A campanha GhostAction voltou com uma técnica mais ampla. Em 8 de outubro, duas contas de mantenedor comprometidas injetaram um workflow malicioso em 346 repositórios do GitHub, entre eles o uber/athenadriver e o kitao/pyxel, que tem mais de 18 mil estrelas.
O arquivo se chama security-audit.yml e entra com mensagem de commit sobre auditoria de segurança. O disfarce é justamente o de uma rotina de proteção, o que reduz a chance de o mantenedor legítimo estranhar a mudança.
O workflow roda sozinho a cada envio de código. Ele coleta as credenciais e as envia por requisição HTTP para um servidor controlado pelos atacantes, sem depender de qualquer ação de quem mantém o projeto.
A mudança em relação às ondas anteriores está no alcance da coleta. Antes o ataque levava apenas o que estava guardado nos secrets do GitHub Actions. Agora também varre a árvore de trabalho e o histórico completo do git em busca de credenciais esquecidas em commits antigos.
A lista de alvos cobre chaves de acesso da AWS, tokens do GitHub e do GitLab, chaves de API do Google, tokens de Slack e SendGrid, credenciais da OpenAI e da Anthropic, senhas do PyPI e tokens do crates.io.
A rajada de 8 de outubro é parte de algo maior. Desde 7 de outubro, mais de 500 contas do GitHub plantaram workflows desse tipo, e campanhas anteriores somaram 817 repositórios em setembro de 2025 e outros 772 entre agosto e setembro deste ano.
A recomendação é revogar sessões do GitHub, tokens de acesso pessoal, concessões OAuth e chaves SSH, varrer o histórico inteiro do git, revisar os registros de execução do Actions e exigir regra estrita de revisão para qualquer alteração na pasta de workflows.
