Megalodon GitHub Angriff: 5.561 Repos mit bösartigen CI/C…

Ein automatisierter Angriff namens Megalodon hat innerhalb von sechs Stunden 5.718 bösartige Commits auf 5.561 GitHub-Repos gepusht. Die Angreifer nutze…

Was ist die Megalodon-Kampagne?

Sicherheitsforscher haben eine neue automatisierte Kampagne namens Megalodon aufgedeckt. Sie zielt auf GitHub-Repositories ab, indem sie bösartige Commits in bestehende Projekte einschleust. Innerhalb von nur sechs Stunden wurden über 5.500 Repos mit schädlichen CI/CD-Workflows infiziert.

Der Angriff nutzt Wegwerf-Konten und gefälschte Autorenidentitäten wie „build-bot“, „auto-ci“, „ci-bot“ und „pipeline-bot“. So tarnen sich die Angreifer als legitime CI/CD-Dienste.

Wie funktioniert der Angriff?

Die Angreifer injizieren GitHub Actions-Workflows, die base64-kodierte Bash-Payloads enthalten. Diese Payloads exfiltrieren CI/CD-Geheimnisse – also Zugangsdaten, Tokens und andere vertrauliche Informationen – an externe Server. Das ist besonders gefährlich, weil du als Entwickler vielleicht gar nicht bemerkst, dass dein Repository kompromittiert wurde.

Die Automatisierung des Angriffs macht ihn so effektiv. Tausende Repos können in kürzester Zeit befallen werden, ohne dass manuelle Eingriffe nötig sind.

Warum ist das ein Problem für dich?

Wenn du GitHub für deine Projekte nutzt, könnte auch dein Repository betroffen sein. Besonders kritisch ist, dass die Angreifer CI/CD-Workflows missbrauchen, die eigentlich die Entwicklung beschleunigen sollen. Einmal infiltriert, können sie auf sensible Daten zugreifen und diese stehlen.

Viele Entwickler vertrauen blind auf CI/CD-Pipelines. Das ist ein Fehler. Du solltest jede Änderung an deinen Workflow-Dateien genau prüfen, insbesondere wenn sie von unbekannten Konten stammen.

Wie schützt du dich?

Überprüfe regelmäßig deine Commit-Historie auf ungewöhnliche Einträge. Aktiviere Zwei-Faktor-Authentifizierung und verwende starke, einmalige Tokens. Beschränke die Berechtigungen von CI/CD-Workflows auf das Nötigste. Und vor allem: Hinterfrage jede automatisierte Änderung – auch wenn sie von einem „bot“ kommt.

Eine konkrete Schutzmaßnahme ist die Verwendung von geschützten Branches und erforderlichen Reviews. So können bösartige Commits nicht unbemerkt eingeschleust werden. Weitere Tipps findest du in unserem Leitfaden zur GitHub-Sicherheit.

Die Megalodon-Kampagne zeigt, wie wichtig es ist, CI/CD-Pipelines nicht blind zu vertrauen. Automatisierung ist praktisch, aber sie öffnet auch Angriffsvektoren. Sei wachsam – dein Code ist es wert.