Исследователи из компании Veracode обнаружили вредоносный npm-пакет @acitons/artifact, который маскировался под легитимный @actions/artifact и был нацелен на репозитории самого GitHub. Однако позже выяснилось, что специалисты заметили не реальную атаку, а внутренние учения Red Team компании.
Пакет был загружен в npm 29 октября 2025 года и быстро набрал популярность — он был скачан 47 405 раз, из которых 31 398 пришлись на последнюю неделю. Исследователи пишут, что было шесть вредоносных версий пакета (с 4.0.12 по 4.0.17), которые включали postinstall-хук для автоматической загрузки и запуска малвари. Однако во время изучения атаки, учетная запись blakesdev, от лица которой был загружен acitons/artifact, успела удалить все вредоносные версии — в публичном доступе осталась только «чистая» версия 4.0.10.
Специалисты отмечают, что нашли еще один подозрительный пакет (8jfiesaf83) с похожей логикой. Он уже удален из npm, но перед этим его успели скачать 1016 раз.
Упомянутый выше postinstall-скрипт скачивал бинарник harness из уже удаленного GitHub-аккаунта. Это обфусцированный шелл-скрипт с таймером: если системная дата была установлена на 6 ноября 2025 года и позже, он не запускался.
Скрипт предназначался для запуска JavaScript-файла (verify.js), который проверял окружение жертвы на наличие переменных GITHUB_ (переменные окружения, характерные для GitHub Actions) и похищал данные, заливая токены доступа GitHub Actions в зашифрованном виде на поддомен app.github.dev. При этом дальнейшее расследование показало, что малварь была нацелена исключительно на репозитории организации GitHub, что свидетельствовало о таргетированной атаке. Скрипт проверял GITHUB_REPOSITORY_OWNER и завершался, если это был не GitHub.
Исследователи предположили, что наблюдают некое тестирование, и оказались совершенно правы. Правда, эксперименты проводили совсем не хакеры.
Как сообщили СМИ представители GitHub, обнаруженные пакеты были частью «строго контролируемых учений», которые проводила внутренняя Red Team компании.
«GitHub серьезно относится к безопасности и регулярно проводит реалистичные учения Red Team, чтобы проверить устойчивость к актуальным техникам атакующих. Системы и данные GitHub ни в какой момент не были под угрозой», — заявили представители компании.
Тот факт, что «учебная» малварь GitHub попала в публичный доступ на npm и в итоге набрала почти 50 000 загрузок, поднимает вопросы о границах и этичности подобных учений.
