Kybernetická kampaň GhostAction výrazně rozšířila své aktivity proti vývojářskému ekosystému GitHub. Podle analýzy bezpečnostní společnosti GitGuardian se útočníci zaměřili na více než 30 000 softwarových repozitářů patřících přibližně 3 000 uživatelům a organizacím.
Nejvýraznější nárůst aktivity byl zaznamenán 8. a 9. října 2026. Útočníkům se podle výzkumníků podařilo kompromitovat účty zhruba 1 900 uživatelů GitHubu, prostřednictvím kterých se pokusili získat více než 3 100 citlivých přístupových údajů.
GhostAction představuje útok na softwarový dodavatelský řetězec. Útočníci nejprve získají přístup k legitimnímu vývojářskému účtu, například pomocí odcizených osobních přístupových tokenů nebo přihlašovacích údajů získaných jiným malwarem.
Následně do repozitářů vkládají škodlivé automatizační soubory GitHub Actions, které se vydávají za legitimní bezpečnostní kontroly.
Útok se zaměřuje na tajné údaje používané při vývoji softwaru
Škodlivé pracovní postupy jsou navrženy tak, aby při spuštění prohledávaly prostředí kontinuální integrace a nasazování softwaru, označované jako CI/CD.
Jejich hlavním cílem jsou přístupové údaje ke cloudovým službám, tokeny registrů softwarových balíčků a API klíče poskytovatelů umělé inteligence.
Útočníci postupně zdokonalovali také vyhledávání tajných údajů v historii Git repozitářů. Novější varianty dokážou procházet starší změny zdrojového kódu a získávat kontext potřebný k identifikaci kompletních přístupových klíčů.
Podle GitGuardian byla škodlivá automatizace nejprve nasazena do 160 dříve napadených projektů. Přibližně o 20 minut později následovala rozsáhlá vlna proti 28 000 dalším repozitářům.
GitHub začal od 9. října blokovat spouštění identifikovaných škodlivých pracovních postupů. Další vlny zaznamenané 10. a 12. října tak podle výzkumníků již nedokázaly prostřednictvím těchto automatizací získávat tajné údaje.
Zajímavé je, že mezi opakovaně zasaženými projekty byly také repozitáře napadené během předchozích kampaní v roce 2025 a v srpnu 2026. To naznačuje, že útočníci spoléhají na přístupové údaje, které jejich vlastníci po předchozích incidentech nezměnili.
Organizace využívající GitHub by proto měly prověřit historii změn automatizačních souborů, zneplatnit potenciálně kompromitované tokeny a důsledně omezit oprávnění jednotlivých účtů.
Případ GhostAction potvrzuje, že legitimní vývojářská infrastruktura může být zneužita k masovému získávání přístupových údajů, aniž by útočníci potřebovali přímo napadnout servery jednotlivých zákazníků.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
