- Автор темы
- #1
Исследователи из компании Veracode обнаружили вредоносный npm-пакет @acitons/artifact, который маскировался под легитимный @actions/artifact и был нацелен на репозитории самого GitHub. Однако позже выяснилось, что специалисты заметили не реальную атаку, а внутренние учения Red Team компании.
Пакет был загружен в npm 29 октября 2025 года и быстро набрал популярность — он был скачан 47 405 раз, из которых 31 398 пришлись на последнюю неделю. Исследователи пишут, что было шесть вредоносных версий пакета (с 4.0.12 по 4.0.17), которые включали postinstall-хук для автоматической загрузки и запуска малвари. Однако во время изучения атаки, учетная запись blakesdev, от лица которой был загружен acitons/artifact, успела удалить все вредоносные версии — в публичном доступе осталась только «чистая» версия 4.0.10.
Специалисты отмечают, что нашли еще один подозрительный пакет (8jfiesaf83) с похожей логикой. Он уже удален из npm, но перед этим его успели скачать 1016 раз.
Упомянутый выше postinstall-скрипт скачивал бинарник harness из уже удаленного GitHub-аккаунта. Это обфусцированный шелл-скрипт с таймером: если системная дата была установлена на 6 ноября 2025 года и позже, он не запускался.
Скрипт предназначался для запуска JavaScript-файла (verify.js), который проверял окружение жертвы на наличие переменных GITHUB_ (переменные окружения, характерные для GitHub Actions) и похищал данные, заливая токены доступа GitHub Actions в зашифрованном виде на поддомен app.github.dev. При этом дальнейшее расследование показало, что малварь была нацелена исключительно на репозитории организации GitHub, что свидетельствовало о таргетированной атаке. Скрипт проверял GITHUB_REPOSITORY_OWNER и завершался, если это был не GitHub.
Исследователи предположили, что наблюдают некое тестирование, и оказались совершенно правы. Правда, эксперименты проводили совсем не хакеры.
Как сообщили СМИ представители GitHub, обнаруженные пакеты были частью «строго контролируемых учений», которые проводила внутренняя Red Team компании.
Пакет был загружен в npm 29 октября 2025 года и быстро набрал популярность — он был скачан 47 405 раз, из которых 31 398 пришлись на последнюю неделю. Исследователи пишут, что было шесть вредоносных версий пакета (с 4.0.12 по 4.0.17), которые включали postinstall-хук для автоматической загрузки и запуска малвари. Однако во время изучения атаки, учетная запись blakesdev, от лица которой был загружен acitons/artifact, успела удалить все вредоносные версии — в публичном доступе осталась только «чистая» версия 4.0.10.
Специалисты отмечают, что нашли еще один подозрительный пакет (8jfiesaf83) с похожей логикой. Он уже удален из npm, но перед этим его успели скачать 1016 раз.
Упомянутый выше postinstall-скрипт скачивал бинарник harness из уже удаленного GitHub-аккаунта. Это обфусцированный шелл-скрипт с таймером: если системная дата была установлена на 6 ноября 2025 года и позже, он не запускался.
Скрипт предназначался для запуска JavaScript-файла (verify.js), который проверял окружение жертвы на наличие переменных GITHUB_ (переменные окружения, характерные для GitHub Actions) и похищал данные, заливая токены доступа GitHub Actions в зашифрованном виде на поддомен app.github.dev. При этом дальнейшее расследование показало, что малварь была нацелена исключительно на репозитории организации GitHub, что свидетельствовало о таргетированной атаке. Скрипт проверял GITHUB_REPOSITORY_OWNER и завершался, если это был не GitHub.
Исследователи предположили, что наблюдают некое тестирование, и оказались совершенно правы. Правда, эксперименты проводили совсем не хакеры.
Как сообщили СМИ представители GitHub, обнаруженные пакеты были частью «строго контролируемых учений», которые проводила внутренняя Red Team компании.
Тот факт, что «учебная» малварь GitHub попала в публичный доступ на npm и в итоге набрала почти 50 000 загрузок, поднимает вопросы о границах и этичности подобных учений.