کمپین جدیدی تحت عنوان GhostAction با هدف قرار دادن بیش از ۵۰۰ حساب GitHub، موفق شده است از اکتبر ۲۰۲۶ تاکنون، Workflowهای مخربی را به ده‌ها هزار مخزن (Repository) تزریق کند.
مکانیسم حمله و سرقت اعتبارنامه‌ها
این عملیات بر سرقت GitHub Actions secrets، اعتبارنامه‌های ابری و کلیدهای API سرویس‌های هوش مصنوعی (AI) تمرکز دارد که در کد منبع یا تاریخچه مخازن قرار گرفته‌اند. مهاجمان با به دست آوردن دسترسی به حساب‌های Maintainer، فایل مخربی با نام .github/workflows/security-audit.yml را مستقیماً در شاخه‌های پیش‌فرض (Default Branches) مخازن ثبت کرده‌اند.
با وجود نام فریبنده «حسابرسی امنیتی»، این Workflow در واقع ابزاری برای جمع‌آوری اعتبارنامه‌ها است. این اسکریپت هنگام وقوع رویدادهای Push اجرا شده و می‌تواند به صورت دستی از طریق workflow_dispatch نیز فعال شود. مهاجمان پیش از استقرار، Workflowهای موجود را بررسی کرده تا نام Secretهای مورد نیاز را شناسایی و در Payload خود بگنجانند.
تحلیل پیشرفته و اسکن تاریخچه Git
نسخه جدید این حمله، قابلیت اسکن مخازن را به مکانیسم سرقت Secretها اضافه کرده است. این ابزار با استفاده از actions/checkout@v4 و تنظیم fetch-depth: 0، تمام تاریخچه شاخه‌ها و تگ‌ها را بازیابی کرده و با اجرای دستور git log -p --all، فایل‌های Working-tree و خروجی‌های Patch را بررسی می‌کند.
این متد اجازه می‌دهد تا اسراری که از فایل‌های فعلی حذف شده‌اند اما همچنان در Commitهای قدیمی موجود هستند، شناسایی شوند. الگوهای شناسایی شده شامل موارد زیر است:
- شناسه‌های دسترسی، Secret Keyها و Session Tokenهای AWS
- کلیدهای API سرویس‌های OpenAI، Anthropic و OpenRouter
- توکن‌های GitHub و GitLab
- اعتبارنامه‌های Google، Slack و SendGrid
استخراج داده‌ها و توصیه‌های امنیتی
داده‌های جمع‌آوری شده به همراه شناسه‌های مخزن، از طریق یک درخواست HTTP POST به صورت متن ساده (Cleartext) به سرور مهاجم ارسال می‌شوند. اگرچه تاکنون انتشار نسخه‌های مخرب در PyPI یا crates.io گزارش نشده است، اما ریسک دسترسی به زیرساخت‌های ابری سازمان‌ها بسیار بالاست.
اقدامات اصلاحی برای تیم‌های SOC و مهندسان امنیت
برای مقابله با این تهدید، اقدامات زیر توصیه می‌شود:
- حذف فوری Workflowهای تزریق شده و بررسی Logهای اجرا.
- ابطال دسترسی حساب‌های سازش‌یافته و چرخش (Rotate) تمامی اعتبارنامه‌های افشا شده.
- بررسی فعالیت‌های AWS CloudTrail برای شناسایی دسترسی‌های غیرمجاز.
- فعال‌سازی قابلیت Secret Scanning به همراه Push Protection در GitHub.
- مسدود کردن آدرس IP سرور استخراج داده‌ها در سطح شبکه.
