**GhostAction вернулся: два аккаунта — 345 репозиториев и охота за старыми токенами**
**GhostAction вернулся: два аккаунта — 345 репозиториев и охота за старыми токенами** 8 октября GitHub накрыло двумя быстрыми волнами. Вредоносный workflow с именем `security-audit.yml` пушили прямо в основные ветки с захваченных аккаунтов разработчиков — без pull request, без ревью, без ожидания. Сначала аккаунт Takashi Kitao добавил файл в 27 репозиториев. Примерно через восемь часов аккаунт Henry Wu отправил тот же сценарий ещё в 318 проектов. Вторая серия заняла около 16 минут. Итого как минимум 345 репозиториев. Сохранённые права Henry Wu, например, позволили добавить вредоносный файл в `uber/athenadriver` от имени законного участника проекта. Сценарий маскируется под проверку безопасности. После запуска он забирает секреты GitHub Actions — токены, ключи и другие учётные данные, которыми автоматические задачи ходят во внешние сервисы. Затем загружает полную историю Git и ищет дополнительные ключи в старых коммитах, ветках и тегах. В список целей вошли AWS, GitHub, GitLab, Google, Firebase, Slack, SendGrid, а также API-ключи Anthropic, OpenAI и OpenRouter. Найденное уходит обычным HTTP-запросом на IP `193.32.204.199 `. Журнал запуска `uber/athenadriver` подтверждает: сервер злоумышленников принял отправку через четыре секунды после старта. В `pyxel` сценарий запускался пять раз: три — через захваченный аккаунт, два — вручную. Среди целей были учётные данные для публикации в PyPI и crates.io , а также персональный токен GitHub. Вредоносных релизов пакетов с этими ключами пока не нашли. К 9 октября поиск по GitHub находил `security-audit.yml` в основных ветках 378 репозиториев. Это не полный масштаб: часть форков не учитывается, а владельцы заражённых проектов уже удаляют файлы. GhostAction работает не первый год. В сентябре 2025 года он затронул 817 репозиториев и утащил как минимум 3325 секретов. С 31 августа по 30 сентября 2026 года исследователи нашли ещё 772 репозитория с предыдущей версией вредоносного сценария. Как именно получили контроль над аккаунтами, пока точно неизвестно. Версии — ранее украденные токены доступа или учётные данные из баз похитителей паролей. Прямых доказательств для нынешней волны нет. 🛠 Мнение DevGeek.IT: GhostAction бьёт не по коду, а по доверию к цепочке поставок. Самое неприятное: он выгребает то, что вы давно «удалили». В Git удаление — это часто просто ещё один коммит, а не забвение. Если ключ когда-то засветился в истории, он уже не чистый. Рекомендации для читателей: — Проверьте все ветки, теги и форки на `security-audit.yml` и подозрительные workflow. — Просмотрите логи GitHub Actions за октябрь, особенно запуски от неизвестных или скомпрометированных аккаунтов. — Отзовите всё, что могло быть в репозитории или Actions: AWS, GitHub PAT, GitLab, Google, Firebase, Slack, SendGrid, PyPI, crates.io , AI API. — Включите secret scanning и push protection, ограничьте права `GITHUB_TOKEN`, переходите на OIDC там, где можно. — Если репозиторий был заражён, считайте секреты скомпрометированными. - Ротация, аудит, при необходимости — очистка истории и проверка артефактов. — Уведомите downstream: ваши токены могли быть не только вашими.