安全 · 2026年10月21日
也发布于 English
黑客利用泄露凭证入侵近1900个GitHub账户
安全研究人员披露，名为“幽灵行动”的黑客组织利用窃取的开发者凭证，入侵了约1900个GitHub账户。攻击者随后在超过30000个代码仓库中植入恶意持续集成流程，试图窃取持续集成与持续部署令牌、云访问密钥以及人工智能服务商的接口密钥。此次攻击活动的活跃高峰期出现在10月8日和9日，黑客总共尝试提取3174个敏感凭证。
与针对GitHub持续集成机制本身的漏洞利用不同，此次攻击直接使用了被盗的开发者账户权限来修改工作流程。StepSecurity的分析人员推测，攻击源头可能是泄露到网络中的个人访问令牌，但具体的攻击向量尚未得到最终确认。在获得仓库访问权限后，攻击者将恶意任务伪装成标准的安全检查，文件命名模仿安全审计或GitHub安全配置。由于这些文件引用了合法构建中已使用的敏感信息，恶意流程在运行时收集凭证并将其发送至受控服务器。
10月的攻击版本更加复杂，扫描范围超出了工作流中明确指定的敏感信息。黑客利用代码检出操作并设置获取深度为零的参数，以完整扫描工作树和提交历史。他们寻找的目标包括亚马逊云科技密钥、GitHub和GitLab的个人访问令牌、谷歌及Firebase服务密钥，以及Anthropic、OpenAI和OpenRouter等人工智能服务商的接口令牌。所有收集到的凭证均通过超文本传输协议发送至特定互联网协议地址。值得注意的是，即使密钥已从当前代码库中删除，只要仍保留在Git历史记录中，黑客依然能够将其窃取。
攻击分阶段展开，首先向160个已知目标投递恶意代码，20分钟后开始在28000个新仓库中进行大规模植入。GitGuardian的研究人员在10月活动期间记录了数据泄露的事实，但确切被盗数据量目前尚不清楚。在8月和9月的先前攻击中，772个公共仓库发现了恶意流程。在3669次运行中，336次成功完成，导致13个仓库中的26个敏感信息被盗。尽管GitHub的内置审批机制能阻止大多数恶意操作，但黑客复用了92个来自先前攻击的旧流程，其中包括自2025年9月起一直活跃的基础设施。截至10月5日，仅有16%的受影响者（772个中的124个）及时清除了仓库中的恶意代码。