Кампанія GhostAction виснажує облікові дані для авторизації в GitHub Actions workflow у тисячах репозиторіїв

Зламані акаунти мейнтейнерів поширюють шкідливий workflow

Дослідники кібербезпеки розкрили деталі тривалої кампанії крадіжки облікових даних для авторизації, під час якої було зламано акаунти двох відомих мейнтейнерів відкритого коду, щоб поширити шкідливий workflow у понад 340 репозиторіях. Використовуючи акаунт Takashi Kitao, автора ігрового рушія pyxel з 18 400 зірок, зловмисник поширив шкідливий workflow у 27 репозиторіях починаючи з 13:20 UTC. Вісім годин потому акаунт Henry Wu (henrywoo), першого автора athenadriver від Uber, було використано для поширення того ж workflow у 318 репозиторіях за 16-хвилинний інтервал з 21:10 до 21:26 UTC.

Станом на 9 жовтня 2026 року Socket заявив, що з 7 жовтня 2026 року було ідентифіковано понад 500 акаунтів GitHub, які закомітили шкідливий workflow у тисячах репозиторіїв. Активність приписується GhostAction, кампанії ланцюгових атак масового зараження, яка була вперше виявлена у вересні 2025 року.

Workflow виводить секрети на жорстко закодований IP

Обидва акаунти поширили workflow під назвою «Security Audit» (security-audit.yml) або «GitHub Actions Security» (github_actions_security.yml), який був призначений для виведення чутливих даних через відкритий HTTP на жорстко закодований IP-адрес (193.32.204.199). Отримані дані містять так звані секрети GitHub Actions репозиторію, включаючи секрети CI/CD, та облікові дані для авторизації хмарних сервісів, AI та SaaS, що існують у робочому дереві та всій історії git, такі як ключі AWS, API-ключі Anthropic, OpenAI та OpenRouter, а також токени GitHub та GitLab.

Ланцюг атаки починається з того, що зловмисник отримує облікові дані для авторизації GitHub мейнтейнера, ймовірно, особистий токен доступу, що витік з логів програми-інформатора або дампів облікових даних. Файли workflow репозиторію інспектуються на наявність секретів як частина розвідки. Потім замаскований під аудит безпеки workflow впроваджується у default branch з власною ідентичністю жертви. Вбудований payload витягує дані та надсилає їх через curl на контрольований зловмисником endpoint.

Масштаб та рекомендації

GitGuardian заявив, що кампанія GhostAction поширила шкідливий workflow у 772 публічних репозиторіях, які належали 373 користувачам та організаціям GitHub, з 31 серпня по 30 вересня 2026 року. Заражені workflow націлені на 2 577 секретів, включаючи приватні ключі SSH, облікові дані авторизації Azure, облікові дані реєстру контейнерів DockerHub та GHCR, облікові дані бази даних, ключі доступу AWS, облікові дані FTP, облікові дані авторизації Google Cloud та Firebase, токени GitHub, токени ботів Telegram, Slack та Discord, а також ключі Cloudflare, npm, PyPI та AI-провайдерів.

У щонайменше одному випадку, зафіксованому 30 серпня 2026 року, зловмисники змінили репозиторій kuafuai/DevOpsGPT, щоб впровадити майнер криптовалюти XMRig в Docker-образ проєкту. На момент написання, шкідливі пакети з скомпрометованими обліковими даними публікацій не були опубліковані.

Розробникам рекомендується перевірити свої репозиторії з 31 серпня 2026 року на наявність будь-якого з цих двох GitHub workflow і, якщо такі є, вважати їх скомпрометованими. Рекомендується скасувати скомпрометовані облікові дані авторизації GitHub, ротувати облікові дані авторизації, видалити шкідливий workflow з усіх гілок та перевірити форки заражених репозиторіїв. Socket зазначив, що кожен з 279 форків у просторі імен henrywoo містить файл workflow, і що приватні форки та downstream дзеркала є найбільш вразливими, оскільки саме в приватних репозиторіях знаходяться реально закомічені облікові дані авторизації.

Джерела: The Hacker News