攻击者武器化GitHub Actions Runner，瞄准cPanel和WHM服务器

Part01

攻击活动概况

网络安全研究人员披露了一场大规模攻击活动，该活动将已沦陷的GitHub仓库转化为分布式攻击基础设施，专门瞄准cPanel和WebHost Manager（WHM）实例。

该活动涉及恶意Packagist开发版本，涵盖10个与被攻陷的合法PHP和DevOps开发者dinushchathurya相关的包，时间范围为2026年7月12日至13日。受影响的Packagist包列表如下：

• dinushchathurya/nationality-list
• dinushchathurya/srilankan-divisional-secretariats
• dinushchathurya/srilankan-gn-divisions
• dinushchathurya/srilankan-local-authorities
• dinushchathurya/srilankan-mobile-number-validator
• dinushchathurya/srilankan-state-hospitals
• dinushchathurya/srilankan-universities
• dinushchathurya/uk-mobile-number-validator
• dinushchathurya/uk-post-code
• dinushchathurya/websmslk

Socket公司在一份声明中表示：“PHP库并非攻击的执行路径。攻击者向被攻陷维护者的源代码仓库中添加了数十个恶意的GitHub Actions工作流。”

这些工作流一旦被仓库推送或手动运行触发，就会启动GitHub托管的runner，从攻击者控制的基础设施下载Linux载荷，并扫描易受CVE-2026-41940攻击的cPanel和WHM服务器。该漏洞是一个身份验证绕过漏洞，允许远程攻击者获得对控制面板的更高权限控制。

载荷本身会尝试身份验证绕过，然后进一步窃取凭证、配置文件、环境变量、数据库访问权限、SSH材料、Git令牌、云密钥、支付服务凭证以及其他有价值的机密信息。

攻击者究竟通过何种方式获得对开发者账户的未授权访问并推送恶意更改，目前尚不清楚。

Part02

GitHub Actions滥用链路

Socket研究员Kirill Boychenko表示：“在2026年7月12日至13日期间，Packagist自动同步了与被攻陷开发者相关的全部十个包的恶意开发版本，反映了攻击者推送到该开发者GitHub仓库的更改。”

每个受影响的开发版本均包含55到62个恶意GitHub Actions工作流文件，所有十个包版本共计583个文件。

具体来说，这些YAML自动化文件会在受陷仓库收到推送或工作流被手动启动时启动GitHub托管的runner，检测每个runner的处理器架构（例如32位x86、64位x86、32位ARM和64位ARM系统），并从位于43.228.157[.]68的命令与控制（C2）服务器下载兼容的Linux扫描和利用载荷。

Boychenko补充道：“这些工作流持续向攻击者报告执行状态，并通过HTTP POST请求上传新收集的结果。它们监视的输出文件包括AWS凭证、GitHub和GitLab令牌、OpenAI和Google API凭证、Stripe密钥、SendGrid和Mailgun凭证、数据库信息、SSH数据、Git remotes以及远程代码执行结果。”

与传统的恶意包活动不同，此次最新活动并不依赖于包用户的系统。相反，扫描和利用行为运行在从受陷仓库启动的GitHub托管runner上，这意味着攻击者滥用了GitHub Actions来驱动一场旨在搜寻易受攻击的cPanel和WHM服务器的利用活动。

有迹象表明，这是一场范围更广的活动，其影响不仅限于一位PHP维护者。GitHub上托管的大约6,100个工作流文件包含一个唯一的DNSHook标识符（"f5b0b742-240a-4811-8a5b-b0ba6060685d"）。

Part03

更广泛的凭证窃取风险

Socket将此次活动描述为一次“机会主义的服务器端凭证窃取行动”，攻击者可以利用窃取的数据进行后续入侵或变现。

与此同时，这家应用安全公司还披露了另一项代号为“Operation Muck and Load”的活动。该活动滥用190个账户下的200个GitHub仓库，投递基于Windows的恶意软件，包括信息窃取器、加载器和下载器、Dropper、间谍软件、远程访问木马以及门罗币加密货币矿机。

这些仓库中，有些伪装成开发者工具和加密货币钱包集成，隐藏了多阶段攻击链：首先下载一个PowerShell脚本，该脚本负责查询各种死信站点（如Pastebin、Rlim、Telegram、YouTube、Instagram、Google Docs和Gitcode），以获取一个托管在GitHub上的密码保护存档，然后解压并启动主载荷。

Part04

活动关联

Boychenko表示：“这个集群中的GitHub仓库不仅仅是诱饵。其中多个仓库还充当了恶意软件的载体，要么将恶意载荷直接嵌入源代码树，要么通过GitHub发布资产进行投递。”

该活动的战术与之前观察到的、与邮箱地址"ischhfd83@rambler[.]ru"相关的活动存在重叠。趋势科技曾以“Water Curse”的名义追踪该活动。该威胁集群被评估为运营着一个基于GitHub的幽灵网络，将毫无戒心的用户重定向到托管恶意载荷的GitHub页面。

Socket总结道：“这种模式为威胁行为者提供了一种可扩展的方式，将普通的软件发现转化为恶意软件投递点，尤其是当诱饵针对那些已经倾向于运行不受信任工具（如加密货币自动化工具、钱包工具、游戏作弊器、加密器和攻击性工具）的用户时。”

推荐阅读

电报讨论