GhostAction 再襲 GitHub：346 個儲存庫遭植入工作流程，翻查歷史紀錄竊取金鑰

據 iThome 引述資安業者 Socket，GhostAction 再度利用遭入侵的 GitHub 維護者帳號，在 346 個儲存庫植入偽裝成安全檢查的惡意 GitHub Actions 工作流程，其中 279 個是從其他專案複製而來的儲存庫。這波攻擊於 10 月 8 日被調查，受影響專案包括開源遊戲引擎 Pyxel 與 Uber 旗下的 AthenaDriver。 GhostAction 最早於 2025 年 9 月曝光。攻擊者取得 GitHub 帳號寫入權限後，會在帳號可修改的儲存庫加入惡意工作流程；工作流程執行時，能讀取套件發布憑證、雲端服務金鑰等可存取的機密資料，並傳送至攻擊者的伺服器。新版會取得儲存庫的完整 Git 提交歷史，搜尋 AWS、GitHub 與 OpenAI 等服務的金鑰或存取權杖，也會擷取部分 AWS 金鑰附近的程式碼，即使金鑰已從目前版本刪除，只要仍留在歷史紀錄中，就可能被找到。 StepSecurity 檢查 AthenaDriver 的執行紀錄後，確認惡意工作流程已向攻擊伺服器傳送資料並收到回應，但目前無法確認有多少有效憑證外洩。另據資安業者 OpenSourceMalware 調查，截至 10 月 9 日已查得 790 個曾遭植入惡意工作流程的公開儲存庫；該業者也發現新註冊的 my-github.com 指向 GhostAction 使用的攻擊伺服器，但尚無證據證明該網域由同一批攻擊者控制。 受影響專案應移除惡意工作流程、撤銷遭濫用的 GitHub 存取憑證，並檢查 Git 歷史紀錄及更換可能外洩的金鑰。調查團隊也建議清查攻擊期間發布的套件與部署的系統，因為單純刪除惡意檔案無法使已遭竊取的憑證失效。