קמפיין GhostAction מדליף נתוני הזדהות באלפי רפוזיטורים דרך workflow-ים זדוניים של GitHub Actions

חשבונות תחזוקנים שנפרצו מפיצים workflow זדוני

חוקרי אבטחת סייבר חשפו את פרטי קמפיין גניבת נתוני הזדהות המתמשך, שבו נפרצו שני חשבונות של תחזוקני קוד פתוח מוכרים כדי להפיץ workflow זדוני ביותר מ-340 רפוזיטורים. תוך שימוש בחשבונו של Takashi Kitao, יוצר מנוע המשחקים pyxel עם 18 400 כוכבים, התוקף הפיץ workflow זדוני ב-27 רפוזיטורים החל מ-13:20 UTC. שמונה שעות לאחר מכן נעשה שימוש בחשבונו של Henry Wu (henrywoo), היוצר המקורי של athenadriver של Uber, כדי להפיץ את אותו workflow ב-318 רפוזיטורים במרווח של 16 דקות בין 21:10 ל-21:26 UTC.

נכון ל-9 באוקטובר 2026, Socket הצהירה כי זוהו יותר מ-500 חשבונות GitHub מאז 7 באוקטובר 2026 שביצעו commit של workflow זדוני באלפי רפוזיטורים. הפעילות מיוחסת ל-GhostAction, קמפיין התקפת שרשרת אספקה המוני שהתגלה לראשונה בספטמבר 2025.

Workflow מעביר סודות לכתובת IP מוטמעת בקוד

שני החשבונות �הפיצו workflow בשם „Security Audit“ (security-audit.yml) או „GitHub Actions Security“ (github_actions_security.yml), שנועד להוציא נתונים רגישים בעזרת HTTP גלוי לכתובת IP מוטמעת בקוד (193.32.204.199). הנתונים שהוחזרו כוללים סודות GitHub Actions של הרפוזיטורי, כולל סודות CI/CD, וכן נתוני הזדהות עבור שירותי ענן, AI ו-SaaS הקיימים ב-workflow ובכל היסטוריית ה-git, כגון מפתחות API של AWS, מפתחות API של Anthropic, OpenAI ו-OpenRouter, וכן טוקנים של GitHub ו-GitLab.

שרשרת ההתקפה מתחילה כאשר התוקף משיג את נתוני ההזדהות של GitHub של התחזוקן, כנראה מלוגים של תוכנת גונבת מידע או מדאמפים של נתוני הזדהות שדלפו. קובצי ה-workflow של הרפוזיטורי נסרקים לחיפוש סודות כחלק מהגילוי. לאחר מכן, workflow מוסווה בשם "בדיקת אבטחה" מוכנס ל-default branch באמצעות זהותו האישית של הקורבן. ה-payload המוטמע מחלץ את הנתונים ושולח אותם בעזרת curl ל-endpoint הנשלט על ידי התוקף.

היקף והמלצות

GitGuardian הצהירה כי קמפיין GhostAction הפיצה workflow זדוני ב-772 מאגרים ציבוריים, שהיו בבעלותם של 373 משתמשים וארגונים ב-GitHub, מ-31 באוגוסט 2026 עד 30 בספטמבר. ה-workflow-ים המוזרים מכוונים ל-2,577 סודות, ביניהם מפתחות פרטיים של SSH, נתוני הרשאה של Azure, נתוני הרשאה של רגיסטרי קונטיינרים של DockerHub ו-GHCR, נתוני הרשאה של מסד נתונים, מפתחות גישה של AWS, נתוני הרשאה של FTP, נתוני הרשאה של Google Cloud ו-Firebase, טוקנים של GitHub, טוקנים של בוטים של Telegram, Slack ו-Discord, וכן מפתחות של Cloudflare, npm, PyPI וספקי AI.

במקרה אחד לפחות שתועד ב-30 באוגוסט 2026, התוקפים שינו את המאגר kuafuai/DevOpsGPT כדי להטמיע כורה מטבעום קריפטוגרפיים XMRig בתמונת Docker של הפרויקט. נכון למועד כתיבת שורות אלו, שום מהדורה של חבילות זדוניות לא פורסמה עם נתוני הרשאה של הפצה מושחתת.

מומלץ למפתחים לבדוק מ-31 באוגוסט 2026 את המאגרים שלהם, אם קיים בהם אחד משני workflow-ים אלה של GitHub, ואם כן, להחשיב אותם כמושחתים. מומלץ לבטל את נתוני ההרשאה המושחתים של GitHub, לסובב נתוני הרשאה, למחוק את ה-workflow הזדוני מכל branch ולבדוק את ה-fork-ים של המאגרים הנגועים. Socket ציינה כי מתוך 279 fork-ים ב-namespace של henrywoo לכל אחד יש קובץ workflow, וכי fork-ים פרטיים ומראות downstream הם הפגיעים ביותר, מכיוון שדווקא במאגרים פרטיים נמצאים נתוני הרשאה שבוצע בהם בפועל commit.

מקורות: The Hacker News