Angriff auf GitHub: Daten aus 3800 internen Repositories abgegriffen

Angreifer hatten offenbar Zugriff auf interne Repositories von GitHub. Der Betreiber der Versionsverwaltungsplattform hatte zunächst der Plattform Bleeping Computer und später auf X bestätigt, dass das Unternehmen den unautorisierten Zugriff auf Repositories untersuche.

Laut dem Post auf X sind nur interne Repositories betroffen. Es gebe keine Anzeichen dafür, dass dabei Informationen über Kunden abgeflossen sind. Sollte das doch der Fall sein, hat GitHub angekündigt, die Betroffenen direkt über die üblichen Kanäle zu informieren.

Schadcode in einer Extension für Visual Studio Code

Offenbar war das Einfallstor Schadcode in einer Visual Studio Code Extension auf dem Gerät eines Mitarbeiters. GitHub hat den Endpunkt laut eigenen Angaben isoliert und sofort Incident-Response-Maßnahmen eingeleitet.

Immer wieder finden sich infizierte Extensions auch auf den offiziellen Marktplätzen von Microsoft und Eclipse. Ein prominenter Vertreter war GlassWorm im Oktober 2025. Im Frühjahr 2026 gab es zahlreiche Erweiterungen mit Schadcode, die die Urheber vermutlich als Testballons für eine Ransomware-Attacke veröffentlicht haben.

TeamPCP reklamiert den Angriff für sich

TeamPCP hat den Angriff in einem Cybercrime-Forum für sich beansprucht. Die Gruppe soll für zahlreiche jüngere Vorfälle verantwortlich sein, darunter infizierte npm-Pakete von SAP und einen Angriff auf den quelloffenen Security-Scanner Trivy. Außerdem hat TeamPCP jüngst den Quellcode für den npm-Wurm Shai-Hulud veröffentlicht.

Die Angreifergruppe spricht von etwa 4000 Repositories, was sich in etwa mit der in einem späteren X-Beitrag von GitHub gemeldeten Zahl von 3800 Repositories deckt.

TeamPCP versteigert die Daten über das Cybercrime-Forum und erpresst GitHub dabei nur zwischen den Zeilen. Im Text betont die Gruppe dagegen explizit, dass sie kein Lösegeld wolle und GitHub nicht erpressen möchte, sondern die abgegriffenen Daten an den Höchstbietenden verkaufen will. Gebote unter 50.000 US-Dollar nehme sie aber nicht an.

Wenn sich ein Käufer findet, versichert die Gruppe, alle Daten zu löschen. Sollte sich kein Käufer finden, würde sie halt die Daten kostenlos veröffentlichen. Das klingt dann doch ein wenig nach Erpressung.

(rme)