Der Megalodon greift GitHub an und infiziert mehr als 5 500 Repositories mit Malware

Cyberangriff auf GitHub: Schadsoftware‑Applikation Megalodon infiziert Tausende von Repositories

*Datum des Ereignisses:* Montag, 18 Mai

*Ziel des Angriffs:* Entwicklungsplattform GitHub

*Ausmaß der Betroffenheit:* mehr als 5 500 Repositorys

Was geschah?
In etwa sechs Stunden am 18. Mai fügte die Schadsoftware‑Applikation Megalodon „schädliche“ Commits zu über 5 561 Repositorys auf GitHub hinzu. Der Besitzer eines dieser Projekte startet bei Einbindung eines solchen Commits automatisch schädlichen Code in den CI/CD‑Servern (Continuous Integration / Continuous Deployment). Dadurch können Angreifer die Software schnell innerhalb der Projektinfrastruktur verbreiten.

Wie funktioniert Megalodon?
1. Diebstahl von CI/CD‑Anmeldedaten

- AWS‑Geheimschlüssel, Google Cloud‑Tokens und Azure

- Metadaten von Instanzen cloudbasierter Anbieter

- Private SSH‑Schlüssel, Docker/Kubernetes‑Konfigurationen

- Vault‑Tokens, Terraform‑Anmeldedaten

2. Scannen des Quellcodes

- Nutzt über 30 reguläre Ausdrücke zur Suche versteckter Tokens und Schlüssel.

3. Erlangung von GitHub‑Tokens

- Einschließlich Authentifizierungs‑Tokens bei Cloud‑Anbietern und Bitbucket, sodass Angreifer sich als Entwickler ausgeben und Zugriff auf Cloud‑Services erhalten können.

Wo erstmals entdeckt?
Der schädliche Code tauchte in der Open‑Source-Plattform Tiledesk – einem System für Online‑Chats und Chatbots – auf.

- Der Projektadministrator veröffentlichte eine „saubere“ Version 2.18.5, genehmigte jedoch anschließend Versionen von 2.18.6 (19 Mai) bis 2.18.12 (21 Mai), die Hintertüren enthielten.

Verbindung zu Hackergruppe
- Ähnliche Muster nutzt die Gruppe TeamPCP.

- Es gibt jedoch keine direkte Bestätigung ihrer Beteiligung an der Megalodon‑Kampagne.

- TeamPCP kündigte einen Wettbewerb für Lieferkettenangriffe an, bei dem Teilnehmer öffentliche Verschlüsselungs­schlüssel in den Code einfügen mussten; der Schöpfer von Megalodon ist vermutlich keiner davon.

Verfolgung der Aktivität
Forscher verknüpften die Aktivitäten des schädlichen Codes mit zwei E‑Mail‑Adressen.

- Mit deren Hilfe wurden Commits in 5 561 Repositorys gesendet.

- Alle Änderungen erschienen am 18. Mai innerhalb von etwas mehr als sechs Stunden.

Ergebnisse
Regelmäßige GitHub‑Hacks bedrohen die Sicherheit jedes Unternehmens, selbst wenn dessen Repositorys privat sind. Schadprogramme dringen weiterhin in Infrastrukturen ein und es ist bislang nicht gelungen, ihre Verbreitung vollständig zu stoppen.