Gheist 攻击活动利用窃取的 GitHub 令牌通过 Actions 日志窃取私有仓库密钥

据云安全公司 Wiz 分析，名为 Gheist 的自动化攻击活动利用窃取的 GitHub 令牌向仓库植入工作流，把仓库密钥以 base32 编码打印进 GitHub Actions 日志，下载后数秒内删除运行记录，攻击已在私有仓库和 GitHub Enterprise 环境得手。Wiz 自 9 月 15 日起追踪该活动，已从超过 850 个失陷账号恢复 13,500 多个被植入的 ci-sync- 分支；GitHub 自 7 月 28 日起对疑似恶意工作流运行暂停等待审批的防护拦下了 Wiz 检查的全部公开仓库运行，但不覆盖私有仓库和 GitHub Enterprise Server。窃取令牌的来源包括 infostealer 日志和 3 月 Trivy 漏洞扫描器失陷等供应链攻击暴露的令牌。