Beveiliging · 21 oktober 2026
Hackers hebben 1.900 GitHub-accounten gekompromitteerd en 30.000 repos geïnfecteerd
Hackers achter de campagne GhostAction hebben ongeveer 1.900 GitHub-accounten gekompromitteerd en via deze toegang meer dan 30.000 repos geïnfecteerd met schadelijke GitHub Actions-processen. Het doel was het stelen van CI/CD-tokens, cloud-toegangssleutels en API-keys van AI-aanbieders. De piek van de activiteit viel op 8 en 9 oktober, waarbij in totaal 3.174 geheime gegevens werden geprobeerd te onttrekken.
In tegenstelling tot bekende kwetsbaarheden in de GitHub Actions-infrastructuur, gebruikten de aanvallers gestolen ontwikkelaarsgegevens om rechtstreeks werkprocessen te wijzigen. Analytici van StepSecurity vermoeden dat de toegang via gelekte persoonlijke toegangstokens (PAT) is verkregen, hoewel de exacte aanvalsvector nog niet bevestigd is.
Na het verkrijgen van toegang maskerden de hackers hun taken onder standaard beveiligingscontroles, met bestandsnamen zoals security-audit.yml of github_actions_security.yml. Omdat deze bestanden verwijzen naar bestaande geheime gegevens in legitieme builds, konden de schadelijke processen tijdens uitvoering gebruikersgegevens verzamelen en doorsturen naar een onder hun controle staande server.
De octobervariant van de aanval ging verder dan het ophalen van geheime gegevens die expliciet in werkprocessen waren opgenomen. De aanvallers gebruikten de actie actions/checkout@v4 met de parameter fetch-depth: 0 om de volledige Git-geschiedenis en werkboom te scannen. Ze zochten onder andere AWS-sleutels, PAT-tokens van GitHub en GitLab, Google- en Firebase-sleutels, en API-tokens van AI-aanbieders zoals Anthropic, OpenAI en OpenRouter. Alle verzamelde gegevens werden via HTTP naar het IP-adres 193.32.204.199 gestuurd, inclusief sleutels die al maanden uit de huidige code waren verwijderd, maar nog in de Git-geschiedenis aanwezig waren.
De aanval verliep in meerdere fasen: eerst werd schadelijke code geïnstalleerd in 160 reeds bekende slachtoffers, en 20 minuten later volgde een massale verspreiding naar 28.000 nieuwe repos. Hoewel het exacte aantal gestolen gegevens nog onbekend is, bevestigden onderzoekers van GitGuardian lekken tijdens de octobercampagne. Bij eerdere aanvallen in augustus en september werden schadelijke processen gevonden in 772 publieke repos, waarvan 336 van de 3.669 uitvoeringen succesvol waren, wat leidde tot het stelen van 26 geheimen uit 13 repos.
Ondanks ingebouwde goedkeuringsmechanismen van GitHub hergebruikten de aanvallers 92 oude processen uit vorige campagnes, inclusief infrastructuur die al sinds september 2025 actief was. Slechts 16% van de betrokken repos (124 van 772) had de schadelijke code al verwijderd vóór 5 oktober.
Aanbevolen stappen om te voorkomen dat gegevens worden gestolen zijn het controleren van GitHub-auditlogs en PAT-activiteit, het onderzoeken van de geschiedenis van Actions-uitvoeringen, het onmiddellijk intrekken van alle gecompromitteerde toegangstokens, het bijwerken van cloud-sleutels, implementatietokens en AI-API-keys, en zelfs het wijzigen van wachtwoorden en sleutels die al maanden uit de code zijn verwijderd, omdat deze nog steeds geldig kunnen zijn via Git-geschiedenis.