LONDON (IT BOLTWISE) – Datadog Security Labs beschreibt Kampagnen, die mit über Jahre inaktiven GitHub-„Ghost“-Accounts und teils kompromittierten Tokens Unternehmensstrukturen per API systematisch kartieren. Dabei nutzen die Angreifer vor allem öffentliche Endpunkte und tarnen die Aktivitäten durch automatisierte Scanner-Tools und unauffällige Nutzeragenten. Besonders kritisch: In einzelnen Fällen gehen sie von der reinen Enumeration zur erfolgreichen Klonierung privater Repositories über. Für Unternehmen heißt das vor allem, Token-Risiken und Account-Hygiene als fortlaufenden Prozess zu behandeln.
Datadog Security Labs warnt vor mehreren sich überlappenden Kampagnen, die GitHub-Organisationen, Repositories und zugehörige Nutzerkonten mithilfe der GitHub API systematisch auflisten. Das Vorgehen zielt nicht auf „laute“ Fehlversuche, sondern auf eine schleichende Verfolgung von Unternehmensaktivitäten über viele Organisationen hinweg. Der Kern des Problems: Angreifer kombinieren automatisierte Scraping-Mechanismen mit über Jahre inaktiven Accounts („Ghost“-Accounts), die bereits im System vorhanden sind und dadurch weniger verdächtig wirken als neu erstellte Identitäten. Ergänzend werden manchmal kompromittierte OAuth- oder Personal-Access-Tokens (PATs) genutzt, die aus legitimen Arbeitsabläufen stammen.
Technisch bemerkenswert ist, wie stark das Mapping auf öffentlichen Daten aufbaut. Ein großer Teil der GitHub-API ist ohne Authentifizierung erreichbar, sodass Abfragen mit einer Mischung aus „keinerlei Login“ und sauberem Token-Handling funktionieren können. Laut Datadog setzen die Betreiber auf Scanner-Tools mit benutzerdefinierten oder „legitim klingenden“ User-Agents. Die „Ghost“-Accounts wurden dabei typischerweise vor zwei bis fünf Jahren angelegt und dann lange deaktiviert gelassen, bevor sie wieder aktiviert werden, um API-Verkehr über mehrere Organisationen zu erzeugen. Damit ähnelt das Muster eher normalem Integrations- oder Monitoring-Traffic als dem klassischen Reconnaissance-Verhalten.
Zu den konkreten enumerierten Objekten zählen das Auflisten öffentlicher Repositories einer Organisation, das Durchlaufen von Nutzerlisten rund um Follower und Following sowie das Ermitteln von Gists, starred Repositories und Mitgliedschaften in Organisationen. Nutzen die Kampagnen GraphQL-Abfragen auf öffentlichen Objekten, was die Abfragen effizienter und zugleich schwerer zu klassifizieren machen kann, weil GraphQL-Requests oft weniger „wortwörtlich“ wirken als klassische REST-Enumeration. Das Ergebnis ist ein programmatisch verwertbares Profil der GitHub-bezogenen Aktivität: welche Projekte sichtbar sind, wer daran beteiligt ist, welche Beziehungen zwischen Konten existieren und welche Änderungen Nutzer typischerweise an welchen Repos anstoßen.
Für den Markt ist das vor allem deshalb relevant, weil Angriffe dieser Art in die Grauzone fallen, in der viele Sicherheitsprogramme eher Datenabfluss- oder Malware-Signale suchen. Einzelne Requests wirken in der Regel unauffällig, weil sie öffentliche Endpunkte treffen, ohne besondere Fehlerbilder auskommen und Erfolgscodes liefern. Die eigentliche Gefährlichkeit liegt im Aggregat: Wenn viele Konten synchronisiert arbeiten, über Wochen inkrementell iterieren und dabei ein Muster aus wiederkehrenden API-Calls aufbauen, steigt die Entdeckungswahrscheinlichkeit durch „klassische“ Schwellen nur langsam. Datadog beschreibt als Worst Case ein Szenario, in dem Akteure zunächst enumerieren und anschließend – nach dem Aufbau eines detaillierten Lagebilds – auf das Klonen privater Repositories übergehen.
Im Wettbewerb setzen Anbieter rund um GitHub-Absicherung typischerweise auf kombinierte Kontrollen aus Identity- und Token-Schutz, Verhaltenssignalen sowie erhöhtem Monitoring für ungewöhnliche API-Nutzung. Besonders relevant ist hier das Zusammenspiel aus GitHub Advanced Security, konfigurierbaren Security-Policies und dem betrieblichen Umgang mit PATs und OAuth-Tokens, die in Automation-Workflows häufig „nebenbei“ entstehen. Während neue Scrapingversuche häufig an Rate Limits oder Anomalien scheitern, können ältere inaktive Accounts genau diese Schutzwirkung unterlaufen, weil sie historisch bereits als „bekanntes“ Objekt im System existieren. Branchenbeobachter erwarten deshalb, dass Security-Teams künftig stärker auf Token-Leaks, Zugriffsketten und Aktivitätskorrelation über längere Zeitfenster fokussieren.
Historisch betrachtet ist Enumeration über öffentliche APIs kein neues Muster; neu ist vor allem die Kombination aus langlebigen Identitäten, präzise getakteten API-Trafficmustern und der Flexibilität von GraphQL. Schon früher konnten Angreifer Organisationen kartieren, etwa durch das Sammeln sichtbarer Repositories, Issues oder Commit-Metadaten. Der Schritt von „Beobachten“ zu „gezieltem Zugriff“ wird aber dann möglich, wenn Tokens kompromittiert sind oder Privatrepos durch nachgelagerte Schritte erreichbar werden. Datadog bestätigt den Datenzugriff in einzelnen Fällen, bei denen private Repositories innerhalb einer Organisation geklont wurden. Das zeigt: Schon ein scheinbar rein informatives Recon kann in der Summe zur Angriffsgrundlage werden.
Für Unternehmen folgt daraus ein klarer operativer Schwerpunkt. Erstens sollten PATs und OAuth-Zugriffe konsequent als „besitzbare“ Sicherheitsartefakte behandelt werden: kurze Laufzeiten, regelmäßige Rotation und das Entfernen unnötiger Rechte sind oft effektiver als reine Monitoring-Regeln. Zweitens muss Account-Hygiene in die Prozesse: inaktive Konten prüfen, deren Berechtigungen reduzieren oder deaktivieren, sowie Ghost-ähnliche Identitäten als Risikoobjekte betrachten. Drittens sollten Security-Teams API-Nutzung nicht nur pro Request, sondern als zeitlich korrelierten Fluss auswerten – insbesondere, wenn mehrere Konten über mehrere Organisationen hinweg parallel arbeiten. Das hilft, den „Aggregate“-Effekt zu erkennen, den Datadog als Hauptproblem beschreibt.
Aus regulatorischer und Datenschutz-Sicht berührt das Thema vor allem den Umgang mit personenbezogenen Metadaten, die bei GitHub-Enumeration indirekt mit erhoben werden können, etwa über Mitgliedschaften und Beziehungsinformationen zwischen Konten. Auch wenn viele Endpunkte öffentlich sind, sollten Unternehmen prüfen, wie die Datenverwendung intern dokumentiert ist und ob Zugriff auf personenbezogene Informationen durch Drittparteien oder Tools in den Governance-Rahmen passt. Für die Zukunft ist damit zu rechnen, dass Angreifer noch stärker auf legitime Integrationsmuster ausweichen, um an Auth-Nebenwirkungen zu sparen. Für Entwickler und Security-Teams bedeutet das: Die nächsten Verbesserungen werden weniger „Einmalregel“ sein und mehr ein dauerhaftes Modell aus Token-Management, Verhaltensanalyse und abgestimmter Rechtestruktur.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Dormante GitHub-Accounts erleichtern Angreifern die stille Aufklärung von Unternehmensstrukturen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Dormante GitHub-Accounts erleichtern Angreifern die stille Aufklärung von Unternehmensstrukturen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Dormante GitHub-Accounts erleichtern Angreifern die stille Aufklärung von Unternehmensstrukturen« bei Google Deutschland suchen, bei Bing oder Google News!