Wiz нашла кампанию Gheist со взломом 850 аккаунтов GitHub

Wiz Research обнаружила кампанию Gheist: украденные токены GitHub использовались для внедрения workflow, которые выгружали секреты в логи Actions. Затронуто более 850 аккаунтов и 13 500 вредоносных веток; в публичных репозиториях запуски блокировала защита GitHub, в приватных и GHES часть прогонов завершилась.

• Wiz выявила свыше 850 скомпрометированных аккаунтов GitHub
• Атакующие создали более 13 500 вредоносных веток с префиксом ci-sync-
• Workflow sync-check.yml кодировал секреты в base32 и писал их в логи Actions
• В приватных репозиториях и GHES зафиксированы завершённые прогоны и перебор AWS Secrets Manager