Möglich machte dies allerdings keine Sicherheitslücke, die vom Betreiber der Plattform verschuldet worden wäre. Vielmehr hatten die Betreiber der jeweiligen Entwicklungsprojekte selbst GitHub Actions-Skripte angelegt, mit denen Code unter bestimmten Voraussetzungen automatisch hereingeholt wurde. Das konnte nun eben genutzt werden, um auch Schadcode einzuschleusen.
Schaden nur für Microsoft
Die Angreifer hielten sich auch nicht lange mit der Hoffnung auf, dass die jeweilige Software dann irgendwann auf Rechnern von Nutzern landet und dort für das Kryptomining eingesetzt werden kann. Stattdessen wurden die Routinen so umgesetzt, dass GitHub selbst eine virtuelle Maschine in der Microsoft-Cloud startete, die dann die entsprechende Aufgabe erledigte.Das GitHub-Team kennt dieses Vorgehen nach eigenen Angaben bereits seit einiger Zeit. Aktuell gibt es aber noch keine endgültige Lösung. Da die Attacken keine direkten Schäden für die Entwicklungsprojekte darstellen, sondern "nur" auf die GitHub-Infrastruktur abzielen, beschränkt man sich bisher darauf, die immer neu auftauchenden Accounts der Angreifer zu finden und abzuschalten, statt gleich ganze Features stillzulegen.