恶意 CI 工作流入侵超 6 万仓库窃取 GitHub Actions 机密信息

恶意 CI 工作流入侵超 6 万仓库窃取 GitHub Actions 机密信息

30 分钟前

11 月 10 日起，某威胁行为者利用窃取的 GitHub 账号凭证，向数万个代码仓库推送恶意 CI 工作流。事件中共有 4837 个被盗账号在 61764 个代码仓库发起探测拉取请求，其中约 6500 个仓库（占比 11%）运行了恶意载荷，导致凭证泄露。

该恶意软件会窃取 GitHub Actions 机密信息、GITHUB_TOKEN、AWS/GCP/Azure 相关凭证，以及 AI 服务商 API 密钥等运行器机密信息，还通过自动发布机制至少渗透到了一个 Packagist 软件包和一个 Go 模块。

本次活动与 10 月的 GhostAction 攻击存在重叠，但目前尚无法确认两次攻击为同一行为者所为。

Compromised GitHub accounts push a CI secret stealer into tens of thousands of repositories

daily.dev

Malicious CI workflow pushed to 61,000 repos steals GitHub Actions secrets

daily.dev

Thousands of GitHub repositories targeted in widespread attack — 4,800 accounts already compromised to steal cloud credentials

techradar.com

专业版功能

体验专业版特色功能，拓展更丰富、更全面的相关内容。