بر اساس گزارش‌های منتشر شده، یک کمپین مخرب با نام Gheist با هدف قرار دادن مخازن (Repositories) گیت‌هاب، بیش از ۱۳,۵۰۰ شاخه (Branch) را با تزریق گردش‌کارهای (Workflows) سرقت اطلاعات آلوده کرده است.
محققان شرکت Wiz از اواسط سپتامبر این عملیات را رصد کرده و بیش از ۸۵۰ حساب کاربری هک شده را شناسایی نموده‌اند. مهاجمان با استفاده از توکن‌های دسترسی (Access Tokens) سرقتی، اقدام به ایجاد شاخه‌های جدید و تزریق GitHub Actions workflows می‌کنند. این گردش‌کارها به گونه‌ای طراحی شده‌اند که اسرار (Secrets) مخزن را به داخل لاگ‌ها (Logs) منتقل کرده و سپس از طریق رابط برنامه‌نویسی (API) آن‌ها را استخراج کنند. برای جلوگیری از شناسایی، مهاجمان بلافاصله پس از استخراج، اجرای عملیات (Runs) را حذف می‌کنند.
اگرچه کنترل‌های امنیتی جدید گیت‌هاب در تاریخ ۲۸ جولای، اجرای این گردش‌کارها را در مخازن عمومی (Public Repositories) با الزام تایید دستی محدود کرده است، اما مخازن خصوصی (Private Repositories) و محیط‌های GitHub Enterprise Server همچنان در برابر این حمله آسیب‌پذیر هستند. در این محیط‌ها، مهاجمان موفق به استخراج اعتبارنامه‌ها شده و از آن‌ها برای پیمایش (Enumerate) در سرویس AWS Secrets Manager استفاده کرده‌اند. این کمپین همچنین شامل توزیع بدافزار و فعالیت‌های استخراج ارز دیجیتال (Cryptomining) بوده است.
با وجود اینکه گیت‌هاب پس از گزارش‌های دریافتی، حدود دو سوم حساب‌های درگیر را حذف کرده است، محققان هشدار می‌دهند که این کمپین همچنان در حال تکامل است. این حادثه خطرات جدی استفاده از توکن‌های هک شده را برجسته می‌کند که به عاملان تهدید اجازه می‌دهد از قابلیت‌های خودکارسازی (Automation) قانونی برای سرقت اعتبارنامه‌ها استفاده کنند. نظارت دقیق بر محیط‌های توسعه، چه عمومی و چه خصوصی، امری حیاتی است.
