Ontwikkelaars van techbedrijven die actief zijn op GitHub zijn het doelwit geworden van social engineering-aanvallen, zo waarschuwt het populaire ontwikkelaarsplatform. De aanvallers doen zich op LinkedIn, Slack of Telegram voor als recruiter of ontwikkelaar en benaderen ontwikkelaars van techbedrijven die zich bezighouden met blockchain, cryptovaluta, online gokken en cybersecurity.

In sommige gevallen maken de aanvallers gebruik van nepprofielen, maar er zijn ook gevallen bekend waarbij gekaapte accounts werden gebruikt. Nadat het eerste contact is gelegd op het ene platform proberen de aanvallers het gesprek op een ander platform voort te zetten. Vervolgens wordt het doelwit gevraagd om aan een GitHub-project mee te werken en de code van dat project uit te voeren.

De GitHub-repository van de aanvallers, die zowel publiek als gesloten kan zijn, maakt gebruik van malafide npm dependencies. Deze malafide npm-packages downloaden aanvullende malware op het systeem van de ontwikkelaar. Volgens GitHub zijn de aanvallen het werk van een vanuit Noord-Korea opererende groep die het voornamelijk op crypto- en blockchainbedrijven heeft voorzien.