Gheist: logs indicam mais de 900 comprometimentos, diz The DFIR Report
A campanha Gheist usou tokens de acesso roubados para commitar workflows maliciosos em mais de 13.500 branches do GitHub e imprimir segredos dos repositórios em logs do Actions apagados segundos depois, segundo a Wiz. O The DFIR Report relata que o workflow conseguia varrer milhões de alvos expostos na internet e que logs indicam mais de 900 comprometimentos confirmados. A pausa de aprovação do GitHub não cobre repositórios privados nem o GitHub Enterprise Server; revogue tokens expostos e troque segredos comprometidos, inclusive credenciais de nuvem.
O que aconteceu
Atacantes da campanha Gheist usaram tokens de acesso roubados para commitar workflows maliciosos em mais de 13.500 branches do GitHub. Os workflows imprimiam segredos dos repositórios em logs do Actions apagados segundos depois, segundo a Wiz. Logs analisados pelo The DFIR Report indicam mais de 900 comprometimentos confirmados.
Por que importa
Segredos de repositórios podem ter sido expostos, inclusive credenciais de nuvem, abrindo caminho para acesso adicional aos ambientes. A pausa de aprovação do GitHub não cobre repositórios privados nem o GitHub Enterprise Server, onde workflows chegaram a rodar, segundo a Wiz. Qualquer empresa com repositórios no GitHub está no escopo.
O que fazer
Revogue tokens de acesso expostos e troque segredos comprometidos, inclusive credenciais de nuvem. Revise branches e workflows desconhecidos, em especial ci-sync e sync-check.yml, e examine os logs do Actions.
Para o time técnico
- Afetados
- Repositórios e branches no GitHub (workflows maliciosos via tokens de acesso roubados) · Repositórios GitHub e GitHub Actions acessíveis por um token roubado; repositórios privados e GitHub Enterprise Server não são cobertos pela pausa de aprovação de repositórios públicos, segundo a Wiz.
- Exploração
- Exploração relatada em larga escala pela Wiz e pela Infosecurity Magazine: mais de 13.500 branches e repositórios visados. The DFIR Report: logs indicam mais de 900 comprometimentos confirmados e o workflow era capaz de varrer milhões de alvos expostos na internet.
- Correção
- Sem versão corrigida. Mitigação: revogar tokens expostos, trocar segredos comprometidos (inclusive credenciais de nuvem) e revisar branches e workflows desconhecidos, como ci-sync e sync-check.yml.
- Vetor
- Tokens de acesso GitHub roubados criavam um branch ci-sync-<6 caracteres> com o arquivo .github/workflows/sync-check.yml (mensagem de commit 'ci: sync config') em repositórios alcançáveis pelo token. O workflow extraía segredos dos repositórios pelos logs do GitHub Actions, apagados segundos depois. A pausa de aprovação do GitHub para repositórios públicos não cobre repositórios privados nem o GitHub Enterprise Server.
- Mais detalhes
- A Wiz aponta que a tentativa de abuso em larga escala tropeçou. O The DFIR Report publicou análise da capacidade do workflow de varrer milhões de alvos. A fonte da Wiz registra início do incidente em 15 de setembro de 2026.
Linha do tempo
O The DFIR Report publica análise mostrando que o workflow malicioso conseguia varrer milhões de alvos expostos na internet, com logs indicando mais de 900 comprometimentos confirmados.
Incidente aberto.
Pesquisa da Wiz sobre a campanha 'Gheist' detalha o método: tokens roubados criavam branches ci-sync com o workflow sync-check.yml para extrair segredos dos logs do Actions, mas a operação em larga escala tropeçou. Repositórios privados e o GitHub Enterprise Server não são cobertos pela pausa de apr
Fontes 4 fontes
- Gheist: Attempted Scaled Abuse of Stolen GitHub Tokens Stumbles Wiz Research
- Gheist Uses Stolen GitHub Tokens to Steal Private Repository Secrets via Actions Logs The Hacker News
- Gheist Attackers Stumble in Attempt to Abuse GitHub Tokens Infosecurity Magazine
- @TheDFIRReport @TheDFIRReport
