Um grupo de cibercriminosos atualizou um ataque conhecido como “GhostAction” para infectar programadores e roubar dados confidenciais diretamente dos computadores. A nova fase do golpe usa e-mails falsos em nome do GitHub para atrair desenvolvedores de softwares de código aberto e instala um arquivo malicioso disfarçado de fonte de texto em pelo menos 94 repositórios da plataforma. A investida foi identificada pela empresa de cibersegurança OpenSourceMalware.
A estratégia começa com uma mensagem de phishing que simula um alerta oficial do serviço. O e-mail usa o assunto de uma nova tentativa de login vinda de Moscou, na Rússia, e pede para que o usuário clique em um link para proteger a conta. Ao acessar o endereço, a vítima é levada para uma página falsa de login que intercepta senhas e códigos de autenticação de dois fatores.
A página clonada aprova de forma silenciosa o acesso a uma aplicação que concede permissões amplas ao invasor. Assim, os criminosos alteram os arquivos de automação (GitHub Actions) para incluir um código malicioso de segunda etapa que permanece no computador, mesmo que a automação clonada seja removida da plataforma.
Invasão via código e tarefas ocultas
Para garantir a permanência no sistema do desenvolvedor, o malware insere três arquivos nos projetos afetados. Um deles configura o editor de código Visual Studio Code para rodar tarefas automáticas sempre que a pasta for aberta.
