Das Megalodon-Angriffsszenario zeigt die Raffinesse moderner Supply-Chain-Attacken. Die Täter nutzten Dummy-Konten und gefälschte Autor-Identitäten, um GitHub Actions Workflows mit schädlichen Payloads zu injizieren. Die Kampagne nutzte zwei verschiedene Malware-Varianten: Das primäre Payload installierte eine böswillige YAML-Datei namens “SysDiag”, die bei jedem Push oder Pull Request neue Workflows hinzufügt. Das sekundäre, gezielteren Payload ersetzte existierende Workflows durch einen “workflow-dispatch”-Trigger, der als verdeckte Hintertür fungiert und keine sichtbaren Spuren in der CI/CD-History hinterlässt – bis er aktiviert wird.
Besonders perfide: Diese Backdoor bleibt dormant und erzeugt keine erkennbaren Runs im Actions-Tab, keine fehlgeschlagenen Builds und keine roten Warnzeichen in der CI-Historie. Angreifer können sie jederzeit über die GitHub API aktivieren.
Entdeckt wurde Megalodon zuerst bei der Open-Source-Chatbot-Plattform Tiledesk. Das npm-Paket @tiledesk/tiledesk@2.15.0 war infiziert, und neun weitere Tiledesk-Repositories wurden kompromittiert. Die Entwickler veröffentlichten unwissentlich vergifteten Code und verbreiteten die Malware an nachgelagerte Nutzer – ein klassisches Supply-Chain-Szenario.
Die sechstündige Dauer der Kampagne wirft Fragen auf. SafeDep-Sicherheitsingenieur Abhisek Datta vermutet, dass Angreifer gestohlene Zugangsdaten von früheren Supply-Chain-Attacken nutzten und diese gezielt während des Zeitfensters einsetzten. Danach war die Liste abgearbeitet.
OX Security bestätigte unabhängig, dass etwa 3.500 Repositories die schädliche YAML-Datei trugen. Beunruhigend: Eine Woche nach dem Angriff waren noch etwa 83 Prozent der Repositories infiziert, obwohl GitHub die Kampagne stoppte.
Fraglich bleibt die Täteridentität. TeamPCP, eine aufstrebende Cyberkriminal-Gruppe, ist verdächtig – sie räumte am nächsten Tag einen Massenbreach von etwa 4.000 internen GitHub-Repositories ein. Allerdings sprechen nur oberflächliche Ähnlichkeiten für TeamPCP: hardcodiertes Datum September 17, 2001 in Commits und gefälschte Bot-Identitäten ähneln dem TeamPCP-Worm Shai-Hulud. Direkte Beweise fehlen jedoch.
OX Security empfiehlt Organisationen: Verbindungen zum Megalodon-C2-Server blockieren, GitHub-Repositories auditieren, verdächtige Aktivitäten melden und bei Bedarf alle Credentials, SSH-Keys und API-Keys neu generieren.