Fake VS-Code-Warnungen: Phishing-Angriffe auf GitHub
KI-generiert mit Sora
Eine Phishing-Kampagne nutzt Tausende gefälschte Sicherheitswarnungen in GitHub Discussions, um Malware an Entwickler zu verbreiten, die mit Visual Studio Code arbeiten. Die Angreifer geben sich als Maintainer aus, verbreiten erfundene CVE-Nummern und leiten Entwickler über Google Drive auf Schadsoftware um. CVE steht für Common Vulnerabilities and Exposures und ist das internationale Nummerierungssystem für bekannte Sicherheitslücken. Das Sicherheitsunternehmen Socket hat die Kampagne aufgedeckt.
Wie funktioniert der Angriff?
Die Angreifer erstellen Tausende nahezu identische Posts in GitHub Discussions. Die Titel folgen einem Muster: „Severe Vulnerability – Immediate Update Required“ oder „Critical Exploit – Urgent Action Needed„. Jeder Post behauptet, das eine neue Sicherheitslücke in VS Code entdeckt wurde. Natürlich mit dem für Phishing typischen Verweis auf hohe Dringlichkeit.
Die Posts referenzieren erfundene CVE-Nummern und betroffene Versionen. Die Absender-Accounts sind neu erstellt oder kaum aktiv. Sie markieren gezielt andere Entwickler per @-Mention. Dadurch verschickt GitHub automatisch E-Mail-Benachrichtigungen an die markierten Nutzer. Die Kampagne missbraucht somit das Benachrichtigungssystem von GitHub als Spamschleuder.
AnzeigeWohin führen die Links?
Die Links in den Posts verweisen auf Google Drive. Von dort werden die Opfer über mehrere Weiterleitungen zur eigentlichen Zielseite geführt. Laut der Analyse von Socket hängt das Verhalten von den Browser-Cookies ab. Nutzer mit Google-Cookies werden direkt zur Angreifer-Infrastruktur weitergeleitet. Ohne Cookies leitet die Redirect-Kette auf eine Fingerprinting-Seite der Angreifer um.
Die Fingerprinting-Seite sammelt Zeitzone, Plattform, User Agent und Automatisierungssignale. Diese Daten werden automatisch per POST zurückgeschickt. Socket beschreibt das Vorgehen als Traffic Distribution System: Die Opfer werden erst profiliert, bevor sie eine finale Payload erhalten.
Die finale Schadsoftware konnte Socket nicht sichern. Sie wird offenbar nur an ausgewählte Opfer ausgeliefert, nicht an jeden Besucher.
Ist das ein neues Muster?
Nein. Ähnliche Kampagnen gab es bereits früher. Im März 2025 wurden über 12.000 GitHub-Repositories mit vergleichbaren Fake-Warnungen überflutet. Im Juni 2024 missbrauchten Angreifer GitHub-Benachrichtigungen über Spam-Kommentare für Phishing. Auch andere Angriffsformen wie zum Beispiel die Prompt-Injection-Angriffe über GitHub-Issues sind dokumentiert. Die aktuelle Kampagne setzt auf Discussions statt Issues, vermutlich weil diese weniger streng moderiert werden.
GitHub ist für Entwickler eine vertrauenswürdige Plattform. Sicherheitswarnungen erzeugen Dringlichkeit und senken die Skepsis. Genau das macht Github attraktiv für Social-Engineering-Angriffe in der Software-Lieferkette.
Was sollten Entwickler tun?
Echte VS-Code-Updates kommen ausschließlich über den integrierten Update-Mechanismus oder die offizielle Microsoft-Seite. Sicherheitswarnungen in GitHub Discussions mit externen Download-Links, unbekannten CVEs und @-Mentions von fremden Accounts sind mit hoher Wahrscheinlichkeit Phishing.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
