A campanha de roubo de credenciais conhecida como GhostAction intensificou suas ações e passou a atingir mais de 30 mil repositórios de cerca de 3 mil usuários e organizações.
O aumento repentino, de acordo com a GitGuardian, foi observado em 8 e 9 de outubro de 2026.
“Isso resultou do comprometimento das contas do GitHub de cerca de 1.900 usuários. A campanha tentou extrair 3.174 segredos da integração contínua (CI) de repositórios públicos”, afirmaram os pesquisadores de segurança Gaetan Ferry e Guillaume Valadon afirmaram.
GhostAction é o nome dado a uma campanha de ataque à cadeia de suprimentos que tem como alvo a infraestrutura de desenvolvimento no GitHub. Identificada originalmente em setembro de 2025, ela envolve atores de ameaça que comprometem contas legítimas de desenvolvedores para injetar fluxos de automação maliciosos do GitHub Actions em repositórios de software.
Os invasores conseguem obter acesso de escrita aos repositórios usando tokens de acesso pessoal (PATs) ou credenciais coletadas em logs e despejos de programas de roubo de informações (infostealers). Usando a conta do mantenedor sequestrada, eles enviam um arquivo de fluxo de trabalho malicioso disfarçado com nomes enganosos, como Security Audit (“security-audit.yml”) ou GitHub Actions Security (“github_actions_security.yml”).
O objetivo final da atividade é o roubo em larga escala de segredos de integração contínua e entrega contínua (CI/CD), credenciais de nuvem, tokens de registros de pacotes (como npm, PyPI e DockerHub) e chaves de interface de programação de aplicações (API) de provedores de inteligência artificial (IA).
Uma nova onda do GhostAction foi observada desde 31 de agosto de 2026, com o fluxo de trabalho malicioso enviado a centenas de repositórios.
“Esta nova onda parece mais experimental e manual do que as anteriores, com a carga maliciosa evoluindo ao longo do tempo”, disse a GitGuardian. “Em comparação com a carga original do GhostAction, a primeira versão desta nova carga acrescentou um recurso de varredura de segredos no histórico do Git.”
Conforme já detalharam a Socket e a StepSecurity, a funcionalidade de varredura do histórico traz expressões regulares de detecção de segredos que abrangem IDs de chaves da Amazon Web Services (AWS), tokens do GitHub e do GitLab, segredos relacionados a IA e chaves de API de nuvem.
Uma segunda versão da carga também captura cerca de duas linhas de contexto ao redor de cada ocorrência de ID de chave da AWS, para associá-las às chaves secretas de acesso correspondentes. Uma terceira e última variante inclui suporte para recuperar o contexto do segredo durante a varredura do histórico do Git.
“Essa carga foi implantada em várias fases”, disse a GitGuardian. “Primeiro para 160 vítimas observadas anteriormente e, 20 minutos depois, para 28 mil novos repositórios entre 8 e 9 de outubro. Novas ondas com a mesma carga foram observadas em 10 e 12 de outubro. No entanto, o GitHub começou a impedir a execução do fluxo de trabalho malicioso a partir de 9 de outubro. Essas duas ondas posteriores, portanto, não conseguiram extrair nenhum segredo.”
Curiosamente, parte das vítimas desta nova leva já havia sido comprometida nas ondas de setembro de 2025 e agosto de 2026, o que indica que os atores de ameaça estão apostando em segredos que não foram renovados para conseguir seus objetivos.
