---
title: Hackerangriff auf 1.900 GitHub-Konten und 30.000 Repositories
url: https://www.dataloco.com/de/hackerangriff-auf-1900-github-konten-und-30000-repositories
published: 2026-10-21T07:23:44+00:00
language: de
section: Sicherheit
source: https://habr.com/ru/companies/selectel/news/1095718/?utm_source=habrahabr&utm_medium=rss&utm_campaign=1095718
organizations: actions, ghostaction, github
publisher: Dataloco
---

# Hackerangriff auf 1.900 GitHub-Konten und 30.000 Repositories

Hacker, die für die Kampagne GhostAction verantwortlich sind, haben etwa 1.900 GitHub-Konten kompromittiert. Mit diesen Konten haben sie schädliche Prozesse in mehr als 30.000 Repositories eingebracht. Das Ziel war es, CI/CD-Tokens, Cloud-Zugangsschlüssel und API-Schlüssel von KI-Anbietern zu stehlen. Der Höhepunkt der Aktivität lag am 8. und 9. Oktober. Insgesamt versuchten die Hacker, 3.174 Geheimnisse zu extrahieren. Im Gegensatz zu bekannten Schwachstellen im GitHub-Actions-Mechanismus selbst nutzten die Hacker hier gestohlene Entwickler-Zugangsdaten, um die Prozesse direkt zu ändern. Analysten von StepSecurity vermuten, dass die Quelle gestohlene persönliche Zugangstokens (PAT) waren, obwohl der genaue Angriffspfad noch nicht bestätigt wurde. Nach dem Erhalt des Zugriffs auf die Repositories tarnten die Angreifer ihre Aufgaben als Standard-Sicherheitsprüfungen. Die Dateien wurden als security-audit.yml oder github_actions_security.yml benannt. Da die Dateien auf bereits in legitimen Builds verwendeten Geheimnissen verwiesen, sammelten die schädlichen Prozesse die Anmeldedaten während der Ausführung und sendeten sie an einen kontrollierten Server. Die Oktober-Version des Angriffs wurde noch ausgefeilter und ging über die Geheimnisse hinaus, die explizit in den Arbeitsprozessen angegeben waren.

Die Hacker nutzten die Aktion actions/checkout@v4 mit dem Parameter fetch-depth: 0, um das gesamte Arbeitsverzeichnis und die Commit-Historie zu scannen. Die Angreifer suchten nach AWS-Schlüsseln, PAT-Tokens von GitHub und GitLab, Schlüsseln von Google- und Firebase-Diensten sowie API-Tokens von KI-Anbietern wie Anthropic, OpenAI und OpenRouter. Alle gesammelten Anmeldedaten wurden über das HTTP-Protokoll an die IP-Adresse 193.32.204.199 gesendet. Wichtig ist, dass den Hackern sogar Schlüssel entgingen, die bereits aus der aktuellen Codebasis entfernt wurden, aber in der Git-Historie verblieben. Die Attacke wurde in mehreren Schritten durchgeführt: Zuerst wurde der schädliche Code an 160 bereits bekannte Opfer geliefert, und nach 20 Minuten begann die massenhafte Einbringung in 28.000 neue Repositories. Die genaue Anzahl der gestohlenen Daten ist noch unbekannt, jedoch haben Forscher von GitGuardian Fakten von Lecks während der Oktober-Kampagne festgestellt. Während der vorherigen Angriffe im August und September wurden schädliche Prozesse in 772 öffentlichen Repositories gefunden. Von 3.669 Starts wurden 336 erfolgreich abgeschlossen, was zum Diebstahl von 26 Geheimnissen aus 13 Repositories führte. Obwohl die eingebauten Genehmigungsmechanismen von GitHub die meisten schädlichen Aktionen blockieren, nutzten die Hacker einfach 92 alte Prozesse aus früheren Angriffen, einschließlich der Infrastruktur, die seit September 2025 aktiv war.

Am 5. Oktober hatten nur 16% der Betroffenen (124 von 772) ihren schädlichen Code aus den Repositories entfernt. Es wird empfohlen, die GitHub-Audit-Protokolle und die PAT-Aktivität zu überprüfen, um festzustellen, welche Konten Dateien im Verzeichnis .github/workflows/ geändert haben. Die Historie der Actions-Läufe sollte untersucht werden, um zu verstehen, welche Geheimnisse in die Hände der Hacker gelangen könnten. Alle Anmeldedaten der kompromittierten Konten mit Schreibrechten sollten sofort widerrufen werden, selbst wenn der schädliche Prozess bereits entfernt wurde. Cloud-Schlüssel, Bereitstellungsanmeldedaten, Registry-Tokens und API-Schlüssel von KI-Anbietern sollten unbedingt aktualisiert und neu ausgegeben werden. Selbst Passwörter und Schlüssel, die vor Monaten aus dem Code entfernt wurden, sollten geändert werden, da sie weiterhin gültig sein und nach dem Scannen der Git-Historie geleakt werden könnten.

## This story in other languages

- [English](https://www.dataloco.com/en/hackers-compromise-1900-github-accounts-and-target-30000-repositories)
- [中文](https://www.dataloco.com/zh/1900github)
- [Nederlands](https://www.dataloco.com/nl/hackers-hebben-1900-github-accounten-gekompromitteerd-en-30000-repos-geinfecteerd)
- [Italiano](https://www.dataloco.com/it/hacker-compromettono-1900-account-github-e-attaccano-30000-repository)