Phishing-Angriffe auf GitHub: Hacker zielen auf Entwickler mit gefälschten Y Combinator-Benachrichtigungen

LONDON (IT BOLTWISE) – Eine neue Welle von Phishing-Angriffen hat Entwickler und Startups ins Visier genommen, indem sie GitHub-Benachrichtigungen nutzen, um sich als Y Combinator auszugeben. Die Opfer werden dazu verleitet, an vermeintlichen Finanzierungsrunden teilzunehmen, nur um schließlich Opfer von Betrug zu werden.

In einer jüngsten Serie von raffinierten Phishing-Angriffen haben Cyberkriminelle Entwickler und Startups ins Visier genommen, indem sie sich über GitHub-Benachrichtigungen als Y Combinator ausgaben. Diese Angriffe nutzen die Vertrauenswürdigkeit von Online-Plattformen und renommierten Organisationen aus, um ahnungslose Opfer zu täuschen.

Die Angreifer registrierten mehrere GitHub-Konten und Repository-Namen, die dem Namen „Y Combinator“ ähneln, wie „ycombinato“, „ycombbinator“ und „yccombinator“. Diese Konten erstellten Hunderte von GitHub-Issues pro Minute, die zahlreiche zufällige Benutzer taggten. Die Benachrichtigungen sahen aus wie offizielle Mitteilungen von Y Combinator und erwähnten oft eine angebliche Auswahl für eine Finanzierung oder einen Autorisierungsprozess.

Opfer erhielten E-Mails und GitHub-Benachrichtigungen, manchmal mit Aufforderungen, ihre Wallets zu „verifizieren“ oder Gelder für die nächsten Schritte einzuzahlen. Die Angreifer setzten auch GitHub-Apps wie „ycombinatornotify“ und „mail-notifaction-automatic“ ein, um die Glaubwürdigkeit der Nachrichten zu erhöhen. Diese Masche nutzte sowohl das Benachrichtigungssystem von GitHub als auch E-Mails, wobei automatisierte Skripte verwendet wurden, bis die Repositories gemeldet und von GitHub gelöscht oder eingeschränkt wurden.

Viele Opfer berichteten, dass sie von diesen GitHub-Benachrichtigungen auf Phishing-Domains wie „y-comblnator.com“ und ähnliche Lookalikes umgeleitet wurden. Diese Seiten imitierten das Branding von Y Combinator, waren jedoch darauf ausgelegt, Wallet-Anmeldedaten zu sammeln oder Krypto-Einzahlungen anzufordern, indem sie die Nutzer mit Versprechungen von Startup-Finanzierungen täuschten. Benutzer bemerkten, dass diese Domains oft durch Buchstabendreher und das Hinzufügen von Bindestrichen erstellt wurden, um der Entdeckung zu entgehen.

Die Angreifer passten ihre Vorgehensweise ständig an und starteten neue Kampagnen, bevor die vorherigen entfernt wurden. Die Nachricht verbreitete sich schnell auf Hacker News und GitHub-Foren, wobei Benutzer Warnungen und Tipps zur Schadensbegrenzung teilten. Viele markierten das offizielle Sicherheitsteam von Y Combinator unter „security@ycombinator.com“ und nutzten das Missbrauchsmeldesystem von GitHub, obwohl einige Probleme mit der Meldefunktionalität bemerkten.

Betroffene Personen reichten die betrügerischen Domains auch bei Phishing-Schutzlisten von Browsern und Suchmaschinen ein. Um Benachrichtigungsspam in GitHub zu entfernen, nutzten Benutzer API-Workarounds, da die Benutzeroberfläche diese Nachrichten nicht richtig anzeigte. GitHub hat seitdem auf die Vorfälle reagiert, indem es Betrugs-Repositories und Benutzerkonten gelöscht hat, aber Phishing-Benachrichtigungen und gefälschte Domains könnten weiterhin bestehen.

Diese Phishing-Kampagne unterstreicht, wie Cyberkriminelle zunehmend vertrauenswürdige Dienstbenachrichtigungen ausnutzen und renommierte Marken nachahmen, um die normale Skepsis der Benutzer zu umgehen. Entwickler und Startup-Gründer werden aufgefordert, wachsam zu bleiben, die Kommunikation mit Organisationen direkt zu überprüfen und verdächtige Aktivitäten umgehend zu melden.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Vikye KI -Roboter Angetrieben von Deepseek, Smart Talking Desk Companion mit 1,28 "Bildschirm, Sprachsteuerung, WLAN -Wetteruhr und Bluetooth Music Player

30,50 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

ZOOI Geschenke für Männer, Geburtstagsgeschenk für Männer, Gadgets für Männer, Geschenke für Papa Geschenk Männergeschenk Adventskalender Füllung Männer, Bluetooth Lautsprecher mit Handyständer

20,99 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

QCOQ® Air Tags 4er Pack Schwarz, Schlüsselfinder & Air Tracker Tagg Kompatibel mit Apple Wo ist? App (Nur iOS), Smart Key Finder mit Schlüsselband, Koffer-Tracker für Taschen/Keys, Austauschbarer Akku

36,99 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

169,00 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!