Admin
Администратор
Кампания по краже учетных данных GhostAction активизировалась, нацелившись на более чем 30 000 репозиториев среди 3000 пользователей и организаций. Пик активности был зафиксирован 8 и 9 октября 2026 года. По данным GitGuardian, это стало результатом компрометации около 1900 аккаунтов GitHub. Злоумышленники попытались извлечь 3174 секрета из публичных репозиториев CI. GhostAction представляет собой кампанию атаки на цепочку поставок, нацеленную на инфраструктуру разработчиков на GitHub. Впервые обнаруженная в сентябре 2025 года, она включает компрометацию легитимных аккаунтов разработчиков для внедрения вредоносных рабочих процессов GitHub Actions в репозитории программного обеспечения. Злоумышленники получают доступ к репозиториям с использованием украденных токенов доступа или учетных данных, собранных из логов и дампов. Используя скомпрометированные аккаунты, они внедряют вредоносные файлы рабочих процессов под обманчивыми именами, такими как Security Audit или GitHub Actions Security. Целью кампании является крупномасштабная кража секретов CI/CD, облачных учетных данных, токенов реестров пакетов и ключей API провайдеров искусственного интеллекта. Новая волна GhostAction была замечена с 31 августа 2026 года, когда вредоносные рабочие процессы были внедрены в сотни репозиториев. По данным GitGuardian, эта новая волна кажется более экспериментальной и ручной, чем предыдущие, с эволюционирующим полезным кодом. GitHub начал блокировать выполнение вредоносных рабочих процессов с 9 октября, что предотвратило извлечение секретов в последующих волнах.
