Безопасность 18 октября 2026, 13:01 МСК

Кампания GhostAction: взломано около 1 900 аккаунтов GitHub, затронуты 30 000 репозиториев

Злоумышленники из кампании GhostAction через украденные учётные данные внедрили вредоносные процессы GitHub Actions в более чем 30 000 репозиториев, чтобы похитить секреты.

По данным «Хабр Новостей», пик активности пришёлся на 8–9 октября. Хакеры пытались извлечь 3 174 секрета: токены CI/CD, ключи доступа к облакам и API-ключи ИИ-провайдеров, включая Anthropic, OpenAI и OpenRouter. Аналитики StepSecurity предполагают, что источником стали утёкшие персональные токены доступа (PAT), но точный вектор атаки не подтверждён.

Вредоносные файлы маскировали под проверки безопасности (security-audit.yml, github_actions_security.yml). Октябрьская версия с помощью actions/checkout@v4 и fetch-depth: 0 сканировала всю историю Git, поэтому под угрозой оказались и давно удалённые из кода ключи. Данные уходили по HTTP на IP-адрес 193.32.204.199.

В предыдущих волнах в августе и сентябре вредоносные процессы нашли в 772 публичных репозиториях, а к 5 октября очистили их лишь 16% пострадавших. Исследователи рекомендуют проверить аудит-журналы и историю запусков Actions, отозвать данные скомпрометированных аккаунтов и перевыпустить все возможно затронутые ключи, даже удалённые из кода.

• ~1 900 аккаунтов и более 30 000 репозиториев
• Попытка извлечь 3 174 секрета
• К 5 октября очистились лишь 124 из 772 пострадавших репозиториев прошлых волн