پژوهشگران امنیت سایبری از شناسایی یک کمپین گسترده خبر داده‌اند که در آن مهاجمان با نفوذ به مخازن گیت‌هاب، از گیت‌هاب اکشنز (GitHub Actions) برای ایجاد زیرساختی توزیع‌شده به‌منظور اسکن، اکسپلویت و هدف قرار دادن سرورهای آسیب‌پذیر cPanel و WHM سوءاستفاده کرده‌اند. بررسی‌ها نشان می‌دهد این مهاجمان پس از دور زدن سازوکار احراز هویت، به سرقت اعتبارنامه‌ها، کلیدهای API، داده‌های پایگاه داده و سایر اطلاعات حساس پرداخته‌اند؛ موضوعی که نشان می‌دهد گیت‌هاب اکشنز در صورت نفوذ به مخازن توسعه، می‌تواند به بستری برای اجرای حملات سایبری در مقیاس گسترده تبدیل شود.
سوءاستفاده از گیت‌هاب اکشنز برای اجرای حملات علیه سرورهای cPanel و WHM
بررسی پژوهشگران نشان می‌دهد در جریان این کمپین بین 12 تا 13 جولای 2026، نسخه‌های توسعه آلوده 10 پکیج در مخزن Packagist منتشر شدند. تمامی این پکیج‌ها به یک توسعه‌دهنده معتبر حوزه PHP و DevOps با نام dinushchathurya تعلق داشتند و تغییرات مخرب در مخازن کد منبع آن‌ها اعمال شده بود.
پکیج‌های آلوده‌شده عبارتند از:
- dinushchathurya/nationality-list
- dinushchathurya/srilankan-divisional-secretariats
- dinushchathurya/srilankan-gn-divisions
- dinushchathurya/srilankan-local-authorities
- dinushchathurya/srilankan-mobile-number-validator
- dinushchathurya/srilankan-state-hospitals
- dinushchathurya/srilankan-universities
- dinushchathurya/uk-mobile-number-validator
- dinushchathurya/uk-post-code
- dinushchathurya/websmslk
شرکت Socket تأکید کرد که کتابخانه‌های PHP در اجرای این حمله نقشی نداشتند. در عوض، مهاجمان با تزریق ده‌ها گردش‌کار (Workflow) مخرب گیت‌هاب اکشنز به مخازن کد منبع توسعه‌دهنده، زیرساخت اجرای عملیات خود را ایجاد کرده بودند.
به گفته پژوهشگران، این گردش‌کارها پس از هر بار ثبت تغییرات در مخزن یا اجرای دستی، رانرهای میزبانی‌شده گیت‌هاب (GitHub-hosted Runners) را راه‌اندازی می‌کنند. سپس با دریافت یک پیلود لینوکسی از زیرساخت تحت کنترل مهاجمان، سرورهای cPanel و WHM را اسکن می‌کنند تا سامانه‌های آسیب‌پذیر در برابر CVE-2026-41940 را شناسایی کنند. این آسیب‌پذیری از نوع دور زدن احراز هویت (Authentication Bypass) است و به مهاجمان از راه دور اجازه می‌دهد بدون طی کردن فرآیند احراز هویت، کنترل پنل مدیریتی را با سطح دسترسی بالا در اختیار بگیرند.
این پیلود پس از اجرا، تلاش می‌کند سازوکار احراز هویت را دور بزند و در صورت موفقیت، اعتبارنامه‌ها، فایل‌های پیکربندی، متغیرهای محیطی، اطلاعات دسترسی به پایگاه داده، کلیدها و داده‌های SSH، توکن‌های گیت (Git)، کلیدهای سرویس‌های ابری، اطلاعات احراز هویت سرویس‌های پرداخت و سایر اطلاعات حساس را جمع‌آوری می‌کند.
به گفته پژوهشگران، هنوز مشخص نیست عامل تهدید از چه طریقی به حساب کاربری این توسعه‌دهنده نفوذ کرده و تغییرات مخرب را در مخازن کد منبع اعمال کرده است.
انتشار خودکار نسخه‌های آلوده در Packagist
به گفته پژوهشگران شرکت Socket، بین 12 تا 13 جولای 2026، مخزن Packagist به‌صورت خودکار نسخه‌های توسعه آلوده هر 10 پکیج متعلق به این توسعه‌دهنده را منتشر کرد. این نسخه‌ها حاوی تغییرات مخربی بودند که عامل تهدید پس از دستکاری مخازن گیت‌هاب توسعه‌دهنده به آن‌ها اضافه کرده بود.
همچنین بررسی‌ها نشان داد هر یک از این نسخه‌های آلوده شامل 55 تا 62 گردش‌کار مخرب گیت‌هاب اکشنز بودند؛ به‌طوری‌که در مجموع 583 فایل مخرب در میان این 10 پکیج شناسایی شدند.
نحوه عملکرد گردش‌کارهای مخرب گیت‌هاب اکشنز
بر اساس یافته‌های پژوهشگران، این فایل‌های خودکارسازی YAML پس از هر بار ثبت تغییرات در مخزن یا اجرای دستی، رانرهای میزبانی‌شده گیت‌هاب را راه‌اندازی می‌کنند. این رانرها ابتدا معماری پردازنده سیستم، از جمله x86 و ARM در نسخه‌های 32 و 64 بیتی را شناسایی کرده و سپس متناسب با آن، یک پیلود لینوکسی را از سرور فرماندهی و کنترل (C2) به آدرس 43.228.157[.]68 دریافت و اجرا می‌کنند.
به گفته پژوهشگران، این گردش‌کارها در تمام مراحل حمله، وضعیت اجرای عملیات را به عامل تهدید گزارش کرده و داده‌های جمع‌آوری‌شده را از طریق درخواست‌های HTTP POST به زیرساخت مهاجمان ارسال می‌کنند.
اطلاعاتی که در این فرآیند استخراج می‌شود، شامل اعتبارنامه‌های AWS، توکن‌های گیت‌هاب و گیت‌لب (GitLab)، اطلاعات احراز هویت API ، سرویس‌های OpenAI و گوگل ، کلیدهای Stripe، اطلاعات سرویس‌های SendGrid و Mailgun، اطلاعات پایگاه داده، داده‌های SSH، آدرس‌های راه‌دور گیت و حتی نتایج اجرای کد از راه دور (RCE) است. به گفته پژوهشگران، این یافته‌ها نشان می‌دهد مهاجمان در این کمپین از گیت‌هاب اکشنز به‌عنوان بستری برای اجرای حملات و سرقت گسترده اطلاعات حساس استفاده کرده‌اند.
نشانه‌هایی از یک کمپین گسترده‌تر
پژوهشگران تأکید کردند این کمپین، برخلاف بسیاری از حملات مبتنی بر پکیج‌های آلوده، به اجرای کد روی سیستم کاربران وابسته نیست. در عوض، مهاجمان عملیات اسکن و سوءاستفاده از آسیب‌پذیری‌ها را از طریق رانرهای میزبانی‌شده گیت‌هاب که از مخازن آلوده راه‌اندازی می‌شوند، اجرا می‌کنند. به گفته آن‌ها، این موضوع نشان می‌دهد مهاجمان از گیت‌هاب اکشنز به‌عنوان زیرساختی برای اجرای حملات و شناسایی سرورهای آسیب‌پذیر cPanel و WHM استفاده کرده‌اند.
همچنین بررسی‌ها نشان می‌دهد این فعالیت به نفوذ در مخزن یک توسعه‌دهنده محدود نبوده است. پژوهشگران حدود 6 هزار و 100 فایل گردش‌کار را در گیت‌هاب شناسایی کرده‌اند که همگی از یک شناسه DNSHook یکسان با مقدار f5b0b742-240a-4811-8a5b-b0ba6060685d استفاده می‌کنند. به اعتقاد پژوهشگران، این موضوع می‌تواند نشان‌دهنده وجود یک کمپین گسترده‌تر باشد که فراتر از این نمونه عمل می‌کند.
شرکت Socket این فعالیت را نمونه‌ای از یک عملیات فرصت‌طلبانه سرقت اعتبارنامه در سمت سرور توصیف کرده است؛ عملیاتی که به مهاجمان امکان می‌دهد از اعتبارنامه‌ها و اطلاعات سرقت‌شده برای نفوذهای بعدی یا کسب درآمد از طریق سوءاستفاده و فروش این داده‌ها استفاده کنند.
افشای کمپین جدید برای توزیع بدافزار از طریق گیت‌هاب
شرکت Socket هم‌زمان جزئیات کمپین دیگری با نام Operation Muck and Load را منتشر کرده است. در این عملیات، مهاجمان با سوءاستفاده از شبکه‌ای متشکل از 200 مخزن گیت‌هاب در 190 حساب کاربری، طیف گسترده‌ای از بدافزارهای ویندوزی را توزیع می‌کنند که شامل موارد زیر است:
- رباینده اطلاعات
- لودر
- دانلودر
- دراپر (Dropper)
- جاسوس‌افزار
- تروجان دسترسی از راه دور (RAT)
- ماینر ارز دیجیتال مونرو (Monero Cryptocurrency Miner)
بررسی‌های شرکت Socket نشان می‌دهد برخی از این مخازن خود را به‌جای ابزارهای توسعه یا ابزارهای یکپارچه‌سازی کیف پول‌های رمزارزی جا می‌زنند، اما در واقع یک زنجیره حمله چندمرحله‌ای را پنهان کرده‌اند. در این زنجیره، ابتدا یک اسکریپت پاورشل (PowerShell Script) اجرا می‌شود که با بررسی سرویس‌های دِد دراپ (Dead Drop) مانند Pastebin، Rlim، Telegram، YouTube، Instagram، Google Docs و Gitcode، آرشیو محافظت‌شده با رمز عبور را که روی گیت‌هاب میزبانی می‌شود، شناسایی و دریافت می‌کند. سپس پیلود اصلی از این آرشیو استخراج و اجرا می‌شود.
به گفته پژوهشگران این مخازن صرفاً برای فریب کاربران طراحی نشده‌اند؛ بلکه برخی از آن‌ها مستقیماً به‌عنوان مخازن توزیع بدافزار عمل می‌کنند و پیلودهای مخرب را یا در ساختار کد منبع (Source Tree) جاسازی کرده یا از طریق فایل‌های انتشار گیت‌هاب منتشر می‌کنند.
همچنین پژوهشگران اعلام کردند این فعالیت از نظر تاکتیک‌ها و شیوه اجرای حمله، شباهت قابل‌توجهی با کمپین Water Curse دارد؛ گروهی که شرکت ترند میکرو (Trend Micro) آن را با آدرس ایمیل ischhfd83@rambler[.]ru ردیابی کرده است. بر اساس ارزیابی این شرکت، این گروه با ایجاد یک شبکه مخفی مبتنی بر گیت‌هاب، کاربران را به صفحاتی هدایت می‌کند که حاوی پیلودهای آلوده به بدافزار هستند.
شرکت Socket در پایان هشدار داد این شیوه به مهاجمان امکان می‌دهد فرآیند عادی جست‌وجو و یافتن نرم‌افزار را به کانالی برای انتشار بدافزار تبدیل کنند؛ به‌ویژه زمانی که طعمه‌ها کاربرانی را هدف قرار می‌دهند که معمولاً ابزارهای غیرقابل‌اعتماد، از جمله موارد زیر را اجرا می‌کنند:
- ابزارهای خودکارسازی ارزهای دیجیتال
- ابزارهای مدیریت کیف پول ارزهای دیجیتال
- ابزارهای تقلب در بازی
- ابزارهای کریپتر (Crypter) برای مخفی‌سازی بدافزار
- سایر ابزارهای تهاجمی (Offensive Tools)
