Кампания по краже учетных данных под названием GhostAction активизировалась, нацелившись на более чем 30 000 репозиториев от 3 000 пользователей и организаций. По данным GitGuardian, всплеск был зафиксирован 8 и 9 октября 2026 года. Это стало результатом компрометации учетных записей GitHub примерно 1 900 пользователей. Была предпринята попытка извлечь 3 174 секрета из CI общедоступных репозиториев, как сообщили исследователи безопасности Гаэтан Ферри и Гийом Валадон.
GhostAction — это название кампании атак на цепочку поставок, нацеленной на инфраструктуру разработчиков на GitHub. Изначально обнаруженная в сентябре 2025 года, она включает в себя компрометацию злоумышленниками легитимных учетных записей разработчиков для внедрения вредоносных рабочих процессов автоматизации GitHub Actions в репозитории программного обеспечения.
Было обнаружено, что злоумышленники получают права на запись в репозитории, используя украденные токены персонального доступа (PAT) или учетные данные, полученные из логов и дампов инфостилеров. Используя захваченную учетную запись сопровождающего, они отправляют вредоносный файл рабочего процесса под обманчивыми названиями, такими как Security Audit («security-audit.yml») или GitHub Actions Security («github_actions_security.yml»).
Конечная цель этой деятельности — масштабная кража секретов непрерывной интеграции и непрерывного развертывания (CI/CD), облачных учетных данных, токенов реестра пакетов (таких как npm, PyPI и DockerHub) и ключей API поставщиков искусственного интеллекта (ИИ).
Новая волна GhostAction наблюдается с 31 августа 2026 года, когда вредоносный рабочий процесс был отправлен в сотни репозиториев. «Эта новая волна кажется более экспериментальной и ручной, чем предыдущие, с постоянно меняющейся полезной нагрузкой», — заявили в GitGuardian. «По сравнению с оригинальной полезной нагрузкой GhostAction, первая версия этой новой полезной нагрузки добавила функцию сканирования секретов в истории git».
Как ранее описывали Socket и StepSecurity, функция сканирования истории включает регулярные выражения для обнаружения секретов, охватывающие идентификаторы ключей AWS, токены GitHub и GitLab, секреты, связанные с ИИ, и ключи API облачных сервисов.
Вторая версия полезной нагрузки также захватывает около двух строк контекста вокруг каждого обнаруженного идентификатора ключа AWS, чтобы сопоставить их с соответствующими ключами доступа. Третий и финальный вариант полезной нагрузки включает поддержку извлечения контекста секретов во время сканирования истории git.
«Эта полезная нагрузка была развернута в несколько этапов», — сообщили в GitGuardian. «Сначала на 160 ранее обнаруженных жертв, затем, через 20 минут, на 28 000 новых репозиториев между 8 и 9 октября. Новые волны наблюдались с использованием той же полезной нагрузки 10 и 12 октября. Однако GitHub начал предотвращать выполнение вредоносного рабочего процесса начиная с 9 октября. Поэтому эти две последующие волны не смогли извлечь никаких секретов».
Интересно, что подмножество жертв этой новой вспышки ранее было скомпрометировано в волнах сентября 2025 года и августа 2026 года, что указывает на то, что злоумышленники рассчитывают на невращающиеся секреты для достижения своих целей.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
