Credential-Stealing GitHub Actions Workflows Planted in Tens of Thousands of Repositories
The Hacker News · 9 oct, 21:14
Qué hacer: Revoca las credenciales comprometidas de GitHub, rota todos los secretos de CI/CD y proveedores de IA, elimina los workflows "security-audit.yml" o "github_actions_security.yml" de todas las ramas e historial, y verifica los forks e integraciones corriente abajo del repositorio.
Una campaña de robo de credenciales llamada GhostAction ha comprometido cuentas de mantenedores de código abierto en GitHub para inyectar workflows maliciosos en decenas de miles de repositorios desde octubre de 2026. Los workflows, disfrazados de auditorías de seguridad, extraen secretos de CI/CD, tokens de PyPI, npm y DockerHub, así como credenciales de proveedores de IA como OpenAI, Anthropic y OpenRouter, entre otros servicios en la nube. La campaña afecta a más de 500 cuentas de GitHub y ha exfiltrado miles de secretos, representando un ataque crítico a la cadena de suministro de software.
Los atacantes obtienen credenciales de mantenedores (probablemente tokens de acceso personal filtrados en registros de infostealers) e inyectan workflows GitHub bajo la identidad de la víctima. El workflow malicioso se activa en cualquier push a cualquier rama y ejecuta un paso llamado "Audit" que realiza cuatro acciones: recoge los secretos nombrados en el repositorio, escanea el árbol de trabajo en busca de 13 patrones de credenciales (claves AWS, servicios de IA, control de código fuente, APIs de SaaS), revisa todo el historial de git para capturar credenciales accidentalmente comprometidas y eliminadas después, y empareja IDs de acceso AWS con sus claves secretas correspondientes. Los datos se envían a una dirección IP controlada por atacantes (193.32.204[.]199) mediante HTTP sin cifrar.
Entre agosto 31 y septiembre 30 de 2026, el workflow fue inyectado en 772 repositorios públicos. La campaña busca SSH privadas, credenciales de Azure, tokens de DockerHub, GHCR, bases de datos, claves de acceso AWS, credenciales FTP, credenciales de Google Cloud y Firebase, tokens de GitHub, bots de Telegram, Slack, Discord, y claves de Cloudflare, npm, PyPI y proveedores de IA. En al menos un caso, los actores de amenaza embebieron un minero de criptomonedas XMRig en una imagen Docker. Los repositorios bifurcados heredan el workflow, y los forks privados son especialmente vulnerables porque es donde típicamente se encuentran credenciales comprometidas.
Puntos clave
- Más de 500 cuentas de GitHub comprometidas desde octubre 7 de 2026; workflow inyectado en decenas de miles de repositorios
- Extrae credenciales de CI/CD, tokens de PyPI/npm/DockerHub, claves AWS, API keys de OpenAI, Anthropic, OpenRouter y otros servicios en la nube
- El workflow se activa en cualquier push y escanea el historial completo de git, incluyendo credenciales eliminadas previamente
- Revoca credenciales de GitHub comprometidas, rota todos los secretos afectados, elimina el workflow de todas las ramas, y verifica los forks del repositorio
Figuras de la fuente
