Uma campanha de cibercriminalidade conhecida como “GhostAction” foi atualizada com novas táticas para infectar programadores e furtar informações confidenciais de suas máquinas. O golpe recente emprega mensagens falsas se passando pelo GitHub para atrair criadores de softwares de código aberto, instalando um arquivo malicioso disfarçado de fonte de texto em ao menos 94 repositórios da plataforma. A investida foi descoberta por uma empresa especializada em cibersegurança.
A investida tem início por meio de uma mensagem de phishing simulando um aviso legítimo do serviço. O e-mail traz o assunto de uma tentativa inédita de acesso originada em Moscou, na Rússia, solicitando que o indivíduo clique em um link para garantir a segurança da conta. Ao abrir o endereço, a vítima é redirecionada a um site falso de login que captura senhas e códigos de autenticação de dois fatores.
A página clonada valida de maneira oculta o acesso a uma ferramenta que concede privilégios amplos aos invasores. Com isso, os criminosos modificam os arquivos de automação (GitHub Actions) com a finalidade de inserir um código malicioso secundário que continua no computador, mesmo se a automação clonada for excluída da plataforma.
Invasão via código e tarefas ocultas
Para assegurar a permanência no ambiente do desenvolvedor, o malware adiciona três arquivos nos projetos comprometidos. Um deles ajusta o editor de código Visual Studio Code para executar tarefas automáticas sempre que o diretório for aberto. Essa diretriz dispara um arquivo contendo uma extensão de fonte de texto que abriga, na verdade, um vírus voltado a vasculhar o sistema à procura de chaves da Amazon Web Services, credenciais do Git, tokens de gerenciamento de pacotes e acessos voltados a ferramentas de inteligência artificial como o Claude e o Google Gemini.
Segundo as investigações, essa mudança de tática ocorreu após a plataforma tentar conter as ações do grupo diretamente no servidor. “A primeira etapa precisa que o GitHub execute o fluxo de trabalho. Em 9 de outubro, o GitHub começou a impedir que o fluxo malicioso rodasse. A segunda etapa adiciona um inicializador que não precisa de um servidor de execução e chegou seis dias após o bloqueio. Não podemos dizer que o bloqueio causou isso, mas podemos dizer que o operador se mudou para um lugar onde os controles do GitHub não alcançam”, explicou a empresa, em relatório técnico.
Além de coletar dados pessoais e credenciais de acesso, o vírus instala um agendador de tarefas no computador afetado. A cada cinco minutos, essa instrução faz com que o sistema consulte o servidor dos invasores para baixar e executar novos comandos à distância. Essa estratégia permite que os criminosos mantenham o controle total da máquina infectada sem depender de novas ações da vítima.
Alvos antigos e erros de execução
A análise revelou que a maior parte das páginas atingidas estava desatualizada há bastante tempo. Dos repositórios acessíveis examinados, 65 não recebiam nenhuma modificação há mais de um ano e um deles estava abandonado há nove. O cenário indica que a invasão ocorre por meio de ferramentas automatizadas que atacam qualquer conta ou projeto ao qual o usuário tenha permissão de escrita, sem selecionar alvos específicos.
Apesar da complexidade das táticas empregadas para invadir os sistemas, a execução das ferramentas enviadas aos desenvolvedores apresenta falhas técnicas de construção: “Não sabemos quem é o operador, mas o trabalho sugere pouca experiência. O filtro de variáveis de ambiente do ladrão de dados deixa passar a maioria das chaves de API, sua busca na pasta principal do sistema pode esgotar o tempo e descartar os próprios resultados, e um único endereço de IP cuida do roubo de dados, do phishing e da varredura barulhenta na internet”, pontuou Jenn Gile, cofundadora da empresa de segurança, em entrevista a um portal especializado.
Para evitar prejuízos, os pesquisadores recomendam que os desenvolvedores revoguem todas as autorizações de acesso e tokens a partir de um dispositivo seguro, troquem senhas, revisem os projetos cadastrados e alterem todas as chaves de acesso a serviços de nuvem que estavam salvas nas automações dos repositórios.
What do you feel about this post?
Like
Love
Happy
Haha
Sad
