Gheist использует GitHub Actions для кражи секретов из репозиториев

Кампания Gheist с 15 сентября заразила более 850 аккаунтов GitHub и создала свыше 13 500 вредоносных веток. Через workflow sync-check злоумышленники кодируют секреты в base32, забирают их через API GitHub и удаляют следы; защита GitHub не покрывает приватные репозитории и Enterprise Server.

• Более 13 500 вредоносных веток в 850+ скомпрометированных аккаунтах GitHub
• Секреты кодируются в base32, чтобы обойти маскировку в логах GitHub Actions
• Защита GitHub блокирует атаку только в публичных репозиториях
• Wiz советует искать ветки ci-sync- и отзывать все доступные workflow секреты