Golpe GhostAction usa e-mails falsos do GitHub para roubar dados de programadores

Um grupo de cibercriminosos atualizou um ataque conhecido como GhostAction para infectar programadores e roubar dados confidenciais diretamente de seus computadores. A nova fase do golpe utiliza e-mails falsos em nome do GitHub, a popular plataforma de hospedagem de código, para atrair desenvolvedores de softwares de código aberto. O malware é disfarçado como um arquivo de fonte de texto e foi identificado em pelo menos 94 repositórios da plataforma pela empresa de cibersegurança OpenSourceMalware.

A estratégia começa com uma mensagem de phishing que simula um alerta oficial do serviço, com o assunto indicando uma nova tentativa de login vinda de Moscou, na Rússia. O e-mail solicita que o usuário clique em um link para proteger sua conta. Ao acessar o endereço, a vítima é direcionada para uma página falsa de login que intercepta senhas e códigos de autenticação de dois fatores. A página clonada concede permissões amplas ao invasor, que pode então alterar os arquivos de automação (GitHub Actions) para incluir um código malicioso de segunda etapa.

Invasão via código e tarefas ocultas

Para garantir a permanência no sistema do desenvolvedor, o malware insere três arquivos nos projetos afetados. Um deles configura o editor de código Visual Studio Code para rodar tarefas automáticas sempre que a pasta for aberta. Essa instrução aciona um arquivo com extensão de fonte de texto que, na verdade, contém um vírus focado em varrer o sistema em busca de chaves da Amazon Web Services, credenciais de acesso ao Git, tokens de gerenciamento de pacotes e acessos para ferramentas de inteligência artificial como o Claude e o Google Gemini.

Segundo a OpenSourceMalware, essa mudança de tática ocorreu após o GitHub começar a impedir a execução do fluxo de trabalho malicioso em 9 de outubro. Seis dias depois, o grupo implementou uma segunda etapa que não depende de um servidor de execução, demonstrando adaptação aos controles da plataforma.

Alvos antigos e falhas na execução

A análise da OpenSourceMalware revelou que a maioria das páginas afetadas estava sem atualizações há tempos, com 65 repositórios sem alterações há mais de um ano. Isso sugere que a invasão ocorre por meio de ferramentas automatizadas que atacam qualquer projeto ao qual o usuário tenha permissão de escrita, sem selecionar alvos específicos.

Apesar da complexidade das táticas, a execução das ferramentas enviadas aos desenvolvedores apresenta falhas técnicas. Segundo Jenn Gile, cofundadora da OpenSourceMalware, o trabalho sugere pouca experiência do operador, com filtros de variáveis de ambiente que deixam passar a maioria das chaves de API e um único endereço de IP responsável por diversas etapas do roubo de dados.

Para evitar prejuízos, os pesquisadores recomendam que os desenvolvedores revoguem todas as autorizações de acesso e tokens a partir de um dispositivo seguro, troquem senhas, revisem os projetos cadastrados e alterem todas as chaves de acesso a serviços de nuvem que estavam salvas nas automações dos repositórios.