קמפיין GhostAction חוזר: workflow זדוני נשתל במאות מאגרי GitHub וגונב אישורים

חוקרים מדווחים על גל חדש של קמפיין GhostAction: שני חשבונות GitHub של מתחזקי קוד פתוח שימשו לדחיפת קובץ workflow שמתחזה לבדיקת אבטחה, ובפועל אוסף סודות מהמאגר ושולח אותם החוצה.

הפרטים

לפי StepSecurity, חשבון של מחבר מנוע המשחקים pyxel שימש להוספת הקובץ ל-27 מאגרים, ובהמשך אותו יום חשבון של מחבר athenadriver של Uber שימש להוספתו ל-318 מאגרים בחלון של 16 דקות. Socket מדווחת על יותר מ-500 חשבונות שהכניסו את אותו קובץ, ועל עשרות אלפי מאגרים מאז 7 באוקטובר. GitGuardian תיעדה גל קודם, מ-31 באוגוסט עד 30 בספטמבר 2026, ב-772 מאגרים ציבוריים.

הקובץ נקרא security-audit.yml או github_actions_security.yml, ומופעל ב-workflow_dispatch ובכל push. הוא סורק את העץ הנוכחי ואת כל היסטוריית ה-git אחר 13 תבניות של אישורים (ענן, מפתחות AI, SSH, טוקנים של npm ו-PyPI ועוד), ושולח אותם ב-curl לכתובת 193.32.204[.]199 ב-HTTP רגיל. החוקרים משערים שהתוקף השיג טוקן גישה מלוגים של infostealer. נכון לדיווח לא נמצאו גרסאות חבילה זדוניות שפורסמו עם האישורים שנגנבו.

נקודות לשים לב

חפש בכל המאגרים והענפים שלך את הקבצים security-audit.yml ו-github_actions_security.yml מאז 31 באוגוסט 2026; אם נמצא, הנח שהמאגר נפרץ.
החלף כל אישור שהיה חשוף, כולל כאלה שנמחקו בעבר אך נשארו בהיסטוריית ה-git; מחיקת הקובץ לבדה לא מספיקה.
בטל את הטוקן שדרכו נדחף הקובץ והפעל אימות דו-שלבי.
בדוק גם forks ומראות: הקובץ עשוי לעבור אליהם, ואם Actions פעיל בהם, כל push יפעיל את הגניבה.
חפש בלוגי רשת תעבורה יוצאת ל-193.32.204[.]199.