Um ator de ameaça apelidado de Gheist está transformando contas comprometidas do GitHub em plataformas de coleta de credenciais. Ao implantar fluxos de trabalho maliciosos do GitHub Actions em repositórios privados, os invasores podem expor segredos do repositório e do ambiente e, em seguida, recuperá-los por meio de APIs do GitHub antes de excluir evidências da atividade.
Rastreada desde 15 de setembro pela Wiz Research, a campanha deixou mais de 13.500 ramificações maliciosas em mais de 850 contas comprometidas, abrangendo projetos pessoais e repositórios de empresas privadas.
A arma da campanha é o GitHub Actions, o serviço de automação da plataforma, que os invasores estão usando para transformar acessos roubados em credenciais coletadas. A automação cria uma ramificação, adiciona um fluxo de trabalho chamado “sync-check” que tenta imprimir segredos em logs de execução, recupera esses logs por meio da API GitHub e exclui a execução do fluxo de trabalho segundos depois.
