GhostAction взломала 1900 аккаунтов GitHub ради секретов
Коротко: 8–9 октября 2026 года кампания, получившая название GhostAction, скомпрометировала около 1900 аккаунтов GitHub и внедрила вредоносные GitHub Actions workflow более чем в 30 000 репозиториев. Файлы маскировались под рутинные проверки безопасности — «security-audit.yml» или «github_actions_security.yml» — и тайно отправляли все найденные секреты: токены CI/CD, ключи облачных провайдеров и ИИ-сервисов на жёстко прописанный IP-адрес. GitHub заблокировал запуск вредоносных workflow 9 октября, но разработчикам, чьи аккаунты или зависимости затронуты, всё равно нужно сменить скомпрометированные ключи. Если вы ведёте разработку и храните пароли и токены в браузере или менеджере паролей, разбор того, как их не потерять при утечке, есть в материале о безопасности менеджера паролей.
Что произошло
По данным исследователей StepSecurity и GitGuardian, атакующие получали запись в репозитории с помощью украденных Personal Access Tokens (PAT) — персональных токенов доступа, которые ранее утекли через инфостилеры или базы данных слитых учётных данных. Точный первоисточник утечки самих PAT пока не подтверждён. Получив доступ к аккаунту мейнтейнера, злоумышленники добавляли в репозиторий новый workflow-файл GitHub Actions под правдоподобным именем «проверки безопасности» — расчёт был на то, что разработчики не станут пристально изучать файл, который выглядит как часть штатного CI/CD-процесса.
Как работал вредоносный workflow
Замаскированный процесс собирал две категории данных: заранее сохранённые секреты GitHub Actions (переменные окружения с паролями и токенами, которые разработчики специально держат в зашифрованном хранилище репозитория) и любые облачные, ИИ- и SaaS-учётные данные, какие удавалось найти в рабочем дереве проекта и во всей истории git-коммитов — включая случайно закоммиченные и давно удалённые из текущей версии кода ключи. Всё найденное отправлялось обычным HTTP-запросом на жёстко прописанный IP-адрес атакующих. Пик активности пришёлся на 8 и 9 октября 2026 года: за это время злоумышленники попытались извлечь 3174 секрета из скомпрометированных репозиториев.
Почему это не просто «ещё один взлом GitHub»
GhostAction — классическая атака на цепочку поставок (supply chain attack): целью были не сами разработчики, а инфраструктура, через которую их код распространяется дальше. Украденные токены CI/CD дают доступ к пайплайнам сборки и публикации — а значит, теоретически позволяют встроить вредоносный код в пакет или образ, который потом скачают тысячи других разработчиков и их пользователей. Отдельная цель атаки — ключи ИИ-сервисов: доступ к API крупных ИИ-провайдеров стоит денег и открывает возможность как минимум злоупотребить чужим платным лимитом, а в худшем случае — получить доступ к внутренним данным и промптам компании. Похожий принцип — массовая кража учётных данных через заражённое ПО, а не через прямой взлом сервиса, — мы разбирали в материале про инфостилеры и кражу паролей.
Что сделал GitHub и что осталось делать разработчикам
GitHub заблокировал запуск вредоносных workflow 9 октября 2026 года — две последующие волны атаки уже не смогли извлечь секреты. Но блокировка самого механизма не отменяет компрометацию уже украденных данных: если ваш аккаунт или используемая вами зависимость попали в число затронутых, старые секреты остаются действительными ключами в руках атакующих, пока их не отозвать вручную.
- Проверьте список GitHub Actions workflow в своих репозиториях на файлы с подозрительно общими именами вроде «security-audit.yml» или «github_actions_security.yml», которые вы сами не добавляли.
- Отзовите и перевыпустите все секреты GitHub Actions, облачные и ИИ-ключи, если есть малейшее подозрение на компрометацию аккаунта или зависимости.
- Используйте короткоживущие токены (fine-grained PAT с ограниченным сроком действия и минимальными правами) вместо классических PAT без срока годности.
- Включите обязательное ревью для изменений в файлах
.github/workflows/— новый workflow от скомпрометированного аккаунта мейнтейнера не должен попадать в main без проверки второго человека. - Если вы администрируете CI/CD-инфраструктуру удалённо через нестабильные или публичные сети, VPN на устройстве снижает риск перехвата сессии управления — например, функции LiMP VPN для Windows, Android и Chrome.
Источники
Частые вопросы
Как понять, что мой репозиторий затронула атака GhostAction?
Проверьте папку .github/workflows/ на файлы с именами вроде «security-audit.yml» или «github_actions_security.yml», которые вы сами не создавали, а также историю последних коммитов на действия от незнакомых или давно не активных мейнтейнеров. Если находите такой файл — немедленно удалите его и отзовите все секреты репозитория.
Атака уже остановлена — нужно ли мне ещё что-то делать?
Да. GitHub заблокировал запуск вредоносных workflow 9 октября 2026 года, но это не отменяет уже украденные до этой даты секреты — они остаются рабочими ключами у атакующих, пока вы не отзовёте и не перевыпустите их вручную.
Поможет ли VPN защититься от атак вроде GhostAction?
Напрямую нет — GhostAction использовала украденные токены доступа, а не перехват трафика, так что от неё защищают короткоживущие токены, ревью изменений в workflow и отзыв скомпрометированных ключей. VPN полезен в смежном сценарии: если вы администрируете CI/CD или облачную инфраструктуру удалённо через публичные или недоверенные сети, он снижает риск перехвата вашей собственной сессии управления.