Gheist: טוקנים גנובים של GitHub משמשים לגניבת סודות דרך לוגים של Actions

חברת Wiz מתארת קמפיין אוטומטי בשם Gheist שמשתמש בטוקנים גנובים של GitHub כדי לשלוף סודות ממאגרים. הקמפיין פעיל לפחות מאמצע ספטמבר 2026, והיה עדיין פעיל ב-24 באוקטובר.

הפרטים

לפי Wiz, התוקף משתמש בטוקן עם הרשאת כתיבה, פותח ענף ששמו מתחיל ב-ci-sync- ומוסיף קובץ .github/workflows/sync-check.yml. ה-workflow מדפיס את הסודות של הריצה בקידוד base32, וכך עוקף את הטשטוש האוטומטי של GitHub בלוגים. התוקף מוריד את הלוג דרך ה-API ומוחק את הריצה תוך שניות, בלי שרת תקשורת שאפשר לחסום.

Wiz מדווחת על יותר מ-13,500 ענפים שנשתלו ועל יותר מ-850 חשבונות שנפגעו. מקורות הטוקנים כוללים לוגים של infostealer וטוקנים שנחשפו בתקריות שרשרת אספקה קודמות. מאז 28 ביולי GitHub מחזיקה ריצות חשודות לאישור ידני, אך רק במאגרים ציבוריים ב-github.com; במאגרים פרטיים וב-GitHub Enterprise Server ההתקפות הצליחו.

נקודות לשים לב

• חפש ענפים בתבנית ci-sync- ואחריה שישה תווים, והודעת קומיט ci: sync config שמוסיפה רק את sync-check.yml. סימן נוסף הוא ה-user agent gheist בלוגי ה-API.
• מצאת ריצה כזו? החלף כל סוד של המאגר, הארגון והסביבות, בטל את הטוקנים שדחפו את הקומיטים ובדוק אם במכשירי בעליהם יש infostealer.
• אם ענף כזה רץ על self-hosted runner, התייחס למכונה ולתפקיד הענן שלה כאל מפורצים.
• דרוש מאשרים בסביבות עם סודות פרודקשן, הגבל מדיניות OIDC לענפים או סביבות מוגנות, והעדף טוקנים קצרי טווח או GitHub Apps על פני PAT.
• אל תאשר ריצות מוחזקות של sync-check.

מקורות: Wiz · The Hacker News