Inaktive GitHub-Konten zur Kartierung von Organisationen in Aufklärungskampagnen genutzt

Bedrohungsakteure nutzen laut einer Untersuchung von Datadog seit Langem inaktive GitHub-Konten, um die Aufklärung von Organisationen zu automatisieren. Die Aktivitäten dauern seit Monaten an und umfassen Bemühungen, öffentliche Repositorys, Mitglieder von Organisationen, Benutzerbeziehungen und weitere über die GitHub-API verfügbare Informationen zu katalogisieren.

Datadog identifizierte seit mindestens Oktober 2025 mehr als 50 sogenannte Geisterkonten, die an den Aktivitäten beteiligt waren. Die Konten wurden im Allgemeinen vor zwei bis fünf Jahren erstellt und blieben anschließend inaktiv, bevor sie in Schüben über einen Zeitraum von etwa ein bis drei Wochen eingesetzt wurden. Es wurden mehrere sich überschneidende Kampagnen beobachtet, deren Datenverkehr sowohl an die GraphQL- als auch an die REST-Schnittstellen von GitHub gerichtet war.

Viele der Anfragen verwendeten User-Agent-Namen, die offenbar auf Analyse-, Dashboard- oder Datensammlungstools verwiesen. Da ein großer Teil der anvisierten API-Funktionen öffentliche Informationen offenlegt und auch ohne Authentifizierung erfolgreiche Antworten liefert, kann der Datenverkehr wie legitime Anwendungsaktivität wirken. Angreifer können diese Anfragen nutzen, um ein Inventar der Projekte, Mitglieder, Repositorys, Follower, markierten Inhalte, Gists und anderer öffentlicher Beziehungen einer Organisation zu erstellen.

Eingeschränkter Zugriff, wertvolle Informationen

Datadog zufolge ermöglicht die Aufzählung im Allgemeinen keinen direkten Zugriff auf geschützte Ressourcen von Organisationen. Stattdessen verschafft sie Angreifern einen umfassenden Überblick über das Entwicklungsökosystem einer Organisation und kann dabei helfen, Ziele für spätere Eindringversuche zu identifizieren.

In einer damit verbundenen Kampagne nutzten die Betreiber Token, die versehentlich von legitimen GitHub-Benutzern offengelegt worden waren. Mit den Zugangsdaten wurden innerhalb weniger Minuten Abfragevorgänge für Commit-Pfade privater Repositorys durchgeführt, die Dutzenden Konten zugeordnet waren. Obwohl solche Aktivitäten selten waren, meldete Datadog Fälle, in denen Angreifer über die Kartierung hinausgingen und erfolgreich Daten aus privaten Repositorys entfernten.

Empfohlene Überwachung

Organisationen sollten GitHub-Aktivitäten auf ungewöhnlichen Zugriff auf private Repositorys, unerwartetes Klonen von Repositorys und Schübe von API-Anfragen durch unbekannte oder irreführende User-Agents überprüfen. Sicherheitsteams sollten außerdem die Namen und Versionsmuster der Clients untersuchen, die sensible Aktionen ausführen.

Datadog empfiehlt, das Streaming der GitHub-Auditprotokolle zu aktivieren, Baselines für normales User-Agent- und API-Verhalten zu erstellen und proaktive Bedrohungssuchen durchzuführen. Auf die jeweilige Organisation zugeschnittene benutzerdefinierte Erkennungsregeln können dabei helfen, autorisierte Automatisierung von koordinierter Aufklärung und potenziellem Datendiebstahl zu unterscheiden.