GhostAction: Kẻ tấn công cài backdoor lấy cắp thông tin trên 94 kho GitHub
"The GhostAction threat actor is evolving tactics beyond malicious GitHub Actions, now employing phishing campaigns and a credential stealer disguised as a font file within 94 GitHub repositories. The attack leverages a fake GitHub security alert to steal credentials and OAuth tokens, enabling further compromise and data exfiltration. The stealer targets AWS keys, API tokens, and other sensitive information."
GhostAction sử dụng phishing và backdoor tinh vi để đánh cắp thông tin nhạy cảm, gây ra rủi ro cao về mất dữ liệu và xâm nhập hệ thống.
Các doanh nghiệp sử dụng GitHub có thể bị ảnh hưởng bởi mất mát dữ liệu, gián đoạn hoạt động và thiệt hại uy tín do GhostAction. Việc bảo vệ thông tin đăng nhập và API key là rất quan trọng.
Nhóm GhostAction, trước đây tấn công qua GitHub Actions, giờ dùng phishing và backdoor ẩn trong font để đánh cắp thông tin. OpenSourceMalware cho biết chúng tạo domain giả mạo để lừa người dùng nhập thông tin đăng nhập và OAuth token.
Kỹ sư Việt Nam quản lý dự án open source cần đặc biệt lưu ý. GhostAction nhắm mục tiêu AWS key, API token và thông tin nhạy cảm khác. Việc kiểm tra kỹ các thông báo bảo mật từ GitHub và cẩn trọng với email lạ là rất quan trọng.
GhostAction sử dụng domain "my-github[.]com" (IP 193.32.204[.]199) để gửi email phishing, giả mạo cảnh báo bảo mật từ GitHub. Email yêu cầu nạn nhân xác thực tài khoản bằng link dẫn đến trang lừa đảo.
Trang lừa đảo này hoạt động như proxy đảo ngược, thu thập mật khẩu và mã 2FA, đồng thời tự động cấp quyền cho ứng dụng OAuth với quyền truy cập cao. OAuth app này có thể đọc/ghi kho lưu trữ, sửa đổi workflow và xem thông tin tổ chức. Kẻ tấn công có thể sử dụng token này để tự động hóa các tác vụ trên nhiều kho lưu trữ.
Ngoài ra, GhostAction còn cài backdoor trên máy của nhà phát triển. Backdoor này bao gồm file VS Code tasks.json tự chạy khi mở folder, file font "fa-solid-400.woff2" chứa stealer lấy cắp AWS key, PyPI token, npm token, Git login, Kubernetes credential, SSH key và thông tin AI (Anthropic Claude, Google Gemini). Backdoor cũng cài cron job chạy code độc hại mỗi 5 phút, gửi dữ liệu về server qua HTTP port 8080. Hiện tại, 94 kho lưu trữ đã bị xâm nhập bằng phương pháp này.
GitHub workflow độc hại có tên lint.yml, ci-check.yml, build-check.yml, repo-health.yml, audit.yml, code-review.yml, test-suite.yml, cache-cleanup.yml được sử dụng để tìm kiếm thông tin nhạy cảm và tải lên GitHub gist nếu POST thất bại. 66 chủ sở hữu kho lưu trữ bị ảnh hưởng, trong đó 15 đã xóa, đổi tên hoặc đặt quyền riêng tư. Hầu hết các kho lưu trữ còn lại đã bị bỏ hoang trong thời gian dài.
Câu hỏi thường gặp
GhostAction là gì?
GhostAction là một nhóm tấn công nhắm mục tiêu vào các dự án trên GitHub. Chúng sử dụng nhiều kỹ thuật, bao gồm cả việc chèn workflow độc hại và phishing, để đánh cắp thông tin nhạy cảm.
Backdoor trong font hoạt động như thế nào?
Backdoor được ẩn trong file font "fa-solid-400.woff2". Khi file này được tải, nó sẽ tự động chạy và thu thập thông tin đăng nhập, API key và các thông tin nhạy cảm khác từ máy tính của nạn nhân.
Những thông tin nào bị đánh cắp bởi GhostAction?
GhostAction nhắm mục tiêu AWS key, PyPI token, npm token, Git login, Kubernetes credential, SSH key và thông tin AI (Anthropic Claude, Google Gemini). Chúng cũng cố gắng lấy cắp thông tin đăng nhập GitHub.
Góc nhìn của Orange Cloud
Theo chúng tôi, chiến thuật mới của GhostAction cho thấy sự thích ứng cao của nhóm này. Việc sử dụng backdoor ẩn trong font là một kỹ thuật tinh vi, khó bị phát hiện. Doanh nghiệp Việt Nam sử dụng GitHub cần tăng cường đào tạo về an ninh mạng cho nhân viên, đặc biệt là các nhà phát triển. Điều đáng chú ý là việc kiểm tra kỹ các file lạ, đặc biệt là các file font, có thể giúp ngăn chặn các cuộc tấn công tương tự.