Minacce · 5 ore fa
Dopo che GitHub ha bloccato l’esecuzione del workflow malevolo, GhostAction ha ampliato la campagna: 94 repository compromessi ospitano il secondo stadio, mentre nuovi attacchi puntano agli account dei maintainer.
Un falso avviso di sicurezza porta il maintainer su una pagina di accesso contraffatta, che inoltra a GitHub password e codice 2FA. Poi chiede di autorizzare un’app OAuth attraverso la sessione reale, così l’attaccante può ottenere un token senza che la vittima riconosca una richiesta separata. Quel token può consentire di leggere e modificare repository, alterare i workflow di Actions e vedere dati dell’organizzazione.
Bloccare il workflow iniziale non revoca l’accesso OAuth: il raggio d’azione può estendersi a tutti i repository e ai dati organizzativi collegati all’account del maintainer. Per chi usa app OAuth con GitHub, un link di allarme inatteso può quindi diventare una via per riprendere il controllo dei workflow.
1 fonte che coprono questa storia
GhostAction Attackers Plant Credential Stealer Disguised as Font in 94 GitHub Repositories
GhostAction operators add GitHub-themed phishing and a VS Code-triggered stealer to compromised repositories, with 94 carrying the second stage.
Part of the PlainSec briefing for 2026-10-19