Hacker compromettono 1900 account GitHub e attaccano 30000 repository

man holding shield and sword statue — Bogdan Kupriets / Unsplash

Gli hacker della campagna GhostAction hanno compromesso circa 1900 account GitHub. Utilizzando queste credenziali, hanno introdotto processi dannosi in oltre 30000 repository. L'obiettivo era rubare token CI/CD, chiavi di accesso al cloud e API token dei provider di IA. L'attività massima si è registrata il 8 e 9 ottobre, con un tentativo complessivo di rubare 3174 segreti.

A differenza delle vulnerabilità note nel meccanismo GitHub Actions, gli hacker hanno utilizzato credenziali rubate per modificare direttamente i processi. Gli analisti di StepSecurity ipotizzano che la fonte siano stati token di accesso personali (PAT) perduti, anche se il vettore esatto dell'attacco non è confermato.

Dopo l'accesso ai repository, gli hacker hanno mascherato le loro attività come audit di sicurezza. I file erano battezzati come security-audit.yml o github_actions_security.yml. Poiché i file facevano riferimento a segreti già utilizzati nelle build legittime, i processi dannosi raccoglievano credenziali durante l'esecuzione e le inviavano a un server controllato.

Scansione approfondita della cronologia Git

L'attacco di ottobre è stato più sofisticato, superando i segreti esplicitamente indicati nei workflow. Gli hacker hanno utilizzato l'azione actions/checkout@v4 con fetch-depth: 0 per scansionare l'intero albero di lavoro e la cronologia dei commit.

Cosa cercavano gli hacker:

chiavi AWS (versioni successive del script raccoglievano righe di codice vicine per associare ID chiavi a token segreti);

token PAT di GitHub e GitLab;

chiavi di Google e Firebase;

token API dei provider di IA come Anthropic, OpenAI e OpenRouter.

Tutte le credenziali raccolte sono state inviate via HTTP all'indirizzo IP 193.32.204.199. Importante: anche chiavi rimosse da tempo dalla base di codice, ma presenti nella cronologia Git, sono state rubate.

Sicurezza informatica come servizio

L'attacco si è svolto in più fasi: inizialmente il codice dannoso è stato consegnato a 160 vittime note, seguito 20 minuti dopo da un'implementazione di massa in 28000 nuovi repository. La quantità esatta di dati rubati non è nota, ma i ricercatori di GitGuardian hanno registrato fuggite durante la campagna di ottobre.

Durante gli attacchi precedenti ad agosto e settembre, i processi dannosi sono stati trovati in 772 repository pubblici. Di 3669 esecuzioni, 336 sono state completate con successo, rubando 26 segreti da 13 repository.

Sebbene i meccanismi di approvazione integrati di GitHub bloccassero la maggior parte delle azioni dannose, gli hacker hanno semplicemente riutilizzato 92 processi vecchi da attacchi precedenti, inclusa l'infrastruttura attiva sin da settembre 2025. Peggio ancora, entro il 5 ottobre solo il 16% delle vittime (124 su 772) aveva pulito i loro repository dal codice dannoso.

Si consiglia di adottare diversi passi:

controllare i log di audit di GitHub e l'attività PAT per identificare quali account hanno modificato file nella directory .github/workflows/;

esaminare la cronologia delle esecuzioni di Actions per capire quali segreti potrebbero essere finiti nelle mani degli hacker;

revocare immediatamente le credenziali di tutti gli account compromessi con permessi di scrittura, anche se il processo dannoso è stato rimosso;

aggiornare e rilasciare nuovamente chiavi cloud, credenziali di distribuzione, token dei registri e token API dei provider di IA;

cambiare anche password e chiavi rimosse dal codice mesi fa: potrebbero essere rimaste valide e fuggite dopo la scansione della cronologia Git.