GhostAction: скомпрометированы 1 900 аккаунтов GitHub
Злоумышленники в рамках кампании GhostAction получили доступ к примерно 1 900 учетным записям GitHub и внедрили вредоносные процессы GitHub Actions более чем в 30 000 репозиториев.
01Что случилось
Атака была направлена на похищение токенов CI/CD, облачных ключей доступа и API-ключей ИИ-провайдеров. Пик активности пришелся на 8 и 9 октября, всего злоумышленники попытались извлечь 3 174 секрета. Для доступа использовались украденные учетные данные разработчиков, а не уязвимости в механизме GitHub Actions. Вредоносные файлы маскировались под проверки безопасности, например security-audit.yml или github_actions_security.yml, и отправляли собранные данные на IP-адрес 193.32.204.199. По данным StepSecurity, источником могли стать утекшие персональные токены доступа (PAT), хотя точный вектор атаки не подтвержден. Исследователи из GitGuardian зафиксировали факты утечки во время октябрьской кампании.
02Почему это важно
Кампания затронула тысячи репозиториев и привела к компрометации конфиденциальных данных, включая ключи облачных сервисов и API-токены ИИ-провайдеров. Пострадавшим рекомендуется проверить журналы аудита, отозвать скомпрометированные учетные данные и перевыпустить ключи, даже если они были удалены из кода ранее.
Источники
- Хабр Новости habr.com