GhostAction компромитира околу 1.900 GitHub сметки и таргетира повеќе од 30.000 складишта со код

Кампањата за кражба на податоци за автентикација, позната како GhostAction, го интензивирала своето дејствување, таргетирајќи повеќе од 30.000 складишта со код (repositories) поврзани со 3.000 корисници и организации.

Според компанијата GitGuardian, нагло зголемување на активноста било забележано на 8 и 9 октомври 2026 година.

„Ова беше резултат на компромитирање на GitHub-сметките на околу 1.900 корисници. Напаѓачите се обиделе да извлечат 3.174 тајни податоци од процесите за континуирана интеграција (CI) во јавните складишта“, изјавија истражувачите за безбедност Гаетан Фери и Гијом Валадон.

GhostAction е назив за кампања за напад врз синџирот на снабдување со софтвер, насочена кон развојната инфраструктура на GitHub. Првпат била откриена во септември 2025 година. Во неа, напаѓачите компромитираат легитимни сметки на програмери за да вметнат злонамерни автоматизирани работни текови на GitHub Actions во софтверските складишта.

Утврдено е дека напаѓачите добиваат дозвола за запишување и менување содржина во складиштата преку украдени лични токени за пристап (Personal Access Tokens — PATs) или податоци за автентикација собрани од записи и бази на податоци украдени со инфостилери — малициозни програми за кражба на информации.

Користејќи ја преземената сметка на одржувачот на проектот, тие поставуваат злонамерна датотека со работен тек, прикриена под измамнички имиња, како што се Security Audit (security-audit.yml) или GitHub Actions Security (github_actions_security.yml).

Крајната цел на оваа активност е масовна кражба на тајни податоци од системите за континуирана интеграција и континуирана испорака (CI/CD), податоци за пристап до облачни услуги, токени за регистри на софтверски пакети како npm, PyPI и DockerHub, како и API-клучеви од даватели на услуги за вештачка интелигенција (AI).

Нов бран на GhostAction е забележан од 31 август 2026 година, при што злонамерниот работен тек бил поставен во стотици складишта.

„Изгледа дека овој нов бран е поекспериментален и повеќе се потпира на рачна интервенција отколку претходните, а злонамерниот код се менува со текот на времето“, соопшти GitGuardian. „Во споредба со оригиналната верзија на GhostAction, првата верзија на новиот злонамерен код додаде функција за скенирање на историјата на Git со цел откривање тајни податоци.“

Како што претходно објаснија компаниите Socket и StepSecurity, функцијата за скенирање на историјата користи регуларни изрази за откривање тајни податоци. Тие опфаќаат идентификатори на AWS-клучеви, токени за GitHub и GitLab, тајни податоци поврзани со вештачката интелигенција и API-клучеви за облачни услуги.

Втората верзија на злонамерниот код дополнително собирала околу два реда контекст околу секое пронаоѓање на идентификатор на AWS-клуч, со цел да ги поврзе идентификаторите со соодветните тајни пристапни клучеви.

Третата и последна варијанта на злонамерниот код вклучувала можност за преземање на контекстуалните информации за тајните податоци за време на скенирањето на историјата на Git.

„Овој злонамерен код беше распоредуван во повеќе фази“, соопшти GitGuardian. „Најпрво беше испратен до 160 претходно идентификувани жртви, а потоа, 20 минути подоцна, до 28.000 нови складишта во периодот од 8 до 9 октомври. Нови бранови со истиот злонамерен код беа забележани и на 10 и 12 октомври. Сепак, GitHub почна да го спречува извршувањето на злонамерниот работен тек на 9 октомври. Затоа, овие два последователни брана не успеаја да извлечат тајни податоци.“

Интересно е што дел од жртвите во овој нов бран биле компромитирани и во претходните бранови од септември 2025 и август 2026 година. Ова укажува дека напаѓачите сметаат на можноста украдените тајни податоци сè уште да не биле заменети или отповикани, па затоа сè уште да можат да ги искористат за понатамошни напади.

Извори:

• The Hacker News – GhostAction Compromises About 1,900 GitHub Accounts, Targets Over 30,000 Repositories The Hacker News