Um grupo de cibercriminosos atualizou um ataque conhecido como “GhostAction” para infectar programadores e roubar dados confidenciais diretamente dos computadores. A nova fase do golpe usa e-mails falsos em nome do GitHub para atrair desenvolvedores de softwares de código aberto e instala um arquivo malicioso disfarçado de fonte de texto em pelo menos 94 repositórios da plataforma. A investida foi identificada pela empresa de cibersegurança OpenSourceMalware.
A estratégia começa com uma mensagem de phishing que simula um alerta oficial do serviço. O e-mail usa o assunto de uma nova tentativa de login vinda de Moscou, na Rússia, e pede para que o usuário clique em um link para proteger a conta. Ao acessar o endereço, a vítima é levada para uma página falsa de login que intercepta senhas e códigos de autenticação de dois fatores.
A página clonada aprova de forma silenciosa o acesso a uma aplicação que concede permissões amplas ao invasor. Assim, os criminosos alteram os arquivos de automação (GitHub Actions) para incluir um código malicioso de segunda etapa que permanece no computador, mesmo que a automação clonada seja removida da plataforma.
Invasão via código e tarefas ocultas
Para garantir a permanência no sistema do desenvolvedor, o malware insere três arquivos nos projetos afetados. Um deles configura o editor de código Visual Studio Code para rodar tarefas automáticas sempre que a pasta for aberta. Essa instrução aciona um arquivo com a extensão de fonte de texto que guarda, na verdade, um vírus focado em varrer o sistema em busca de chaves da Amazon Web Services, credenciais de acesso ao Git, tokens de gerenciamento de pacotes e acessos para ferramentas de inteligência artificial como o Claude e o Google Gemini.
Segundo as investigaçõesda OpenSourceMalware, essa mudança de tática ocorreu após a plataforma tentar conter as ações do grupo diretamente no servidor.
“A primeira etapa precisa que o GitHub execute o fluxo de trabalho. Em 9 de outubro, o GitHub começou a impedir que o fluxo malicioso rodasse. A segunda etapa adiciona um inicializador que não precisa de um servidor de execução e chegou seis dias após o bloqueio. Não podemos dizer que o bloqueio causou isso, mas podemos dizer que o operador se mudou para um lugar onde os controles do GitHub não alcançam”, explicou a empresa, em relatório técnico.
Além de coletar dados pessoais e credenciais de acesso, o vírus instala um agendador de tarefas no computador afetado. A cada cinco minutos, essa instrução faz com que o sistema consulte o servidor dos invasores para baixar e executar novos comandos à distância. Essa estratégia permite que os criminosos mantenham o controle total da máquina infectada sem depender de novas ações da vítima.
Alvos antigos e erros de execução
A análise da OpenSourceMalware revela que a maioria das páginas afetadas estava sem atualizações há tempos. Dos repositórios acessíveis analisados, 65 não recebiam nenhuma alteração há mais de um ano e um deles estava abandonado há nove. O cenário indica que a invasão ocorre por meio de ferramentas automatizadas que atacam qualquer conta ou projeto ao qual o usuário tenha permissão de escrita, sem selecionar alvos específicos.
Apesar da complexidade das táticas empregadas para invadir os sistemas, a execução das ferramentas enviadas aos desenvolvedores apresenta falhas técnicas de construção:
“Não sabemos quem é o operador, mas o trabalho sugere pouca experiência. O filtro de variáveis de ambiente do ladrão de dados deixa passar a maioria das chaves de API, sua busca na pasta principal do sistema pode esgotar o tempo e descartar os próprios resultados, e um único endereço de IP cuida do roubo de dados, do phishing e da varredura barulhenta na internet”, pontuou Jenn Gile, cofundadora da OpenSourceMalware, em entrevista ao portal The Hacker News.
Para evitar prejuízos, os pesquisadores da OpenSourceMalware recomendam que os desenvolvedores revoguem todas as autorizações de acesso e tokens a partir de um dispositivo seguro, troquem senhas, revisem os projetos cadastrados e alterem todas as chaves de acesso a serviços de nuvem que estavam salvas nas automações dos repositórios.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
Fonte TecMundo
