Kampania Gheist kradzionymi tokenami GitHub wyciąga sekrety repozytoriów z logów Actions

Kampania Gheist, opisana przez firmę Wiz, używa kradzionych tokenów GitHub do podrzucania workflow, które wypisują sekrety repozytorium do logów GitHub Actions. Atakujący pobierają te logi, a potem usuwają przebiegi. Wiz odzyskał ponad 13 500 podrzuconych gałęzi z ponad 850 przejętych kont. Śledzi kampanię od 15 września, a 24 października była wciąż aktywna i się zmieniała.

Kogo dotyczy

Atak udał się w repozytoriach prywatnych i w środowiskach GitHub Enterprise. Mechanizm GitHuba, który wstrzymuje podejrzane przebiegi, zatrzymał każdy sprawdzony przebieg w repozytoriach publicznych, ale nie obejmuje repozytoriów prywatnych ani GitHub Enterprise Server. Śladem jest gałąź o nazwie ci-sync- z sześcioma losowymi znakami oraz agent użytkownika gheist w logach audytu. Kilka godzin po ataku poświadczenia chmurowe tej samej organizacji posłużyły do przeglądania AWS Secrets Manager.

Co zrobić

Usunięcie gałęzi ani przebiegu nie cofa wycieku. Trzeba wymienić każdy sekret, do którego repozytorium miało dostęp, i unieważnić token, który wypchnął gałąź.