GhostAction — кампания по краже учётных данных и атаке на цепочки поставок ПО через инфраструктуру разработчиков на GitHub. Злоумышленники захватывают настоящие аккаунты и от их имени добавляют в репозитории вредоносные рабочие процессы GitHub Actions. Кампанию впервые обнаружили в сентябре 2025 года; новая волна наблюдается с 31 августа 2026-го.
По данным исследователей безопасности Гаэтана Ферри и Гийома Валадона, атаке подверглись более 30 000 репозиториев, связанных с 3 000 пользователей и организаций. Активность велась примерно с 1 900 взломанных аккаунтов GitHub. Злоумышленники пытались извлечь из CI публичных репозиториев 3 174 секрета.
Для доступа к репозиториям атакующие используют украденные Personal Access Tokens (PAT) либо учётные данные из журналов и дампов инфостилеров. Получив права записи через аккаунт сопровождающего проекта, они добавляют файл GitHub Actions под обманчивым названием. Среди найденных вариантов — Security Audit (
Рабочие процессы предназначены для сбора секретов CI/CD, облачных учётных данных, токенов реестров пакетов npm, PyPI и DockerHub, а также API-ключей поставщиков ИИ. Подобные данные часто дают доступ к сборке программ, публикации пакетов или облачным сервисам, поэтому компрометация одного аккаунта может затронуть множество проектов.
В описанном всплеске вредоносный workflow сначала загрузили в 160 репозиториев, уже фигурировавших в предыдущих наблюдениях. Через 20 минут, с 8 по 9 октября, его распространили ещё на 28 000 новых репозиториев. Такие же волны зафиксировали 10 и 12 октября, но к тому времени GitHub с 9 октября начал блокировать запуск вредоносного workflow. Поэтому поздние попытки не смогли извлечь секреты.
Новая версия вредоносного кода дополнила исходную GhostAction проверкой истории Git на секреты. Как ранее описывали Socket и StepSecurity, поиск использовал регулярные выражения для обнаружения идентификаторов ключей AWS, токенов GitHub и GitLab, секретов, связанных с ИИ, и облачных API-ключей. Во второй версии к совпадению с идентификатором ключа AWS захватывались примерно две соседние строки: это помогало найти соответствующий секретный ключ доступа. В третьем, финальном варианте добавили получение контекста секрета при сканировании истории Git.
Некоторые пострадавшие в последнем всплеске уже подвергались атаке в сентябре 2025-го и августе 2026-го. Повторные проникновения могут означать, что злоумышленники рассчитывали на секреты, которые после прежних компрометаций не сменили и которые всё ещё оставались действительными. Для владельцев репозиториев это делает проверку истории коммитов и отзыв старых токенов не менее существенными, чем удаление вредоносного workflow.
Изображение носит иллюстративный характер
По данным исследователей безопасности Гаэтана Ферри и Гийома Валадона, атаке подверглись более 30 000 репозиториев, связанных с 3 000 пользователей и организаций. Активность велась примерно с 1 900 взломанных аккаунтов GitHub. Злоумышленники пытались извлечь из CI публичных репозиториев 3 174 секрета.
Для доступа к репозиториям атакующие используют украденные Personal Access Tokens (PAT) либо учётные данные из журналов и дампов инфостилеров. Получив права записи через аккаунт сопровождающего проекта, они добавляют файл GitHub Actions под обманчивым названием. Среди найденных вариантов — Security Audit (
security-audit.yml) и GitHub Actions Security (github_actions_security.yml). Рабочие процессы предназначены для сбора секретов CI/CD, облачных учётных данных, токенов реестров пакетов npm, PyPI и DockerHub, а также API-ключей поставщиков ИИ. Подобные данные часто дают доступ к сборке программ, публикации пакетов или облачным сервисам, поэтому компрометация одного аккаунта может затронуть множество проектов.
В описанном всплеске вредоносный workflow сначала загрузили в 160 репозиториев, уже фигурировавших в предыдущих наблюдениях. Через 20 минут, с 8 по 9 октября, его распространили ещё на 28 000 новых репозиториев. Такие же волны зафиксировали 10 и 12 октября, но к тому времени GitHub с 9 октября начал блокировать запуск вредоносного workflow. Поэтому поздние попытки не смогли извлечь секреты.
Новая версия вредоносного кода дополнила исходную GhostAction проверкой истории Git на секреты. Как ранее описывали Socket и StepSecurity, поиск использовал регулярные выражения для обнаружения идентификаторов ключей AWS, токенов GitHub и GitLab, секретов, связанных с ИИ, и облачных API-ключей. Во второй версии к совпадению с идентификатором ключа AWS захватывались примерно две соседние строки: это помогало найти соответствующий секретный ключ доступа. В третьем, финальном варианте добавили получение контекста секрета при сканировании истории Git.
Некоторые пострадавшие в последнем всплеске уже подвергались атаке в сентябре 2025-го и августе 2026-го. Повторные проникновения могут означать, что злоумышленники рассчитывали на секреты, которые после прежних компрометаций не сменили и которые всё ещё оставались действительными. Для владельцев репозиториев это делает проверку истории коммитов и отзыв старых токенов не менее существенными, чем удаление вредоносного workflow.
