#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
GhostAction расширил свою кампанию, используя фишинг в отношении разработчиков с открытым исходным кодом через домен-двойник `my-github.com`, применяя персонализированные уведомления GitHub о безопасности и набор инструментов reverse-proxy для кражи учетных данных и OAuth-доступа. Набор инструментов запрашивал разрешения на доступ к репозиториям, workflow и организациям, что позволяло осуществлять компрометацию репозиториев, внедрение вредоносных GitHub Actions, а также кражу учетных данных CI/CD, облачных сервисов и служб.
-----

GhostAction расширилась от вредоносных рабочих процессов GitHub Actions до целенаправленного фишинга в отношении разработчиков open-source. Операторы использовали домен-двойник `my-github.com`, размещенный на IP-адресе `193.32.204.199`, для отправки персонализированных писем с уведомлениями о безопасности, имитирующих GitHub. В сообщениях получателям сообщалось о якобы имевшем место входе из Москвы и предлагалось перейти по уникальным путям на фишинговом домене. Приманка была разработана так, чтобы оказывать давление на администраторов репозиториев, подчеркивая потенциальную компрометацию репозиториев и организаций.

Восстановленный исходный код страницы и телеметрия браузера свидетельствуют о том, что сайт представлял собой фишинговый набор на основе обратного прокси, а не статическую копию GitHub. Он проксировал содержимое GitHub через поддомены с подстановочным символом, такие как `github.my-github.com`, `api.my-github.com` и `collector.my-github.com`, одновременно переписывая маршруты GitHub и собирая учетные данные. Набор передавал имена пользователей, пароли и данные, связанные с аутентификаторами, на инфраструктуру, контролируемую злоумышленниками. Данные HAR подтверждают, что учетные данные отправлялись на фишинговый источник, а жертвам отображался запрос на ввод кода аутентификатора, хотя полученные доказательства не подтверждают факт отправки отображаемого OTP-кода приложения.

Фишинговый набор инструментов также автоматизировал процесс авторизации устройства через GitHub OAuth. Внедрённый JavaScript запрашивал области доступа `repo`, `workflow` и `read:org`, сохранял данные потока авторизации устройства в cookie `vh_device`, использовал конечную точку `/vh_beacon` и отправлял полученный токен злоумышленнику по TCP-порту 8443. Запрошенные разрешения позволяли выполнять перечисление репозиториев, доступ к организации и изменение рабочих процессов GitHub Actions. Идентифицированный идентификатор клиента OAuth — `Ov23ctrqCqZ79UaYKwyq`.

Данный доступ поддерживает задокументированную активность GhostAction, направленную на компрометацию сопровождающих (maintainers) и внедрение вредоносных рабочих процессов в репозитории. Эти рабочие процессы осуществляют поиск в репозиториях и истории Git учетных данных, связанных с AWS, GitHub, GitLab, Slack, Google, SendGrid, Anthropic, OpenAI и другими сервисами, после чего выводят результаты на адрес `193.32.204.199`. Таким образом, фишинговая инфраструктура обеспечивает путь для получения первоначального доступа, который может привести к компрометации репозиториев, внедрению рабочих процессов, краже секретов CI/CD и облачных сервисов, а также к последующим атакам на цепочку поставок.

В ходе кампании использовались изменяемые перенаправления и условный контент, включая нерелевантные страницы, вероятно, с целью обхода автоматического сканирования. Специалисты по защите должны провести расследование домена, отправителя, путей URL, разрешений OAuth, сессий GitHub, ключей, вебхуков, рабочих процессов, артефактов релизов и активности в репозиториях. Все потенциально скомпрометированные учетные данные, токены публикации пакетов, облачные ключи и секреты CI/CD следует отозвать или заменить.