Wie Socket betont, waren die PHP-Bibliotheken selbst nicht der eigentliche Ausführungspfad. Stattdessen ergänzten die Angreifer Dutzende schädliche GitHub-Actions-Workflows in den kompromittierten Quellcode-Repositories des Maintainers. Sobald ein Push in das Repository erfolgte oder ein Workflow manuell gestartet wurde, aktivierten diese Dateien GitHub-gehostete Runner, luden eine Linux-Nutzlast von einer durch die Angreifer kontrollierten Infrastruktur herunter und begannen mit der Suche nach cPanel- und WHM-Servern, die für CVE-2026-41940 anfällig sind.
Laut Socket-Forscher Kirill Boychenko synchronisierte Packagist zwischen dem 12. und 13. Juli 2026 automatisch bösartige Entwicklungsstände in allen zehn Paketen des kompromittierten Entwicklers. In den betroffenen Versionen fanden sich jeweils zwischen 55 und 62 schädliche GitHub-Actions-Workflow-Dateien, insgesamt 583 Dateien über alle zehn Paketversionen hinweg.
Die YAML-Dateien ermitteln nach dem Start die Prozessorarchitektur des jeweiligen Runners, darunter 32-Bit-x86-, 64-Bit-x86-, 32-Bit-ARM- und 64-Bit-ARM-Systeme. Danach laden sie eine passende Linux-Nutzlast vom Command-and-Control-Server 43.228.157[.]68 herunter. Diese Nutzlast versucht die Authentifizierungsumgehung und sammelt anschließend Zugangsdaten, Konfigurationsdateien, Umgebungsvariablen, Datenbankzugänge, SSH-Material, Git-Tokens, Cloud-Schlüssel, Zahlungsdienst-Zugangsdaten und weitere Geheimnisse.
Boychenko zufolge melden die Workflows ihren Ausführungsstatus fortlaufend an die Angreifer zurück und übertragen neu eingesammelte Ergebnisse per HTTP-POST. Zu den überwachten Ausgabedateien zählen unter anderem AWS-Zugangsdaten, GitHub- und GitLab-Tokens, API-Zugangsdaten von OpenAI und Google, Stripe-Schlüssel, Zugangsdaten für SendGrid und Mailgun, Datenbankinformationen, SSH-Daten, Git-Remotes sowie Ergebnisse aus der Ausführung von entferntem Code.
Unklar ist laut dem Bericht weiterhin, wie der Bedrohungsakteur den unbefugten Zugriff auf das Konto des Entwicklers erlangte und die schädlichen Änderungen in dessen Repositories einspielen konnte. Hinweise sprechen Socket zufolge zudem für eine breitere Kampagne, die über einen einzelnen PHP-Maintainer hinausgeht. Auf GitHub fanden die Forscher rund 6.100 Workflow-Dateien mit einer eindeutigen DNSHook-Kennung: „f5b0b742-240a-4811-8a5b-b0ba6060685d“.
Socket beschreibt die Aktivität als opportunistische serverseitige Operation zum Diebstahl von Zugangsdaten. Die gestohlenen Daten könnten demnach für nachgelagerte Kompromittierungen oder zur Monetarisierung genutzt werden.
Parallel dazu veröffentlichte das Unternehmen Details zu einer weiteren Kampagne mit dem Codenamen Operation Muck and Load. Diese missbraucht nach Angaben von Socket ein Netzwerk aus 200 GitHub-Repositories über 190 Konten, um Windows-Schadsoftware auszuliefern, darunter Infostealer, Loader und Downloader, Dropper, Spyware, Remote-Access-Trojaner und Monero-Miner.
Ein Teil dieser Repositories tarnt sich als Entwicklerwerkzeuge oder Integrationen für Kryptowallets. Dahinter verbirgt sich eine mehrstufige Angriffskette, die zunächst ein PowerShell-Skript lädt. Dieses fragt verschiedene tote Briefkästen wie Pastebin, Rlim, Telegram, YouTube, Instagram, Google Docs und Gitcode ab, um ein auf GitHub gehostetes, passwortgeschütztes Archiv zu beziehen, aus dem schließlich die Hauptnutzlast extrahiert und gestartet wird.
Boychenko zufolge dienten die GitHub-Repositories in diesem Cluster nicht nur als Köder. Mehrere fungierten zugleich als Träger der Schadsoftware, indem sie schädliche Nutzlasten direkt im Quellbaum einbetteten oder über GitHub-Release-Assets auslieferten. Taktische Überschneidungen sieht Socket mit früher beobachteten Aktivitäten rund um die E-Mail-Adresse „ischhfd83@rambler[.]ru“, die Trend Micro unter dem Namen Water Curse verfolgt. Dieser Cluster betreibe nach Einschätzung der Forscher ein geisterhaftes, auf GitHub gestütztes Netzwerk, das ahnungslose Nutzer auf GitHub-Seiten mit schadsoftwarebelasteten Dateien umlenkt.