GhostAction saldırısı GitHub ve GitLab benzeri alan adlarıyla genişliyor
Öne çıkanlar
- Saldırganlar iki geliştirici hesabını kötüye kullanarak 346 depoya zararlı Actions iş akışı yükledi.
- Yeni zararlı iş akışı, tüm git geçmişini tarayarak önceden silinmiş kimlik bilgilerini de topladı.
- Doğrudan saldırı sunucusuna yönlenen my-github.com gibi sahte alan adları tespit edildi.
OpenSourceMalware, GitHub kullanıcılarını hedef alan ve sürekli evrilen GhostAction tedarik zinciri saldırısında yeni bir aşama tespit etti. Saldırganlar, ele geçirdikleri geliştirici hesapları üzerinden yazma yetkisine sahip oldukları yüzlerce depoya doğrudan zararlı GitHub Actions iş akışları yüklüyor. Tetiklenen bu iş akışları, bulut erişim anahtarları ve paket dağıtım şifreleri gibi kritik kimlik bilgilerini toplayarak saldırganların kontrolündeki sunuculara aktarıyor.
Araştırmacılar, saldırı altyapısının GitHub ve GitLab platformlarını taklit eden iki yeni alan adıyla genişlediğini belirledi. 9 Ekim 2026 tarihinde kaydedilen my-github.com alan adının doğrudan aktif GhostAction veri toplama sunucusuna yönlendiği ve joker DNS kaydı barındırdığı kaydedildi. 22 Eylül 2026 tarihinde kaydedilen my-gitlab.com alan adının ise Hong Kong merkezli bir sunucuda GitLab örneği barındırdığı, henüz ortak sahiplik kanıtlanmasa da olası geliştirici odaklı oltalama riskleri için izlendiği aktarıldı.
Socket ve StepSecurity tarafından yapılan analizler, iki hesabın ele geçirilmesiyle 346 deponun etkilendiği toplu bir yayılma dalgasını ortaya çıkardı. Güncellenen zararlı iş akışı, yalnızca GitHub Actions sırlarını çalmakla kalmıyor, aynı zamanda tüm git geçmişini tarayarak geçmişte silinmiş kimlik bilgilerini de arıyor. Güvenlik uzmanları, zararlı dosyayı depodan kaldırmanın çalınan şifreleri geçersiz kılmadığını belirterek tüm kimlik bilgilerinin hızla yenilenmesi gerektiğini bildirdi.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.