Eine Schriftdatei, die keine Schrift enthält — sondern Schadcode. Unter dem Namen GhostAction ist eine Angriffskampagne aufgeflogen, die Entwicklern auf GitHub ihre wichtigsten Zugangsdaten stiehlt. Getarnt ist die Malware als vermeintliche Font-Awesome-Ressource. Entdeckt und am 19. Oktober 2026 veröffentlicht hat den Fund das Forschungsteam von OpenSourceMalware, federführend Jenn Gile und Paul McCarty.
EINE SCHRIFTART, DIE KEINE SCHRIFTART IST
Der Trick sitzt im Dateinamen: public/fonts/fa-solid-400.woff2 — das klingt nach einer ganz gewöhnlichen Font-Awesome-Icon-Schrift, wie sie in tausenden Webprojekten steckt. Tatsächlich stecken darin aber 38 Zeilen unverschleierter Node.js-Code. Keine Verschlüsselung, keine Tarnung im Code selbst — die Tarnung liegt allein im Dateinamen und der Erwartung, dass niemand eine Schriftdatei öffnet.
DER CLOU: VS CODE STARTET DEN DIEBSTAHL SELBST
Richtig gefährlich wird die Masche durch eine zweite, unauffällige Datei: tasks.json. Diese weist Visual Studio Code an, beim Öffnen des Projektordners (runOn: folderOpen) automatisch ein Skript auszuführen — und zwar ohne sichtbares Terminal-Fenster, weil die Darstellungseinstellungen das bewusst unterdrücken. Öffnet ein Entwickler also einfach nur ein geklontes Repository in VS Code, startet im Hintergrund bereits der Diebstahl. Zusätzlich installiert das Skript einen Cron-Job, der alle fünf Minuten Befehle vom Server der Angreifer abruft und ausführt — ein dauerhafter Zugang, weit über den ersten Moment hinaus.
WAS GESTOHLEN WIRD
Die Liste der ins Visier genommenen Zugangsdaten ist ungewöhnlich breit: AWS-Schlüssel, npm- und PyPI-Tokens, Git-Logins, Kubernetes-Cluster-Zugangsdaten, private SSH-Schlüssel — und auffällig aktuell: auch Zugangsdaten für KI-Anbieter wie Anthropics Claude und Googles Gemini. Wer heute als Entwickler arbeitet, hat KI-API-Schlüssel oft an derselben Stelle liegen wie klassische Cloud-Zugangsdaten — genau das macht sie zum lohnenden Ziel.
DAS AUSMASS: 94 REPOS, 66 KONTEN
Die Forscher identifizierten 94 Repositories mit der zweiten Angriffsstufe, verteilt auf 66 unterschiedliche GitHub-Konten — 15 davon wurden zwischenzeitlich gelöscht oder auf privat gestellt, vermutlich nachdem die Betreiber den Befall selbst entdeckten. Von den noch zugänglichen Repositories konnten die Forscher 79 klonen und in jedem einzelnen die Schadkomponenten bestätigen. Der Name GhostAction geht auf eine frühere, deutlich größere Kampagne mit GitHub-Actions-Workflows zurück; die jetzige Welle ist eine neue, gezieltere Variante mit dem Font-Trick als Kernstück.
SO PRÜFST DU DEINE REPOSITORIES
- Suche gezielt nach einer Datei
public/fonts/fa-solid-400.woff2in deinen Projekten — besonders, wenn du Font Awesome gar nicht aktiv nutzt. - Prüfe deine
.vscode/tasks.jsonauf Einträge mitrunOn: folderOpenund verdächtig unterdrückter Terminal-Anzeige. - Bei einem Fund: Repository sofort isolieren, alle in diesem Projekt verwendeten Zugangsdaten (AWS, npm, PyPI, Git, Kubernetes, SSH, KI-APIs) von einem sauberen Rechner aus widerrufen und neu ausstellen.
- Kollegen warnen, die dasselbe Repository geklont haben könnten — der Cron-Job läuft unabhängig auf jedem betroffenen Rechner weiter.
FAZIT: Vertrauen in Dateitypen ist ein Angriffsvektor
GhostAction zeigt exemplarisch, wie wenig es braucht, um Entwickler-Workflows zu kompromittieren: keine Zero-Day-Lücke, kein ausgeklügelter Exploit — nur ein unverdächtiger Dateiname und eine Editor-Automatisierungsfunktion, die eigentlich das Leben leichter machen soll. Wer Repositories von Fremden klont oder selbst viele Abhängigkeiten pflegt, sollte automatische Task-Ausführung in VS Code grundsätzlich kritisch behandeln.
Häufige Fragen
Wie genau funktioniert die Tarnung als Schriftdatei?
Muss ich aktiv etwas anklicken, damit der Diebstahl startet?
Welche Zugangsdaten sind konkret in Gefahr?
Was mache ich, wenn ich eines der betroffenen Repositories geklont habe?
Quellen
- The Hacker News — GhostAction Attackers Plant Credential Stealer Disguised as Font in 94 GitHub Repositories (19.10.2026)
- OpenSourceMalware — GhostAction Copycats PolinRider by Hiding a Stealer in a Fake Font File
- The Hacker News — Credential-Stealing GitHub Actions Workflows Planted in Tens of Thousands of Repositories