GitHub狙う攻撃「GhostAction」が手口拡大、94リポジトリに偽フォント仕込み認証情報を窃取

要点

• サプライチェーン攻撃「GhostAction」の攻撃者が、開発者向けフィッシングと偽フォントを悪用したマルウェア配布へ手口を進化させ、94件のリポジトリで確認された。

• 攻撃者はGitHubの警告を装った偽サイトを設置し、リバースプロキシと認証手順の自動化によって利用者に気づかれずに強力なAPIトークンを奪取していた。

• 不正ワークフロー削除後も侵入を維持するため、VS Codeの自動実行機能と偽フォントファイルを悪用して開発者の端末に潜伏させていた。

• 窃取対象にはAWSキーやパッケージ配布用トークン、SSH秘密鍵に加え、AnthropicやGoogleのAIサービス向けAPIキーも含まれていた。

• オープンソース開発環境を標的とするサプライチェーン攻撃「GhostAction」の攻撃グループが、その活動手口を大幅に進化させていることが明らかになった。脅威インテリジェンスプラットフォームのOpenSourceMalwareが報告した内容によると、攻撃者はGitHub側の防御策に対抗し、開発者を狙うフィッシング詐欺や、フォントファイルに偽装した認証情報窃取マルウェアを94件のリポジトリに設置していたという。セキュリティメディアのThe Hacker Newsが2026年10月19日に報じた。

防御策への対抗と不審なドメインの取得

GhostActionはこれまで、侵害したリポジトリに不正なGitHub Actions（CI/CDの自動化機能）ワークフローを挿入するサプライチェーン攻撃を行っていた。しかし、GitHub側が不正なワークフローの実行を阻止する対策を導入したことを受け、攻撃者は手口の改良を進めているとされる。

調査によると、攻撃者は2026年10月9日に「my-github[.]com」というドメインを登録した。このドメインは、過去の不正ワークフローから収集されたデータを送信していたIPアドレス「193.32.204[.]199」に向けられていた。なお、その17日前には類似した「my-gitlab[.]com」というドメインも登録されていたが、登録者情報やネームサーバー、DNS設計などが異なり、セキュリティ研究者のPaul McCarty氏によれば現時点でGhostActionとの直接的な関連は確認されていないという。

偽のログイン警告とOAuthデバイスフローの自動承認

攻撃者はドメイン登録と同日、「noreply@my-github[.]com」からオープンソースメンテナーに向けてフィッシングメールを送信した。内容は「ロシアのモスクワからアカウントへの新規ログインがあった」としてアカウント保護を促すもので、公式のセキュリティ警告を装っていた。

誘導先の偽サイトはリバースプロキシ（通信を代理中継するサーバー）として動作し、被害者が入力したパスワードや2要素認証コードをリアルタイムで収集する。さらに、GitHubの「OAuthデバイスフロー（外部端末などを連携させる認証手順）」を悪用するJavaScriptが組み込まれていた。

このスクリプトはGitHubからコードを取得して認証画面を開き、承認フォームに必要な情報を自動入力して「authorize=1」を付加して送信する。McCarty氏によると、被害者はコード入力や明示的な承認操作を行うことなく、プロキシされたセッション経由で自動的に認可が完了するという。これにより、リポジトリの読み書き権限（repo）やワークフロー編集権限（workflow）、組織情報閲覧権限（read:org）を持つOAuthトークンが盗まれ、ポート8443経由で外部サーバーへ送信されていた。

VS Codeと偽フォントを用いた端末への永続化

今回の攻撃では、リポジトリから不正ワークフローが削除された後も開発環境に潜伏し続けるため、北朝鮮の攻撃手法を取り入れた第2段階の仕組みが確認された。攻撃者は対象リポジトリに以下の3ファイルをコミットしていたという。

1つ目はVS Codeの設定ファイル「tasks.json」で、フォルダを開いた際にタスクが自動実行される「runOn: folderOpen」トリガーが設定されていた。2つ目は「public/fonts/fa-solid-400.woff2」という偽フォントファイルで、実体は情報窃取用マルウェアである。この名称は2026年1月に確認された北朝鮮の攻撃キャンペーン「PolinRider」で使われたものと一致する。3つ目は、このマルウェアが動かない場合に備えた予備のワークフローだ。

これによりVS Codeがマルウェアを自動起動し、情報収集に加えてcronジョブ（定期実行タスク）を登録して端末内での永続化を図る仕組みとなっていた。

クラウド鍵からAIのAPIキーまで多岐にわたる窃取対象

偽フォントに仕込まれたマルウェアは、開発者の端末内に保管された広範な認証情報の窃取を目的としていた。

収集対象には、AWSのアクセスキー、PyPIやnpmのパッケージ配信用トークン、Gitログイン情報、Kubernetesクラスタ認証情報、SSH秘密鍵が含まれていた。さらに、AnthropicのClaudeやGoogleのGeminiといったAIサービスのAPI認証情報も標的となっていたことが判明している。

OpenSourceMalwareは、攻撃者がリポジトリ規模の自動化と個人を狙うソーシャルエンジニアリングを組み合わせることで、プロジェクトや組織、下流の利用者全体へ影響を広げようとしていると指摘している。