Account GitHub dormienti usati per mappare le organizzazioni nelle campagne di ricognizione

Secondo una ricerca di Datadog, gli attori delle minacce hanno utilizzato account GitHub dormienti da tempo per automatizzare la ricognizione delle organizzazioni. L’attività è proseguita per mesi e comprende sforzi per catalogare repository pubblici, membri delle organizzazioni, relazioni tra utenti e altre informazioni disponibili tramite l’API di GitHub.

Datadog ha identificato oltre 50 cosiddetti account fantasma coinvolti nell’attività almeno dall’ottobre 2025. In genere, gli account erano stati creati da due a cinque anni prima, poi erano rimasti inattivi per essere utilizzati successivamente in raffiche della durata approssimativa da una a tre settimane. Sono state osservate diverse campagne sovrapposte, con traffico diretto sia alle interfacce GraphQL sia a quelle REST di GitHub.

Molte richieste utilizzavano nomi di user agent che sembravano fare riferimento a strumenti di analisi, dashboard o raccolta dati. Poiché gran parte delle funzionalità API prese di mira espone informazioni pubbliche e restituisce risposte positive senza autenticazione, il traffico può sembrare riconducibile ad attività applicative legittime. Gli aggressori possono utilizzare queste richieste per creare un inventario dei progetti, dei membri, dei repository, dei follower, dei contenuti aggiunti ai preferiti, dei gist e di altre relazioni pubbliche di un’organizzazione.

Accesso limitato, informazioni preziose

Datadog ha dichiarato che l’enumerazione generalmente non consente l’accesso diretto alle risorse organizzative protette. Fornisce invece agli aggressori una visione d’insieme dell’ecosistema di sviluppo di un’organizzazione e può contribuire a individuare obiettivi per successivi tentativi di intrusione.

In una campagna correlata, gli operatori hanno utilizzato token accidentalmente esposti da utenti GitHub legittimi. Le credenziali sono state usate per interrogare i percorsi dei commit dei repository privati associati a decine di account nell’arco di pochi minuti. Sebbene tale attività fosse rara, Datadog ha segnalato casi in cui gli aggressori sono andati oltre la mappatura e hanno rimosso con successo dati da repository privati.

Monitoraggio consigliato

Le organizzazioni dovrebbero esaminare l’attività GitHub alla ricerca di accessi insoliti ai repository privati, clonazioni impreviste di repository e raffiche di richieste API provenienti da user agent sconosciuti o fuorvianti. I team di sicurezza dovrebbero inoltre analizzare i nomi e i modelli di versione associati ai client che eseguono azioni sensibili.

Datadog raccomanda di abilitare lo streaming dei log di audit di GitHub, definire baseline per il comportamento normale degli user agent e delle API e condurre attività proattive di threat hunting. Rilevamenti personalizzati e adattati a ciascuna organizzazione possono aiutare a distinguere l’automazione autorizzata dalla ricognizione coordinata e dal potenziale furto di dati.