LONDON (IT BOLTWISE) – Eine groß angelegte Kampagne missbraucht kompromittierte Packagist-Paketquellen und stößt anschließend Scans sowie Ausnutzungen gegen cPanel- und WHM-Server an. Der Dreh: GitHub Actions wird als Laufzeit- und Infrastruktur-Schicht verwendet, sodass die eigentliche Kompromittierung serverseitig auf GitHub-Hosted Runners statt auf Zielsystemen startet. Laut Analyse sind zehn betroffene Pakete beteiligt, wobei pro Paket dutzende schädliche Workflow-Dateien vorkommen. Angreifer zielen dabei auf eine Authentifizierungsumgehung (CVE-2026-41940) und sammeln anschließend umfangreiche Secrets ein.
In dieser Kampagne wird das typische Muster von Supply-Chain-Angriffen erweitert: Nicht die Paketnutzer führen die schädliche Logik lokal aus, sondern die Angreifer lassen die Ausführung auf GitHub-gehosteten Runnnern starten. Dadurch verschiebt sich der Fokus der Verteidigung. Statt nur darauf zu achten, ob auf Clients oder Build-Systemen manipulierte Abhängigkeiten auftauchen, müssen Security-Teams die Interaktion zwischen Paketregistern wie Packagist und Automationspipelines wie GitHub Actions enger überwachen. Genau dieser Mechanismus steht im Mittelpunkt der aktuellen Beobachtung, die kompromittierte Repositories als verteilte Angriffsinfrastruktur nutzt.
Technisch setzt der Angriff bei einem PHP- und DevOps-Entwickler an, dessen Packagist-Entwicklerversionen zwischen dem 12. und 13. Juli 2026 für mehrere Pakete missbraucht wurden. Insgesamt sind zehn zugehörige Packagist-Pakete betroffen; die schädlichen Inhalte sind dabei nicht primär als „Ausführungspfad“ in PHP-Bibliotheken zu verstehen, sondern als Trigger für eine Automationskette. Sobald ein Repository-Push erfolgt oder ein Workflow manuell gestartet wird, liefern die manipulierten YAML-Dateien passende Runners an und laden von einer Angreifer-Server-Quelle einen Linux-Payload nach. Für die Erkennung ist dabei wichtig, dass die Workflows die Prozessorarchitektur der Runners prüfen (u. a. 32-bit x86, 64-bit x86 sowie 32-bit/64-bit ARM) und daraus ableiten, welcher Payload kompatibel ist.
Die Analyse benennt als Command-and-Control-Quelle die IP 43.228.157[.]68 und beschreibt die weitere Struktur der Abläufe als mehrstufige Kampagne. Die Payload versucht zunächst eine Authentifizierungsumgehung und nutzt anschließend eine Reihe von Erfassungsfunktionen, um sensible Daten zu sammeln. Dazu zählen unter anderem Zugangsdaten aus dem Umfeld von Datenbanken, SSH-Material, Git-Tokens sowie Konfigurations- und Umgebungsvariablen. Besonders kritisch ist die Bandbreite der „Harvest“-Artefakte, weil sie nicht nur kurzfristig Zugriff ermöglichen, sondern auch für spätere Schritte zur Privilegienausweitung oder zur Nutzung in anderen Systemen dienen können. Allein in den betroffenen zehn Paketversionen wurden laut Bericht insgesamt 583 Workflow-Dateien entdeckt, wobei pro Entwicklungsversion jeweils etwa 55 bis 62 Dateien vorkommen.
Damit aber nicht genug: Das Muster ist offenbar skalierbar angelegt. In der Auswertung finden sich Hinweise auf eine breitere Kampagne, die über genau diesen einen Maintainer hinausgeht. Genannt werden rund 6.100 Workflow-Dateien in GitHub-Repositories, die über ein eindeutiges DNSHook-Identifikationsmerkmal gekoppelt sind. Dieses Detail ist für die Incident-Response besonders relevant, weil DNS-basierte Bezeichner oft als Indikator für gemeinsame Infrastruktur oder wiederverwendete Steuerlogik dienen. Wenn Workflows außerdem kontinuierlich Ausführungsstatus melden und Ergebnisse über HTTP-POSTs in Richtung Angreifer-Infrastruktur absetzen, entsteht ein leicht nachverfolgbares Muster in den Telemetriedaten: wiederkehrende Netzwerkziele, wiederkehrende Dateihandles und auffällige Artefakt-Uploads passen zu einer automatisierten Jagd nach anfälligen cPanel- und WHM-Installationen.
Der eigentliche Angriffshebel ist dabei die Zielsuche nach konkreter Verwundbarkeit: Die Scans und anschließende Ausnutzung richten sich auf Server, die anfällig für CVE-2026-41940 sind. Diese Schwachstelle erlaubt als Authentifizierungsumgehung Remote-Angreifern, in Kontrolle über das Kontrollpanel zu gelangen. Für Unternehmen mit Hosting-Umgebungen bedeutet das: Die „Angriffsstrecke“ beginnt zwar beim Paketregister, endet aber an der Stelle, an der cPanel/WHM erreichbar und verwundbar ist. Wer nur die Paket-Integrität prüft, übersieht potenziell, dass die eigentliche Prüfung und Ausnutzung außerhalb der üblichen Benutzerendpunkte stattfindet.
Parallel zur cPanel/WHM-Kampagne beschreibt die Sicherheitsanalyse auch eine zweite, codename-ierte Operation, die bereits aus einem anderen Blickwinkel zeigt, wie vielseitig GitHub als Bühne für Malware-Delivery genutzt werden kann. Dabei geht es um „Operation Muck and Load“, die eine Netzwerkstruktur aus rund 200 GitHub-Repositories über 190 Konten verwendet, um Windows-basierte Schadsoftware zu verteilen. Die Kette wird als mehrstufig charakterisiert: Anfänglich getarnte Repository-Strukturen laden nachgelagerte Skripte, die wiederum über verschiedene „Dead Drop“-Quellen nach weiterem Material suchen, bevor aus einem passwortgeschützten Archiv der Hauptpayload extrahiert und gestartet wird. Auch hier wird sichtbar, dass die eigentliche Innovation weniger in einer einzelnen Exploit-Technik liegt, sondern in der Kombination aus Plattformmissbrauch, Tarnung, modularer Auslieferung und der Nutzung externer Ablagepunkte für die spätere Payload-Phase.
Für die Praxis ergeben sich daraus klare Prioritäten. Erstens sollten Betreiber von Webhosting- und Control-Panel-Umgebungen die betroffenen CVEs konsequent in ihren Patch- und Releasemanagement-Prozessen abbilden, aber ebenso wichtig ist die Überwachung der Umgebungen, die die Angriffsinduktionskette tragen: Paketquellen, Repository-Änderungen und GitHub Actions-Laufzeiten. Zweitens müssen Security-Teams die typische „Runner-Logik“ in ihren Regeln berücksichtigen: Architektur-Checks, Payload-Downloads aus selten beobachteten Zielräumen sowie Uploads großer Mengen sensibler Artefakte sind starke Indikatoren. Und drittens lohnt es sich, bei GitHub-Workflows nicht nur auf den Content der YAML-Dateien zu schauen, sondern auch auf die gesamte Ausführungshistorie samt Netzwerkereignissen und Artefaktpfaden, weil der eigentliche Schaden serverseitig im Runner-Kontext entstehen kann.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GitHub Actions als Angriffsplattform: Kampagne zielt auf cPanel/WHM ab" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GitHub Actions als Angriffsplattform: Kampagne zielt auf cPanel/WHM ab" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GitHub Actions als Angriffsplattform: Kampagne zielt auf cPanel/WHM ab« bei Google Deutschland suchen, bei Bing oder Google News!