GhostAction Attackers Plant Credential Stealer Disguised as Font in 94 GitHub Repositories
2026-10-19
El actor amenazante registró el dominio my-github[.]com el 9 de octubre de 2026 y lo apuntó a la IP 193.32.204.199, la misma utilizada como punto de exfiltración para los datos obtenidos mediante flujos de trabajo maliciosos. Ese dominio se usó en un correo de phishing que se hacía pasar por una alerta de seguridad de GitHub, indicando un nuevo inicio de sesión desde Moscú y llevando a una página falsa que actuó como proxy inverso para capturar la contraseña y el código de autenticación de dos factores (2FA) de la víctima. Posteriormente, mediante JavaScript, autorizó una aplicación OAuth con permisos para modificar flujos de trabajo bajo los alcances repo, workflow y read:org, obteniendo un token de acceso reutilizable.
Además del robo de credenciales, la campaña incluye un segundo componente persistente: un archivo tasks.json de Visual Studio Code que se ejecuta al abrir la carpeta, una fuente falsa llamada public/fonts/fa-solid-400.woff2 que contiene un robador de credenciales capaz de extraer claves de AWS, tokens de PyPI, npm, credenciales de Git, claves SSH y credenciales de proveedores de IA como Anthropic Claude y Google Gemini, y un segundo flujo de trabajo de GitHub Actions (con nombres como lint.yml, ci-check.yml, build-check.yml, repo-health.yml, audit.yml, code-review.yml, test-suite.yml o cache-cleanup.yml) que actúa si el robador no se ejecuta. Se han identificado 94 repositorios con este segundo componente, pertenecientes a 66 propietarios, de los cuales 15 han sido eliminados, renombrados o hechos privados.
Para mitigar la amenaza, se recomienda revocar el acceso y los tokens de GitHub desde un dispositivo limpio, cambiar las contraseñas de las cuentas afectadas, auditar los repositorios en busca de los flujos de trabajo maliciosos y del archivo de fuente falso, rotar todas las credenciales que esos flujos puedan alcanzar y alertar a los usuarios que hayan clonado esos repositorios.
Qué significa para una pyme colombiana y cucuteña: Revocar el acceso y los tokens de GitHub desde un dispositivo limpio, cambiar las contraseñas, inspeccionar los repositorios en busca de los flujos de trabajo maliciosos y del archivo de fuente falso, rotar todas las credenciales que los flujos puedan alcanzar y avisar a los usuarios que hayan clonado esos repositorios.
bitnewsbot.com · letsdatascience.com · scworld.com · cybersecuritynews.com