Repositórios e GitHub Actions · Exploração confirmada

GhostAction: 22.964 repositórios visados, 1.792 contas comprometidas e tokens reutilizados

07 de out. de 2026 · 2 min de leitura

A campanha GhostAction compromete contas de mantenedores no GitHub para injetar workflows falsos que roubam segredos do Actions e credenciais de todo o histórico Git. Pesquisadores ampliaram o alcance para 22.964 repositórios visados, mais de 72.000 commits maliciosos e 1.792 contas comprometidas, com cinco famílias de payload e tokens roubados ainda reutilizados, segundo o The Hacker News. Não há patch: revogue tokens e segredos, remova os arquivos maliciosos e trate sua presença como invasão confirmada.

Por Redação HIFY Radar Atualizado 28/10/2026 08:22 Receba isso todo dia →← Voltar ao feed 6 fontes

AltaCadeia de suprimentosExploração confirmadaCorreção parcial

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Ataques contínuos comprometeram contas de desenvolvedores no GitHub e usaram esse acesso para injetar rotinas de automação maliciosas em milhares de repositórios, roubando senhas e chaves de acesso a sistemas de nuvem. Pesquisadores citados pelo The Hacker News ampliaram os números: 22.964 repositórios visados, mais de 72.000 commits maliciosos e 1.792 contas comprometidas, com cinco famílias de payload. Um segundo estágio atinge o computador do desenvolvedor pelo VS Code, rouba credenciais e instala execução remota de comandos do atacante a cada cinco minutos.

Por que importa

Toda credencial configurada no repositório e qualquer senha gravada no histórico Git, mesmo as removidas depois, foi oferecida ao atacante, segundo a StepSecurity, que recomenda tratar a presença do arquivo malicioso como invasão confirmada. O repositório uber/athenadriver e o projeto pyxel foram atingidos, e o The Hacker News relata que tokens roubados continuam sendo reutilizados. Credenciais de publicação de pacotes roubadas permitiriam lançar versões falsas de software confiável, afetando todos que dependem dele.

O que fazer

Revogue imediatamente todos os tokens, chaves e senhas de repositórios acessíveis por contas comprometidas, incluindo o que aparecer no histórico Git. Ordene remoção dos arquivos maliciosos (security-audit.yml, github_actions_security.yml.vscode/tasks.json e public/fonts/fa-solid-400.woff2) e busca pelos indicadores publicados, como o IP 193.32.204.199 e o marcador AKIA_CTX_START. Trate cada achado como invasão confirmada e examine as máquinas dos desenvolvedores.

Para o time técnico

Afetados: Repositórios e GitHub Actions (campanha GhostAction; 22.964 repositórios visados, 72.000+ commits maliciosos, 1.792 contas comprometidas, 5 famílias de payload) · Repositórios onde contas comprometidas tinham escrita; sem falha própria do produto GitHub. Onda de 8 de outubro de 2026: 346 repositórios, incluindo uber/athenadriver e kitao/pyxel, sendo 318 sob henrywoo (39 próprios e 279 forks) e 27 sob kitao (Socket); GitGuardian registra a onda de 8 a 12 de outubro de 2026. Segundo estágio: 1.279 repositórios de 411 contas até 26 de outubro, sendo 1.230 com o conjunto completo e 114 sem o workflow do estágio 1 (OpenSourceMalware). Totais segundo o The Hacker News: 22.964 repositórios e 1.792 contas.
Exploração: Exploração ativa e confirmada em escala. O log de uber/athenadriver mostra o servidor do atacante acusando o recebimento 4 segundos após o início do workflow (StepSecurity). Socket identificou mais de 500 contas que cometeram o workflow em dezenas de milhares de repositórios desde 7 de outubro de 2026, incluindo contas de organizações. The Hacker News: tokens roubados seguem sendo reutilizados. Socket não observou pacotes maliciosos publicados no PyPI ou crates.io até 9 de outubro de 2026. Em 9 de outubro, o workflow ainda estava na branch padrão de uber/athenadriver e kitao/pyxel.
Correção: Sem correção de produto. Revogue todos os tokens e segredos expostos, incluindo credenciais presentes no histórico Git, e remova .github/workflows/security-audit.yml.github/workflows/github_actions_security.yml.vscode/tasks.json e public/fonts/fa-solid-400.woff2. Remova o cron job marcado #ghc2 nas máquinas de desenvolvimento. StepSecurity: workflow Security Audit ou Github Actions Security aparecido desde 31 de agosto de 2026 deve ser tratado como invasão confirmada, pois beacona a cada execução mesmo sem achar nada. Consultas publicadas no github.com/search: 'AKIA_CTX_START' path:.github/workflows, 'c=monami', '193.32.204.199' path:.github/workflows, e variantes org:.
Vetor: Comprometimento de contas de mantenedores, provavelmente com tokens pessoais vazados em logs de infostealer (StepSecurity), seguido de commit direto na branch padrão, sem PR nem revisão, de workflows falsos (security-audit.yml, github_actions_security.yml) que rodam a cada push sem filtro e via workflow_dispatch. O workflow coleta os segredos nomeados do Actions (nomes exatos templados após reconhecimento), varre a árvore de trabalho e todo o histórico Git (fetch-depth: 0, 13 padrões de credenciais, contexto de chaves AWS AKIA/ASIA) e envia tudo em um único POST por HTTP simples a um IP fixo. Segundo estágio: .vscode/tasks.json com runOn folderOpen executa node ./public/fonts/fa-solid-400.woff2, falso arquivo de fonte em Node.js que lê oito arquivos de credenciais (.aws/credentials.pypirc.npmrc.git-credentials.netrc.claude/.credentials.json.gemini/oauth_creds.json.kube/config), chaves SSH id_rsa e id_ed25519 completas, variáveis de ambiente AWS_, ANTHROPIC, OPENAI, HF_TOKEN, GITHUB_TOKEN, e instala cron job que baixa e executa comandos do servidor a cada cinco minutos.
Mais detalhes: Cadeia em quatro etapas: comprometimento de conta, reconhecimento dos nomes exatos de segredos usados nos workflows, injeção direta na branch padrão sob a identidade legítima da vítima (commits sem assinatura, mensagem 'Add security audit workflow') e exfiltração via curl em HTTP simples. O endpoint de exfiltração mudou dos domínios de setembro de 2025 (45.139.104.115) para o IP 193.32.204.199, observado na campanha desde pelo menos 4 de setembro de 2026 e em honeypot um dia antes. A campanha original, documentada pela StepSecurity em setembro de 2025, roubou mais de 3.000 segredos em 817 repositórios de 327 desenvolvedores. O segundo estágio via VS Code copia técnica do campaign PolinRider, atribuído à Coreia do Norte e descoberta por Thijs Xhaflaire (Jamf Threat Labs) em janeiro de 2026; sem IOCs compartilhados com malware da RPDC, OpenSourceMalware o rotula como copycat.

Indicadores (IoCs)

193.32.204.199:3000/api/workflow/receive?inj=<id>
AKIA_CTX_START
c=monami
.github/workflows/security-audit.yml
public/fonts/fa-solid-400.woff2
bold-dhawan.45-139-104-115.plesk.page
carte-avantage.com
45.139.104.115

Linha do tempo

28/10/2026 08:22
Pesquisadores ampliam o alcance da campanha: 22.964 repositórios visados, mais de 72.000 commits maliciosos e 1.792 contas comprometidas.
26/10/2026 13:34
GitGuardian documenta nova onda de GhostAction contra centenas de repositórios.