GitHub blocca il workflow, GhostAction punta agli account dei maintainer
Dopo che GitHub ha bloccato l’esecuzione del workflow malevolo, GhostAction ha ampliato la campagna: 94 repository compromessi ospitano il secondo stadio, mentre nuovi attacchi puntano agli account dei maintainer.
Un falso avviso di sicurezza porta il maintainer su una pagina di accesso contraffatta, che inoltra a GitHub password e codice 2FA. Poi chiede di autorizzare un’app OAuth attraverso la sessione reale, così l’attaccante può ottenere un token senza che la vittima riconosca una richiesta separata. Quel token può consentire di leggere e modificare repository, alterare i workflow di Actions e vedere dati dell’organizzazione.
Bloccare il workflow iniziale non revoca l’accesso OAuth: il raggio d’azione può estendersi a tutti i repository e ai dati organizzativi collegati all’account del maintainer. Per chi usa app OAuth con GitHub, un link di allarme inatteso può quindi diventare una via per riprendere il controllo dei workflow.