Megalodon-Malware kompromittiert innerhalb von sechs Stunden über 5.500 GitHub-Repositorien

Sicherheitslage und Risiko

Der base64-kodierte Bash-Payload – ein Skript mit 111 Zeilen – führte nach Aktivierung aggressive, mehrstufige Angriffe auf die Credential-Erfassung durch: Alle CI-Umgebungsvariablen, /proc/*/environ sowie die Umgebungsdaten von PID 1 AWS-Zugangsdaten (Access Keys, Secret Keys, Session Tokens) über alle konfigurierten Profile GCP-Zugangstokens über den Befehl `gcloud auth print-access-token` Aktive Credentials aus AWS IMDSv2, GCP-Metadaten und Azure-IMDS-Endpunkten SSH-Private Keys, Docker-Authentifizierungskonfigurationen,.npmrc,.netrc, Kubernetes-Konfigurationen, Vault-Tokens und Terraform-Zugangsdaten Quellcode, der gegen über 30 reguläre Ausdrücke durchsucht wurde, um API-Keys, JWTs, Datenbankverbindungsstrings, PEM-Schlüssel und Cloud-Tokens zu identifizieren GitHub Actions OIDC-Tokens, die eine direkte Identitätsübernahme bei Cloud-Diensten ermöglichen Der kritischste nachgelagerte Effekt des Angriffs richtete sich gegen Tiledesk, eine Open-Source-Plattform für Live-Chats.

Der Angreifer kompromittierte das GitHub-Repository und ersetzte den legitimen Docker-Build-Prozess durch das Hintertür-Skript „Optimize-Build" über den Commit acac5a9.

Der Maintainer, der nicht wusste, dass das Repository kompromittiert wurde, veröffentlichte daraufhin die Versionen 2.18.6 bis 2.18.12 von @tiledesk/tiledesk-server bei npm und verbreitete so das Hintertürchen im Paketregister. Der Anwendungscode blieb unberührt; lediglich die Workflow-Datei wurde geändert.

Technischer Hintergrund

Indikatoren für einen Kompromittierung (IoC): C2-Server: hxxp://216[.]126[.]225[.]129:8443. Kampagnen-ID: megalodon. Autorene-Mails: build-system@noreply[.]dev, ci-bot@automated[.]dev. Autorennamen: build-bot, auto-ci, ci-bot, pipeline-bot. Massenhafter Workflow:.github/workflows/ci.yml (SysDiag).

Zielgerichteter Workflow: Optimize-Build (workflow_dispatch). Betroffene npm-Versionen: @tiledesk/tiledesk-server 2.18.6–2.18.12. Bösartiger Commit: acac5a9854650c4ae2883c4740bf87d34120c038. Maßnahmen Organisationen sollten unverzüglich handeln, falls ein Repository am 18.

Mai 2026 einen Commit von build-system@noreply[.]dev oder ci-bot@automated[.]dev erhält: - Revidieren Sie den bösartigen Commit und überprüfen Sie alle Dateien im Verzeichnis.github/workflows/. - Rotieren Sie alle Geheimnisse, die für GitHub Actions Runner zugänglich sind – einschließlich Tokens, API-Schlüssel, SSH-Schlüssel und Cloud-Zugangsdaten. - Prüfen Sie die Cloud-Logs auf anomale OIDC-Token-Anfragen aus unbekannten Workflow-Ausführungen. - Überprüfen Sie den Actions-Tab auf unerwartete workflow_dispatch-Ausführungen. - Binden Sie GitHub Actions an spezifische Commit-SHA-Werte statt an veränderbare Versions-Tags. - Implementieren Sie Freigabesteuerelemente für Workflows bei Pull-Requests von externen Beitragenden.

Der Malysis-Engine von SafeDep wurde die Kampagne erstmals nach der Erkennung eines base64-kodierten Payloads innerhalb einer gebündelten Workflow-Datei in @tiledesk/tiledesk-server@2.18.12 angezeigt – was die Bedeutung automatisierter Supply-Chain-Scan-Tools unterstreicht, um Angriffe zu erkennen, die traditionelle Code-Reviews umgehen.