GhostAction nasconde un malware nei font: GitHub sotto attacco

GhostAction amplia la propria campagna contro gli sviluppatori, introducendo una tecnica che sfrutta file apparentemente innocui per sottrarre informazioni riservate dai computer delle vittime.

L’operazione, documentata da GBHackers sulla base delle analisi di ricercatori di sicurezza, prende di mira gli ambienti di sviluppo e sfrutta configurazioni di Visual Studio Code per avviare codice malevolo senza attirare immediatamente l’attenzione.

Il dettaglio più insidioso è il travestimento del programma, presentato come una risorsa grafica utilizzata nei siti web. In questo modo, un elemento che sembra appartenere alla normale struttura di un progetto può diventare il punto di ingresso per un furto di credenziali. Il caso evidenzia i rischi legati alla fiducia riposta nei repository condivisi e negli strumenti quotidiani di programmazione.

GhostAction sfrutta falsi font e attività di VS Code

Secondo l’analisi, la campagna coinvolge 94 repository GitHub riconducibili a 66 proprietari. Il codice è stato confermato nei repository accessibili agli analisti, mentre gli altri non erano disponibili per una verifica diretta. L’indagine è stata condotta da Jenn Gile, ricercatrice di OpenSourceMalware, dopo che il ricercatore Thijs Xhaflaire di Jamf Threat Labs aveva individuato un gruppo di attività sospette.

Il meccanismo si basa su un file denominato fa-solid-400.woff2, collocato in una cartella che richiama le risorse grafiche del progetto. Nonostante l’estensione tipica di un font, il contenuto è costituito da codice JavaScript eseguito attraverso Node.js. Il collegamento con Visual Studio Code avviene tramite il file .vscode/tasks.json, nel quale viene definita un’attività chiamata eslint-check.

La configurazione prevede l’avvio automatico dell’attività quando viene aperta la cartella del progetto. Le impostazioni utilizzate nascondono inoltre la normale visualizzazione del terminale, rendendo meno evidente l’esecuzione. Questo comportamento, tuttavia, non significa che aprire qualsiasi repository compromesso provochi necessariamente un’infezione: l’esecuzione dipende anche dalle condizioni di attendibilità dell’ambiente e dalle autorizzazioni relative alle attività automatiche.

Quali credenziali vengono sottratte e come intervenire

Una volta avviato, il programma raccoglie dati identificativi della macchina, variabili d’ambiente e file contenenti informazioni di autenticazione.

Tra gli obiettivi figurano credenziali AWS, token GitHub, chiavi SSH, accessi a registri software e configurazioni associate a servizi cloud e strumenti di sviluppo, compresi Claude e Gemini.

I dati vengono trasmessi a un’infrastruttura remota tramite richieste HTTP, mentre un meccanismo basato su cron può mantenere un accesso persistente sui sistemi compatibili. Quest’ultimo elemento rende insufficiente la semplice eliminazione dei file sospetti dal repository.

Per affrontare un’eventuale compromissione, gli esperti raccomandano di revocare gli accessi GitHub sottratti, esaminare tutti i repository raggiungibili dagli account coinvolti e verificare la presenza di attività o processi non autorizzati. Le credenziali esposte devono essere sostituite da un dispositivo pulito, dopo aver contenuto l’incidente.

Il caso GhostAction dimostra che la sicurezza della catena di sviluppo non dipende soltanto dalla reputazione di una piattaforma o dalla legittimità apparente dei suoi componenti. Anche la configurazione degli strumenti locali e la provenienza del codice devono rientrare nelle verifiche abituali. Per i team software, integrare questi controlli nel processo di revisione significa ridurre il rischio che un progetto apparentemente affidabile diventi un veicolo per compromettere account, infrastrutture e servizi collegati.