Pesquisadores da OpenSourceMalware contaram 790 repositórios do GitHub com workflow malicioso do Actions plantado pela campanha GhostAction, em levantamento de repositórios validados e recuperáveis publicamente até 9 de outubro.
O número não significa que todo repositório tenha vazado credencial ou sofrido uso indevido confirmado. A GitGuardian havia contado 772 repositórios entre 31 de agosto e 30 de setembro, em período e conjunto de evidências diferentes, e as duas contagens não se somam.
A campanha abusa de conta de desenvolvedor confiável. Quem consegue escrever nos repositórios de um mantenedor acrescenta um workflow que roda a cada envio de código ou por acionamento manual, e esse workflow expõe os segredos aos quais tem acesso.
O estágio mais recente lê segredos selecionados do Actions e procura nos arquivos do repositório cadeias que pareçam credencial, entre elas chaves de acesso da AWS e tokens de GitHub, GitLab, Google, Slack, SendGrid, OpenAI, Anthropic e OpenRouter. São alvos da busca, não lista do que foi levado.
O workflow também clona o histórico completo do Git, onde chave removida do código atual ainda aparece em commit antigo, e em alguns casos recolhe as linhas vizinhas ao identificador de chave da AWS, que podem conter a chave secreta correspondente. O envio sai em texto aberto para infraestrutura do atacante.
O alcance passou por projeto ativo, fork e repositório parado há muito tempo, padrão que indica descoberta automatizada de tudo o que as contas comprometidas podiam alterar. Um surto separado de 8 de outubro atingiu 346 repositórios ligados a duas contas de mantenedor, entre eles um projeto da Uber.
Remover o arquivo do workflow não encerra o caso. Execução bem-sucedida já expõe credencial, e a remoção não revoga token roubado nem apaga segredo de commit antigo. A orientação é revogar a credencial da conta usada, rotacionar todo segredo ao qual o workflow tinha acesso e revisar releases e atividade em nuvem do período.
