוקטובר, הפעילות ב-10 וב-12 באוקטובר לא הוציאה סודות, והמפעיל הוסיף שלב שני שלא תלוי בריצת CI. לפי OpenSourceMalware (פול מקארתי), זוהו 94 מאגרים פגועים של 66 בעלים.

הפרטים

השלב החדש מסתתר בקובץ public/fonts/fa-solid-400.woff2 שאינו פונט אלא סטילר. הוא מכוון למפתחות AWS, טוקנים של PyPI ו-npm, אישורי Git ו-Kubernetes, מפתחות SSH ומפתחות API של שירותי AI, ומתקין משימת cron שרצה כל חמש דקות. הוא שורד גם הסרת ה-workflow. שם הקובץ זהה לזה שבקמפיין PolinRider מינואר 2026. רוב המאגרים הנגישים נטושים: מתוך 79, ב-65 לא היה commit מעל שנה.

במקביל נרשם הדומיין my-github[.]com, ושימש במייל מתחזה להתראת אבטחה של GitHub. דף ההתחברות פעל כ-reverse proxy שאסף סיסמה וקוד 2FA, ואישר בשקט OAuth device flow עם הרשאות repo, workflow ו-read:org.

נקודות לשים לב

• חפש במאגרים את הקובץ fa-solid-400.woff2 ואת קובצי ה-workflow lint.yml, ci-check.yml, repo-health.yml ודומיהם, וקובץ VS Code tasks.json עם runOn: folderOpen.
• במחשב מפתח שעבד עם מאגר חשוד, בדוק משימת cron שרצה כל חמש דקות ותעבורה ליציאות 8443 ו-8080.
• אם נחשפת: בטל טוקנים ואישורי OAuth ממחשב נקי, שנה סיסמאות וסובב כל סוד שהמכונה או ה-CI יכלו להגיע אליו.
• בדוק ברשימת האפליקציות המורשות בחשבון GitHub אישורים שלא הכרת.

מקורות: OpenSourceMalware · The Hacker News