O ataque GhostAction, atualizado para a versão 2.0, é uma evolução do ataque GhostAction original, agora mais sofisticado e eficaz. Este novo ataque, identificado pela OpenSourceMalware, usa e-mails falsos em nome do GitHub para enganar programadores e desenvolvedores de softwares de código aberto. A estratégia começa com uma mensagem de phishing que simula um alerta oficial do serviço, levando a uma página falsa de login que intercepta senhas e códigos de autenticação de dois fatores. A vítima é então redirecionada para uma página clonada que aprova de forma silenciosa o acesso a uma aplicação que concede permissões amplas ao invasor. A segunda etapa do ataque inclui a alteração de arquivos de automação (GitHub Actions) para incluir um código malicioso de segunda etapa que permanece no computador mesmo que a automação clonada seja removida da plataforma. Além disso, o malware insere três arquivos nos projetos afetados, configurando o editor de código Visual Studio Code para rodar tarefas automáticas sempre que a pasta for aberta. Essa configuração permite que o vírus, que guarda um vrus focado em varrer o sistema em busca de chaves da Amazon Web Services, credenciais de acesso ao Git, tokens de gerenciamento de pacotes e acessos para ferramentas de inteligência artificial como o Claude e o Google Gemini, permaneça no sistema. Essa mudança de tática ocorreu após a plataforma tentar conter as ações do grupo diretamente no servidor. A segunda etapa adiciona um inicializador que não precisa de um servidor de execução e chegou seis dias após o bloqueio. Além de coletar dados pessoais e credenciais de acesso, o vírus também instala um agendador de tarefas no computador afetado, fazendo com que o sistema consulte o servidor dos invasores a cada cinco minutos para baixar e executar novos comandos à distância. Essa estratégia permite que os criminosos mantenham o controle total da máquina infectada sem depender de novas ações da vítima. A OpenSourceMalware revelou que a maioria das páginas afetadas estava sem atualizações há tempos, e dos repositórios acessíveis analisados, 65 não recebiam atualizações. Para proteger seus repositórios do GhostAction e outros ataques semelhantes, é crucial manter suas ferramentas de código aberto atualizadas, usar autenticação de dois fatores e evitar abrir links ou anexos anômalos em e-mails. Além disso, é importante realizar backups regulares e testar suas ferramentas de detecção de vulnerabilidades para garantir que estão funcionando corretamente.
