GhostAction: как вредоносные GitHub Actions воруют секреты CI/CD

По данным The Hacker News, кампания GhostAction скомпрометировала около 1900 аккаунтов GitHub и нацелилась более чем на 30 000 репозиториев, пытаясь извлечь свыше 3100 секретов — токены PyPI, npm, DockerHub и ключи облачных провайдеров. Независимо факты подтверждает разбор GitGuardian: исследователи зафиксировали новый всплеск активности 8–9 октября 2026 года, а первая волна той же схемы задела 327 аккаунтов и 817 репозиториев ещё в сентябре 2025-го — кампания не разовая, а регулярно возвращается с новым масштабом.

Как работает заражение

Схема строится не на эксплойте в самом GitHub, а на обычном захвате доступа: злоумышленники получают учётные данные через утёкший токен, слабый пароль или фишинг, а затем пушат в репозиторий файл воркфлоу с безобидным названием вроде «Add Github Actions Security workflow». Он срабатывает на каждый push или ручной запуск, вычитывает секреты из настроек репозитория и отправляет их на внешний эндпоинт. Весь трафик при этом идёт через легитимные раннеры GitHub Actions — поэтому формально «вредоносного софта» на хосте нет, и периметровые защиты такую активность обычно не ловят.

Почему это опасно любой команде

Главная уязвимость здесь не техническая, а процессная: большинство команд код-ревьюят бизнес-логику, но файлы в .github/workflows почти никогда не проверяют так же строго, хотя это точно такой же исполняемый код с прямым доступом к продакшен-секретам. Если в проекте нет отдельного правила, кто и как ревьюит изменения CI/CD-конфигурации, подмену вроде GhostAction можно не заметить неделями. Разумный способ закрыть эту слепую зону — не полагаться на то, что кто-то из команды «на всякий случай» заметит лишний воркфлоу, а отдать эту проверку на сторону: например, команде, которая проводит независимый аудит кода и CI/CD-конфигурации и находит такие подмены до того, как секреты успевают утечь.

Что проверить в своих репозиториях

• Все файлы в .github/workflows/ — на лишние воркфлоу с общими названиями вроде «security», «ci», «release», которые никто в команде сознательно не добавлял
• Историю push-коммитов в эту директорию за последние недели — по авторству и времени, особенно изменения не от основных контрибьюторов
• Scope токенов и секретов, доступных воркфлоу: если раннер может прочитать больше секретов, чем нужно конкретному шагу сборки, доступ стоит сузить
• Включена ли двухфакторная аутентификация у всех, кто имеет право пушить в репозиторий — большинство заражений GhostAction начинаются именно со скомпрометированного личного аккаунта
• Логи исходящих запросов из CI/CD на внешние домены — неожиданный exfiltration-эндпоинт в них виден раньше, чем он попадёт в отчёт об инциденте