GitHubiin piilotettiin haittaohjelmia – yli 200 varastoa levitti etähallintatyökaluja

Turvallisuusyhtiö Socket on havainnut laajan haittaohjelmakampanjan, joka on kohdistunut GitHubiin. Kampanjassa, koodinimeltään "Muck and Load", hyökkääjät ovat käyttäneet yli 200 koodivarastoa levittääkseen erilaisia haittaohjelmia, mukaan lukien etähallintatyökaluja (RAT), tiedonvarkausohjelmia ja kryptovaluutan louhintaan tarkoitettuja ohjelmia.

Mukaillen DNS- ja aliverkkotyökalua esittävää Go-moduulia hyökkääjät ovat vuosien 2026 alusta lähtien onnistuneet houkuttelemaan kehittäjiä ja käyttäjiä lataamaan haitallisia ohjelmistoja GitHub-alustan kautta. Eräs havaittu haitallinen Go-moduuli, jonka alkuperäinen nimi oli "dnsub-scanning-tool", naamioitiin lailliseksi avoimen lähdekoodin projektiksi. Moduulin versiohistoria osoitti epätavallista aktiivisuutta, yli 1200 julkaistua versiota muutamassa kuukaudessa, joista yli 700 todettiin haitallisiksi.

Haittaohjelmien levitys hyödynsi kehittynyttä tekniikkaa, jossa lopullinen haittakuorma haettiin useista julkisista palveluista, kuten Pastebinistä, Lumista ja sosiaalisen median alustoista. Tämä mahdollisti hyökkääjille nopean reagoinnin ja haittakuorman sijainnin päivittämisen ilman, että itse ensimmäisen vaiheen haittaohjelmaa tarvitsi muokata.

Kampanja liittyy todennäköisesti aiempaan, Sophoksen vuonna 2025 raportoimaan vastaavaan GitHubiin kohdistuneeseen takaporttihyökkäykseen. Molemmissa kampanjoissa on yhdistettyä verkkotunnusta ja epäilyttävää sähköpostiosoitetta. GitHub tai Go-kielitiimi ei ole virallisesti kommentoinut tapausta, mutta haitalliset moduulit on poistettu Go-moduulivälityksestä.