Gheist kampanyası çalınan GitHub token'larıyla depo sırlarını Actions günlüklerinden sızdırıyor

Wiz, 850'den fazla hesapta 13.500'ü aşkın kötü amaçlı dal tespit etti; GitHub'ın koruması yalnızca herkese açık depoları kapsadığı için özel depolar ve Enterprise Server ortamları riske açık kalıyor.

Wiz'in Gheist adını verdiği büyük ve otomatik bir kampanya, çalınmış GitHub erişim token'larını kullanarak iş akışı dosyaları yüklüyor. Bu dosyalar bir deponun gizli anahtarlarını Actions günlüklerine yazdırıyor; saldırganlar günlükleri indirdikten sonra çalışmaları siliyor.

Wiz, 850'den fazla ele geçirilmiş hesapta 13.500'ü aşkın ekilmiş dal saptadı. Etkilenen depolar arasında özel depolar, GitHub Enterprise ortamları ve kişisel projeler de var.

GitHub'ın şüpheli iş akışı çalışmalarını durduran önlemi yalnızca github.com üzerindeki herkese açık depoları kapsıyor. Bu nedenle özel depolardaki ve Enterprise Server'daki etkinlik bu önlemde yakalanmadı.

Etkilenmiş olabileceğini düşünen herkesin, deponun okuyabildiği tüm sırları döndürmesi, dalı iten token'ı iptal etmesi ve denetim günlüklerinde ci-sync- önekli dalları ve silinmiş çalışmaları araması gerekiyor. Dalı ya da çalışmayı silmek maruziyeti geri almıyor.

Wiz'in 24 Ekim itibarıyla verdiği bilgiye göre kampanya hâlâ sürüyor ve değişiyor. Kampanyaya dahil hesapların yaklaşık üçte ikisi artık GitHub'da erişilebilir değil.