Злоумышленники скомпрометировали 4837 аккаунтов GitHub для внедрения вредоносного кода в тысячи репозиториев. По данным Aikido Security, скрипт сработал как минимум в 1806 проектах. Анализ SafeDep выявил 8093 репозитория, получивших вредоносные изменения в период до 12 ноября. Атака начиналась с тестового запроса на слияние с заголовком «docs: dependency audit notes», который был отправлен в 61 764 проекта.
Вредоносный скрипт был внедрен в 7309 рабочих процессов GitHub Actions и 771 раз через механизм npm postinstall. Он похищал секреты GitHub Actions, токены GITHUB_TOKEN, OIDC, ключи AWS, Azure, Google Cloud, Kubernetes, npm, PyPI и SSH. Также злоумышленники копировали содержимое репозиториев, последние 100 коммитов и артефакты. Данные передавались на удаленные серверы или в Telegram, который использовался в 20% проверенных случаев.
Используя токены GitHub OIDC, хакеры получали доступ к облачным инфраструктурам AWS, Google Cloud и Azure, создавая постоянные ключи и меняя политики доверия. Эти методы обеспечивали доступ даже после смены паролей. Aikido Security зафиксировала, что аккаунты, пострадавшие в октябре от атаки GhostAction, в 1000 раз чаще становились целями в текущей кампании, однако связь между этими инцидентами пока не установлена.
