Eine Supply-Chain-Kampagne, die die Konten von Entwicklern kapert, um Zugangsdaten stehlende Workflows in GitHub-Repositories zu platzieren, ist erneut aufgeflammt. Forscher zählen inzwischen mehr als 500 kompromittierte Konten und Zehntausende betroffene Repositories.

Die als GhostAction bekannte Kampagne funktioniert so: Angreifer erbeuten die GitHub-Zugangsdaten eines Maintainers – oft ein persönliches Access-Token aus Infostealer-Logs – und schieben dann unter dessen eigenem Namen einen bösartigen Workflow, meist security-audit.yml oder github_actions_security.yml, in das Repository.

StepSecurity berichtete, das Konto von Takashi Kitao, Autor der 18.400-Sterne-Game-Engine pyxel, sei genutzt worden, um den Workflow in 27 Repositories zu pushen; Stunden später schob das Konto von Henry Woo, Originalautor von Ubers athenadriver, ihn in einem 16-Minuten-Fenster in 318 Repositories. Socket erklärte, seit dem 7. Oktober mehr als 500 Konten identifiziert zu haben, die den Workflow in Zehntausende Repositories committeten.

Die Nutzlast läuft bei workflow_dispatch und jedem Push, lädt die gesamte Git-Historie und sucht nach 13 Zugangsdaten-Mustern – AWS-Schlüssel, GitHub- und GitLab-Token sowie Anthropic-, OpenAI- und OpenRouter-API-Keys – und schickt sie über einfaches HTTP an eine vom Angreifer kontrollierte IP-Adresse. GitGuardian und Socket warnen, dass Forks den Workflow erben und private Forks am stärksten exponiert sind, weil dort committete Secrets tatsächlich liegen.

Der Rat der Forscher ist klar: Bei Fund des Workflows Kompromittierung annehmen, Zugangsdaten rotieren und ihn aus allen Branches löschen.

Quellen