La campaña GhostAction inyecta flujos de trabajo para robar credenciales en miles de repositorios de GitHub

Un masivo ataque a la cadena de suministro conocido como GhostAction ha comprometido cientos de cuentas de GitHub, inyectando flujos de trabajo de integración continua maliciosos en decenas de miles de repositorios. La campaña, que escaló significativamente a principios de octubre de 2026, tiene como objetivo las credenciales de desarrolladores al hacerse pasar por auditorías de seguridad rutinarias dentro de proyectos populares de código abierto.

Qué sucedió

Investigadores de ciberseguridad identificaron que los atacantes obtuvieron acceso a las cuentas de dos prominentes mantenedores de código abierto: Takashi Kitao, creador del motor de juegos pyxel, y Henry Wu, autor de athenadriver de Uber. Utilizando estas identidades de confianza, los actores de amenazas publicaron un archivo de flujo de trabajo malicioso llamado "security-audit.yml" o "github_actions_security.yml" en las ramas predeterminadas de cientos de repositorios. La inyección ocurrió rápidamente, afectando a 318 repositorios en solo una ventana de 16 minutos el 7 de octubre de 2026.

El flujo de trabajo malicioso está diseñado para activarse con cualquier push o despacho manual. Una vez activado, realiza un escaneo profundo del repositorio, comprobando no solo el árbol de trabajo actual sino también todo el historial de git en busca de datos sensibles. Busca específicamente trece patrones asociados con proveedores de nube, servicios de IA y registros de paquetes. Las credenciales extraídas se envían luego mediante HTTP plano a una dirección IP controlada por el atacante, 193.32.204.199. Este método permite a los atacantes cosechar secretos que pueden haber sido confirmados en el pasado y posteriormente eliminados del código base actual.

A fecha de 9 de octubre de 2026, la firma de seguridad Socket informó que más de 500 cuentas de GitHub habían confirmado este flujo de trabajo malicioso desde el 7 de octubre. La campaña ha impactado a 817 repositorios entre 327 usuarios, resultando en la exfiltración de 3.325 secretos. Estas credenciales robadas incluyen tokens para PyPI, npm, DockerHub, AWS, Anthropic, OpenAI y varias otras plataformas SaaS. En algunos casos, como en el repositorio "kuafuai/DevOpsGPT", los atacantes también incrustaron software de minería de criptomonedas en imágenes de Docker.

Detalles clave

• Vector de ataque: Se utilizaron cuentas de mantenedores comprometidas para inyectar flujos de trabajo maliciosos de GitHub Actions directamente en los repositorios.
• Archivos maliciosos: Los payloads se llaman "security-audit.yml" o "github_actions_security.yml" y se activan con pushes sin filtrar o despachos manuales.
• Exfiltración de datos: El flujo de trabajo escanea el árbol de trabajo y todo el historial de git en busca de 13 patrones específicos de credenciales, enviando los resultados a 193.32.204.199 sobre HTTP plano.
• Escala: Más de 500 cuentas de GitHub han estado implicadas, afectando a decenas de miles de repositorios y exponiendo 3.325 secretos hasta ahora.
• Riesgo de forks: Los forks posteriores, especialmente los privados, heredan el flujo de trabajo malicioso y permanecen en riesgo si las GitHub Actions están habilitadas.
• Secretos dirigidos: Los datos robados incluyen claves de AWS, claves API de proveedores de IA, tokens de DockerHub y claves privadas SSH.

Antecedentes

GitHub Actions es una plataforma de integración continua y despliegue continuo (CI/CD) que permite a los desarrolladores automatizar flujos de trabajo de software directamente dentro de sus repositorios. Estos flujos de trabajo pueden acceder a "secretos", que son variables de entorno cifradas almacenadas en la configuración del repositorio. Típicamente, estos secretos incluyen claves API, contraseñas de bases de datos y tokens de autenticación necesarios para construir y desplegar software. Aunque GitHub cifra estos secretos en reposo, se descifran y ponen a disposición del tiempo de ejecución del flujo de trabajo durante su ejecución.

Los ataques a la cadena de suministro como GhostAction explotan la confianza inherente en los ecosistemas de código abierto. Cuando se compromete la cuenta de un mantenedor reconocido, sus contribuciones son implícitamente confiadas por los usuarios posteriores y los sistemas automatizados. Al inyectar un flujo de trabajo que parece ser una herramienta legítima de seguridad, los atacantes pueden evitar la sospecha. El uso de fetch-depth: 0 en el flujo de trabajo malicioso asegura que se descargue todo el historial del repositorio, permitiendo al script encontrar secretos que fueron eliminados de commits recientes pero que aún existen en versiones anteriores del código.

Por qué importa

Para los equipos que alojan software por sí mismos o gestionan sus propias tuberías de CI/CD, este incidente destaca la fragilidad de las cadenas de dependencias. Incluso si su infraestructura interna es segura, depender de componentes externos de código abierto introduce riesgos. Si una biblioteca de la que depende está comprometida, sus flujos de trabajo maliciosos pueden ejecutarse en su entorno si hace fork del repositorio o lo utiliza de una manera que active las Actions. La exposición de claves de proveedores de IA es particularmente preocupante, ya que puede conducir a pérdidas financieras significativas a través del uso no autorizado de APIs.

Además, el ataque demuestra que eliminar un secreto de su código base actual no es suficiente para protegerlo. Debido a que el flujo de trabajo malicioso escanea todo el historial de git, cualquier credencial alguna vez confirmada en el repositorio es vulnerable. Esto significa que la higiene histórica es tan crítica como las prácticas de seguridad actuales. Para los líderes de TI e ingenieros DevOps, esto requiere una revisión no solo de las dependencias activas, sino también de la integridad histórica de los repositorios con los que interactúan.

Qué puede hacer

• Escanee en busca de flujos de trabajo maliciosos: Compruebe todos los repositorios en busca de archivos llamados "security-audit.yml" o "github_actions_security.yml" añadidos desde el 31 de agosto de 2026.
• Revoca y rota credenciales: Si encuentra el flujo de trabajo malicioso, asuma un compromiso. Revoque inmediatamente todos los tokens de GitHub, claves de AWS y secretos de API asociados con los repositorios afectados.
• Audite el historial de git: Use herramientas para escanear todo su historial de git en busca de secretos confirmados accidentalmente, no solo el commit head actual.
• Revise los repositorios bifurcados: Si ha hecho fork de alguno de los repositorios afectados, compruébelos en busca del flujo de trabajo malicioso y deshabilite las GitHub Actions hasta que estén limpias.
• Habilite la protección de ramas: Restrinja quién puede confirmar archivos de flujo de trabajo en sus ramas predeterminadas para prevenir modificaciones no autorizadas.
• Monitoree el tráfico saliente: Configure políticas de red para detectar solicitudes HTTP salientes inusuales desde sus runners de CI/CD hacia direcciones IP desconocidas.