Un acteur malveillant surnommé Gheist transforme les comptes GitHub compromis en plateformes de collecte d’informations d’identification. En implantant des workflows GitHub Actions malveillants dans des référentiels privés, les attaquants peuvent exposer les secrets du référentiel et de l’environnement, puis les récupérer via les API GitHub avant de supprimer les preuves de l’activité.
Suivie depuis le 15 septembre par Wiz Research, la campagne a laissé plus de 13 500 branches malveillantes sur plus de 850 comptes compromis, couvrant des projets personnels et des référentiels d’entreprises privées.
L’arme de la campagne est GitHub Actions, le service d’automatisation de la plateforme, que les attaquants utilisent pour transformer les accès volés en identifiants récupérés. L’automatisation crée une branche, ajoute un workflow nommé « sync-check » qui tente d’imprimer des secrets dans les journaux d’exécution, récupère ces journaux via l’API GitHub et supprime le workflow exécuté quelques secondes plus tard.
