Um novo ataque cibernético, apelidado de “GhostAction”, está visando programadores para roubar informações sensíveis diretamente de seus computadores. Os criminosos, que se apresentam como representantes do GitHub, enviam e-mails fraudulentos para atrair desenvolvedores de software de código aberto, instalando arquivos maliciosos camuflados em pelo menos 94 repositórios da plataforma. A ameaça foi descoberta pela empresa de cibersegurança OpenSourceMalware.
O golpe inicia com uma mensagem de phishing que finge ser um alerta oficial do GitHub. Com o assunto sugerindo uma tentativa de login suspeita vinda de Moscou, os usuários são induzidos a clicar em um link para proteger suas contas. Ao fazê-lo, são redirecionados a uma página falsa que coleta senhas e códigos de autenticação de dois fatores.
No processo, uma aplicação maliciosa é aprovada silenciosamente, permitindo que os invasores modifiquem arquivos de automação (GitHub Actions) para incluir um código maligno. Este código permanece no sistema da vítima, mesmo após a remoção da automação comprometida.
Para garantir a persistência do ataque, o malware insere três arquivos nos projetos afetados. Um deles altera as configurações do Visual Studio Code para executar tarefas automáticas sempre que a pasta do projeto é aberta. Essa ação ativa um arquivo disfarçado de fonte de texto que, na verdade, contém um vírus projetado para buscar chaves de acesso e credenciais de serviços como Amazon Web Services e Git.
A análise da OpenSourceMalware indica que essa nova abordagem foi adotada após o GitHub implementar medidas para bloquear os fluxos de trabalho maliciosos. Em 9 de outubro, a plataforma começou a restringir a execução dos códigos prejudiciais. No entanto, os criminosos rapidamente adaptaram suas táticas, utilizando um inicializador que não requer um servidor de execução, o que ocorreu apenas seis dias após o bloqueio.
Além de roubar dados pessoais, o vírus instala um agendador de tarefas que consulta o servidor dos invasores a cada cinco minutos, permitindo que mantenham o controle da máquina afetada sem depender de novas ações da vítima.
A investigação revelou que muitos dos repositórios atacados não eram atualizados há bastante tempo. Dentre os analisados, 65 não recebiam alterações há mais de um ano, indicando que os invasores utilizam ferramentas automatizadas para atingir qualquer conta com permissões de escrita, sem selecionar alvos específicos.
Apesar da complexidade do ataque, as falhas na execução das ferramentas revelam que os criminosos podem ter pouca experiência. A coleta de dados é realizada de maneira ineficiente, e o uso de um único endereço IP para múltiplas atividades levanta questões sobre a eficácia da operação.
Os especialistas da OpenSourceMalware alertam os desenvolvedores a revogar todas as autorizações de acesso e tokens a partir de dispositivos seguros, trocar senhas e revisar os projetos cadastrados para evitar prejuízos.