Auf den Punkt: Angreifer nutzen verwaiste und kompromittierte GitHub-Konten, um systematisch Unternehmensstrukturen auszuspähen und teilweise auch private Code-Repositories zu exfiltrieren.
Datadog Security Labs hat mehrere koordinierte Kampagnen identifiziert, die mithilfe inaktiver GitHub-Konten und kompromittierter Token systematisch Unternehmensstrukturen auskundschaften und teilweise auch private Repositories klonen.
Die Angreifer nutzen automatisierte Scraping-Tools mit unauffälligen Benutzerkennungen, darunter sogenannte Ghost-Konten, die teilweise seit zwei bis fünf Jahren inaktiv waren, sowie kompromittierte OAuth-Token und persönliche Zugriffstoken (PATs) von echten Nutzern. Diese Strategie zielt darauf ab, Sicherheitsmechanismen zu umgehen, die neu registrierte Konten bei plötzlicher hoher Aktivität blockieren würden. Da wesentliche Teile der GitHub-API auch ohne Authentifizierung erreichbar sind, fügen sich die Abfragen unauffällig in den regulären Datenverkehr ein.
Die Kampagnen erfassen öffentliche Repositories, Follower-Listen, Gists, Organisationsmitgliedschaften und führen GraphQL-Abfragen gegen öffentliche Objekte durch. Auf diese Weise erstellen die Angreifer detaillierte Profile der Entwicklungsaktivitäten eines Unternehmens. Die einzelnen Anfragen sind in automatisierten Protokollen kaum nachvollziehbar, da sie saubere Authentifizierungen nutzen oder auf freien Endpunkten zugreifen. Die Bedrohung wird erst sichtbar, wenn koordinierte Kontogruppen über Wochen hinweg synchron die Infrastrukturen verschiedener Firmen systematisch abarbeiten.
In ausgewählten Fällen gelang es den Angreifern, über die ermittelten Daten und kompromittierten Token auch private Repositories vollständig zu klonen. Dies zeigt, dass die Kampagnen nicht nur bei Aufklärung bleiben, sondern schrittweise zum Kopieren interner Quellcodes übergehen können. Für CISOs ist dies ein Indiz dafür, dass GitHub-Zugriffskonten und Token als Angriffsvektoren auf Entwicklungsinfrastrukturen und intellektuelles Eigentum zu behandeln sind.
Quelle: www.it-daily.net · Erschienen 14. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.