La campagne GhostAction injecte des workflows volant les identifiants dans des milliers de dépôts GitHub

Une attaque massive sur la chaîne d'approvisionnement, connue sous le nom de GhostAction, a compromis des centaines de comptes GitHub, en injectant des workflows d'intégration continue malveillants dans des dizaines de milliers de dépôts. Cette campagne, qui s'est considérablement intensifiée au début du mois d'octobre 2026, cible les identifiants des développeurs en se faisant passer pour des audits de sécurité routiniers au sein de projets open source populaires.

Ce qui s'est passé

Les chercheurs en cybersécurité ont identifié que les attaquants avaient pris le contrôle des comptes de deux mainteneurs open source éminents : Takashi Kitao, créateur du moteur de jeu pyxel, et Henry Wu, auteur d'athenadriver d'Uber. En utilisant ces identités fiables, les acteurs de la menace ont poussé un fichier de workflow malveillant nommé soit "security-audit.yml", soit "github_actions_security.yml" dans les branches par défaut de centaines de dépôts. L'injection s'est produite rapidement, avec 318 dépôts affectés en seulement une fenêtre de 16 minutes le 7 octobre 2026.

Le workflow malveillant est conçu pour se déclencher lors de tout push ou dispatch manuel. Une fois activé, il effectue une analyse approfondie du dépôt, vérifiant non seulement l'arborescence de travail actuelle, mais aussi l'intégralité de l'historique git à la recherche de données sensibles. Il recherche spécifiquement treize motifs associés aux fournisseurs cloud, aux services d'IA et aux registres de paquets. Les identifiants extraits sont ensuite envoyés via HTTP en clair vers une adresse IP contrôlée par l'attaquant, 193.32.204.199. Cette méthode permet aux attaquants de collecter des secrets qui ont pu être commités dans le passé puis supprimés du codebase actuel.

Au 9 octobre 2026, la société de sécurité Socket a signalé que plus de 500 comptes GitHub avaient commité ce workflow malveillant depuis le 7 octobre. La campagne a impacté 817 dépôts répartis sur 327 utilisateurs, entraînant l'exfiltration de 3 325 secrets. Ces identifiants volés incluent des tokens pour PyPI, npm, DockerHub, AWS, Anthropic, OpenAI et diverses autres plateformes SaaS. Dans certains cas, comme pour le dépôt "kuafuai/DevOpsGPT", les attaquants ont également intégré des logiciels de minage de cryptomonnaies dans des images Docker.

Détails clés

• Vecteur d'attaque : Des comptes de mainteneurs compromis ont été utilisés pour injecter des workflows GitHub Actions malveillants directement dans les dépôts.
• Fichiers malveillants : Les charges utiles sont nommées "security-audit.yml" ou "github_actions_security.yml" et se déclenchent sur des pushes non filtrés ou des dispatches manuels.
• Exfiltration de données : Le workflow scanne l'arborescence de travail et l'historique git complet à la recherche de 13 motifs spécifiques d'identifiants, envoyant les résultats à 193.32.204.199 via HTTP en clair.
• Échelle : Plus de 500 comptes GitHub ont été impliqués, affectant des dizaines de milliers de dépôts et exposant 3 325 secrets jusqu'à présent.
• Risque lié aux forks : Les forks en aval, en particulier ceux privés, héritent du workflow malveillant et restent à risque si GitHub Actions est activé.
• Secrets ciblés : Les données volées incluent des clés AWS, des clés API de fournisseurs d'IA, des tokens DockerHub et des clés privées SSH.

Contexte

GitHub Actions est une plateforme d'intégration continue et de déploiement continu (CI/CD) qui permet aux développeurs d'automatiser les workflows logiciels directement au sein de leurs dépôts. Ces workflows peuvent accéder aux "secrets", qui sont des variables d'environnement chiffrées stockées dans les paramètres du dépôt. Généralement, ces secrets incluent des clés API, des mots de passe de base de données et des tokens d'authentification requis pour la construction et le déploiement des logiciels. Bien que GitHub chiffre ces secrets au repos, ils sont déchiffrés et rendus disponibles à l'environnement d'exécution du workflow lors de son déroulement.

Les attaques sur la chaîne d'approvisionnement comme GhostAction exploitent la confiance inhérente aux écosystèmes open source. Lorsqu'un compte de mainteneur bien connu est compromis, ses contributions sont implicitement approuvées par les utilisateurs en aval et les systèmes automatisés. En injectant un workflow qui semble être un outil de sécurité légitime, les attaquants peuvent contourner la suspicion. L'utilisation de fetch-depth: 0 dans le workflow malveillant garantit que l'intégralité de l'historique du dépôt est téléchargée, permettant au script de trouver des secrets qui ont été retirés des commits récents mais qui existent toujours dans les anciennes versions du code.

Pourquoi c'est important

Pour les équipes qui auto-hébergent des logiciels ou gèrent leurs propres pipelines CI/CD, cet incident met en lumière la fragilité des chaînes de dépendances. Même si votre infrastructure interne est sécurisée, compter sur des composants open source externes introduit un risque. Si une bibliothèque dont vous dépendez est compromise, ses workflows malveillants peuvent s'exécuter dans votre environnement si vous fork le dépôt ou l'utilisez d'une manière qui déclenche les Actions. L'exposition des clés de fournisseurs d'IA est particulièrement préoccupante, car elle peut entraîner des pertes financières importantes dues à une utilisation non autorisée des API.

De plus, cette attaque démontre que supprimer un secret de votre codebase actuel ne suffit pas pour le protéger. Parce que le workflow malveillant scanne l'intégralité de l'historique git, tout identifiant ayant jamais été commité dans le dépôt est vulnérable. Cela signifie que l'hygiène historique est tout aussi critique que les pratiques de sécurité actuelles. Pour les responsables IT et les ingénieurs DevOps, cela nécessite une revue non seulement des dépendances actives, mais aussi de l'intégrité historique des dépôts avec lesquels ils interagissent.

Que pouvez-vous faire

• Scanner les workflows malveillants : Vérifiez tous les dépôts pour rechercher des fichiers nommés "security-audit.yml" ou "github_actions_security.yml" ajoutés après le 31 août 2026.
• Révoquer et faire pivoter les identifiants : Si vous trouvez le workflow malveillant, supposez une compromission. Révoquez immédiatement tous les tokens GitHub, les clés AWS et les secrets API associés aux dépôts affectés.
• Auditer l'historique git : Utilisez des outils pour scanner votre intégralité d'historique git à la recherche de secrets commités accidentellement, et pas seulement le commit HEAD actuel.
• Revoir les dépôts forkés : Si vous avez forké l'un des dépôts affectés, vérifiez-les pour détecter le workflow malveillant et désactivez GitHub Actions jusqu'à ce qu'ils soient nettoyés.
• Activer la protection de branche : Restreignez qui peut pousser des fichiers de workflow vers vos branches par défaut pour empêcher les modifications non autorisées.
• Surveiller le trafic sortant : Configurez des politiques réseau pour détecter les requêtes HTTP sortantes inhabituelles provenant de vos runners CI/CD vers des adresses IP inconnues.