La campagna di attacco alla supply chain GhostAction ha colpito migliaia di repository su GitHub, sfruttando account compromessi per rubare credenziali e segreti CI/CD. GitHub ha iniziato a mitigare l'impatto.
La campagna di furto di credenziali nota come GhostAction ha visto un'escalation significativa, prendendo di mira oltre 30.000 repository appartenenti a circa 3.000 utenti e organizzazioni. Secondo i ricercatori di GitGuardian, l'impennata è stata osservata tra l'8 e il 9 ottobre 2026, derivante dalla compromissione degli account GitHub di circa 1.900 utenti.
GhostAction è un attacco alla supply chain che prende di mira l'infrastruttura degli sviluppatori su GitHub. Scoperta originariamente nel settembre 2025, la tattica prevede che gli attori malevoli compromettano account di sviluppatori legittimi per iniettare flussi di lavoro di automazione dannosi, noti come GitHub Actions, all'interno dei repository software. Gli aggressori ottengono l'accesso in scrittura ai repository sfruttando Personal Access Tokens (PATs) rubati o credenziali ottenute da infostealer e dump di dati.
Una volta ottenuto il controllo di un account di manutentore, i criminali informatici inseriscono un file di flusso di lavoro malevolo, spesso mascherato con nomi fuorvianti come "Security Audit" (security-audit.yml) o "GitHub Actions Security" (github_actions_security.yml). L'obiettivo finale di questa attività è il furto su larga scala di segreti CI/CD (Continuous Integration/Continuous Deployment), credenziali cloud, token di registri di pacchetti (come npm, PyPI, DockerHub) e chiavi API di fornitori di intelligenza artificiale (AI).
Una nuova ondata di GhostAction è stata rilevata a partire dal 31 agosto 2026, con l'introduzione di flussi di lavoro dannosi in centinaia di repository. Questa nuova fase è stata descritta come più sperimentale e manuale rispetto alle precedenti, con il payload che si è evoluto nel tempo. Rispetto al payload originale di GhostAction, la prima versione di questo nuovo payload includeva una funzionalità di scansione dei segreti nella cronologia Git.
Questa funzione di scansione della cronologia utilizza espressioni regolari per rilevare segreti come ID chiave AWS, token GitHub e GitLab, segreti legati all'AI e chiavi API cloud. Una seconda versione del payload cattura anche circa due righe di contesto attorno a ogni corrispondenza di ID chiave AWS, al fine di associarli alle rispettive chiavi di accesso segrete. Una terza e ultima variante del payload supporta il recupero del contesto del segreto durante la scansione della cronologia Git.
Il payload è stato distribuito in più fasi. Inizialmente, è stato inviato a 160 vittime precedentemente identificate. Successivamente, circa 20 minuti dopo, è stato esteso a 28.000 nuovi repository tra l'8 e il 9 ottobre. Nuove ondate sono state osservate il 10 e 12 ottobre, utilizzando lo stesso payload. Tuttavia, a partire dal 9 ottobre, GitHub ha iniziato a bloccare l'esecuzione dei flussi di lavoro dannosi, impedendo così alle due ondate successive di estrarre ulteriori segreti.
È interessante notare che un sottoinsieme delle vittime di questa nuova ondata era già stato compromesso nelle precedenti campagne di settembre 2025 e agosto 2026. Questo suggerisce che gli attori malevoli si affidano a segreti non ruotati per portare a termine con successo i loro attacchi, puntando su vulnerabilità persistenti all'interno delle pratiche di sicurezza degli sviluppatori.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
