Was ist passiert?
Datadog Security Labs hat mehrere koordinierte Kampagnen identifiziert, bei denen Angreifer systematisch GitHub-Organisationen, Repositories und Benutzerkonten über die GitHub API ausspähen. Die Attackenten nutzen dafür Jahre alte „Ghost“-Accounts, kompromittierte OAuth-Token und persönliche Access-Tokens, um unentdeckt zu bleiben und ihre böswilligen Aktivitäten zu verschleiern.
Hintergrund & Bedeutung
Diese Reconnaissance-Kampagnen stellen eine erhebliche Bedrohung dar, da sie Angreifern ermöglichen, Unternehmensstrukturen auf GitHub zu kartographieren, ohne dabei Verdacht zu erregen. Durch die Nutzung automatisierter Scraping-Tools mit legitim wirkenden User-Agents können die Attackenten große Mengen an sensiblen Informationen sammeln – vom Code über Konfigurationsdateien bis hin zu internen Strukturen. Diese Daten dienen als Grundlage für gezielte Angriffe wie Supply-Chain-Attacken, Code-Injection oder Credential-Diebstahl.
Empfehlungen für IT-Teams
Sofortmaßnahmen:
- Überwachen Sie verdächtige API-Aktivitäten und implementieren Sie Rate-Limiting
- Deaktivieren Sie alte oder ungenuzte Personal Access Tokens und OAuth-Anwendungen regelmäßig
- Aktivieren Sie GitHub-Audit-Logs und analysieren Sie diese auf anomale Zugriffsmuster
- Beschränken Sie die Sichtbarkeit von Repositories auf das absolute Minimum
- Implementieren Sie Multi-Faktor-Authentifizierung (MFA) für alle GitHub-Accounts
- Überprüfen Sie Connected Applications und revozieren Sie verdächtige Zugriffe sofort
Fazit
Die Nutzung dormanter Accounts als Tarnung zeigt die Raffinesse moderner Reconnaissance-Kampagnen. Unternehmen müssen ihre GitHub-Sicherheit erheblich verstärken und API-Aktivitäten kontinuierlich überwachen.
Quelle: Original Artikel