Pesquisadores de cibersegurança revelaram uma campanha em larga escala que transformou repositórios comprometidos do GitHub em uma infraestrutura de ataque distribuída, criada para atingir instâncias do cPanel e do WebHost Manager (WHM).
A atividade envolve versões de desenvolvimento maliciosas no Packagist, espalhadas por 10 pacotes associados ao desenvolvedor legítimo de PHP e DevOps dinushchathurya, entre 12 e 13 de julho de 2026.
A lista dos pacotes afetados é a seguinte:
dinushchathurya/nationality-list
dinushchathurya/srilankan-divisional-secretariats
dinushchathurya/srilankan-gn-divisions
dinushchathurya/srilankan-local-authorities
dinushchathurya/srilankan-mobile-number-validator
dinushchatura/srilankan-state-hospitals
dinushchathurya/srilankan-universities
dinushchathurya/uk-mobile-number-validator
dinushchathurya/uk-post-code
dinushchathurya/websmslk
Segundo a Socket, as bibliotecas em PHP não eram o caminho de execução.
Os atacantes adicionaram dezenas de fluxos de trabalho maliciosos do GitHub Actions aos repositórios de código-fonte do mantenedor comprometido.
Esses fluxos de trabalho, quando acionados por um envio ao repositório ou por execução manual, iniciam executores hospedados pelo GitHub, baixam um payload para Linux a partir de uma infraestrutura controlada pelos atacantes e fazem uma varredura em busca de servidores cPanel e WHM vulneráveis ao
CVE-2026-41940
, uma falha de bypass de autenticação que permite a invasores remotos obter controle privilegiado do painel.
O payload, por sua vez, tenta contornar a autenticação e, em seguida, coleta credenciais, arquivos de configuração, variáveis de ambiente, acesso a bancos de dados, materiais de SSH, tokens do Git, chaves de cloud, credenciais de serviços de pagamento e outros segredos valiosos.
Ainda não está claro de que forma o threat actor obteve acesso não autorizado à conta do desenvolvedor e conseguiu enviar alterações maliciosas aos repositórios.
Entre 12 e 13 de julho de 2026, o Packagist sincronizou automaticamente versões de desenvolvimento maliciosas em todos os 10 pacotes associados ao desenvolvedor comprometido, refletindo as mudanças que o threat actor enviou aos repositórios no GitHub, disse o pesquisador da Socket, Kirill Boychenko.
Cada uma das versões de desenvolvimento afetadas contém entre 55 e 62 arquivos maliciosos de fluxo de trabalho do GitHub Actions, totalizando 583 arquivos em todas as 10 versões dos pacotes.
Os arquivos de automação em YAML iniciam executores hospedados pelo GitHub quando o repositório comprometido recebe um envio ou quando o fluxo de trabalho é acionado manualmente, identificam a arquitetura do processador de cada executor, como sistemas x86 de 32 bits, x86 de 64 bits, ARM de 32 bits e ARM de 64 bits, e baixam um payload compatível para Linux de varredura e exploração a partir do servidor de command and control (C2) em 43.228.157[.]68.
Os fluxos de trabalho reportam continuamente o status de execução ao threat actor e enviam os resultados coletados por novas requisições HTTP POST, acrescentou Boychenko.
Os arquivos de saída monitorados incluem credenciais da AWS, tokens do GitHub e do GitLab, credenciais da OpenAI e da Google API, chaves da Stripe, credenciais da SendGrid e da Mailgun, informações de banco de dados, dados de SSH, remotos do Git e resultados de execução remota de código.
Ao contrário de outras campanhas tradicionais de pacotes maliciosos, a atividade mais recente não depende dos sistemas dos usuários do pacote.
Em vez disso, a varredura e a exploração acontecem nos executores hospedados pelo GitHub, iniciados a partir de repositórios comprometidos, o que significa que o GitHub Actions está sendo abusado para sustentar uma campanha de exploração voltada a localizar servidores cPanel e WHM vulneráveis.
Há sinais de que a operação é mais ampla e vai além de um único mantenedor de PHP.
Cerca de 6.100 arquivos de fluxo de trabalho hospedados no GitHub contêm um identificador DNSHook único, “f5b0b742-240a-4811-8a5b-b0ba6060685d”.
A Socket descreveu a campanha como um caso de “operação oportunista de roubo de credenciais no lado do servidor”, permitindo que os atacantes aproveitem os dados roubados em comprometimentos posteriores ou em caminhos de monetização.
A divulgação ocorre no momento em que a empresa de segurança de aplicações também detalhou uma campanha codinome Operation Muck and Load, que abusa de uma rede de 200 repositórios do GitHub, distribuídos por 190 contas, para entregar malware para Windows, incluindo infostealers, loaders, downloaders, droppers, spyware, trojans de acesso remoto e mineradores da criptomoeda Monero.
Os repositórios, alguns disfarçados de utilitários para desenvolvedores e integrações com carteiras de criptomoedas, escondem uma cadeia de ataque em múltiplas etapas que baixa um script em PowerShell responsável por consultar diversos dead drop sites, como Pastebin, Rlim, Telegram, YouTube, Instagram, Google Docs e Gitcode, para buscar um arquivo compactado protegido por senha hospedado no GitHub.
É a partir dele que o payload principal é extraído e executado.
Os repositórios do GitHub nesse cluster não eram apenas iscas, disse Boychenko.
Vários também funcionavam como repositórios portadores de malware, incorporando payloads maliciosos diretamente na árvore de código ou entregando-os por meio dos ativos de release do GitHub.
A atividade compartilha sobreposições táticas com ações observadas anteriormente e associadas ao endereço de e-mail “ischhfd83@rambler[.]ru”, rastreado pela Trend Micro sob o nome Water Curse.
Acredita-se que o cluster opere uma rede fantasma baseada no GitHub para redirecionar usuários desavisados a páginas da plataforma que hospedam payloads contaminados com malware.
Esse modelo oferece aos threat actors uma forma escalável de transformar a descoberta comum de software em estágio de malware, especialmente quando as iscas miram usuários já inclinados a executar ferramentas não confiáveis, como automação para criptomoedas, utilitários de carteiras, cheats para jogos, crypters e ferramentas ofensivas, disse a Socket.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...