Security · 19.10.2026
Die Akteure hinter den GhostAction-Angriffen haben ihre Taktik erweitert und schleusen nun getarnte Credential-Stealer über präparierte GitHub-Repositories und gefälschte Schriftarten ein.
Die Bedrohungsakteure hinter der sogenannten GhostAction-Kampagne haben ihre Angriffsvektoren signifikant ausgeweitet. Neben der Manipulation von GitHub-Actions-Workflows kompromittieren die Angreifer nun gezielt Open-Source-Projekte, um Entwickler mit Phishing-Methoden zu attackieren. In mindestens 94 GitHub-Repositories wurde ein Informationsdieb (Credential Stealer) platziert, der sich geschickt als harmlose Schriftartendatei tarnt.
Für Unternehmen im DACH-Raum stellt diese Entwicklung ein erhebliches Risiko dar, da moderne Softwareentwicklung stark auf Open-Source-Komponenten und Repositories angewiesen ist. Entwickler und Administratoren, die Drittanbieter-Code unkritisch in ihre Arbeitsumgebungen integrieren, riskieren den unbefugten Abfluss sensibler Daten. Da die Schadsoftware als Schriftart getarnt ist, kann sie herkömmliche signaturbasierte Antiviren-Scanner leichter umgehen. Ein erfolgreicher Angriff ermöglicht es den Tätern, Zugangsdaten, API-Schlüssel und andere geschäftskritische Informationen direkt von den Entwickler-Endpunkten zu entwenden, was nachgelagerte Angriffe auf die gesamte Software-Lieferkette zur Folge haben kann.
IT-Verantwortliche und Entwickler müssen umgehend Maßnahmen ergreifen, um die Integrität ihrer Entwicklungsumgebungen zu sichern:
Der GhostAction-Angriff verdeutlicht die anhaltende Gefahr durch Supply-Chain-Attacken im Open-Source-Sektor. Nur durch eine konsequente Überwachung von Abhängigkeiten und die Sensibilisierung von Entwicklungsteams lässt sich das Risiko solcher verdeckten Angriffe effektiv minimieren.
Quelle: The Hacker News