Pesquisadores de cibersegurança divulgaram detalhes de uma campanha ativa de roubo de credenciais que comprometeu as contas de dois conhecidos mantenedores de projetos open source e inseriu um workflow malicioso em mais de 340 repositórios.
“Usando a conta de Takashi Kitao, criador do mecanismo de jogos pyxel, que tem 18.400 estrelas, o invasor inseriu um workflow malicioso em 27 repositórios a partir das 13h20 UTC”, informou a StepSecurity. “Oito horas depois, a conta de Henry Wu (henrywoo), autor original do athenadriver, da Uber, foi usada para inserir o mesmo workflow em 318 repositórios em um intervalo de 16 minutos, das 21h10 às 21h26 UTC.”
Em 9 de outubro de 2026, a Socket informou ter identificado mais de 500 contas do GitHub que inseriram o workflow malicioso em dezenas de milhares de repositórios desde 7 de outubro de 2026.
A atividade foi atribuída ao GhostAction, uma campanha de ataque à supply chain em larga escala que veio à tona em setembro de 2025. Na ocasião, foram afetados 817 repositórios de 327 usuários do GitHub, e 3.325 segredos foram exfiltrados. Entre eles estavam tokens do PyPI, do npm e do DockerHub, obtidos por meio de contas de desenvolvedores comprometidas.
Assim como na campanha anterior, as duas contas foram usadas para inserir um workflow chamado Security Audit (`security-audit.yml`) ou GitHub Actions Security (`github_actions_security.yml`). Os arquivos foram criados para exfiltrar dados confidenciais por HTTP sem criptografia para um endereço IP definido diretamente no código (`193.32.204[.]199`).
Os dados coletados incluem os secrets nomeados do GitHub Actions no repositório, entre eles credenciais de CI/CD, cloud, IA e SaaS presentes na árvore de trabalho e em todo o histórico do Git. Isso inclui chaves da AWS, chaves de API da Anthropic, da OpenAI e da OpenRouter, além de tokens do GitHub e do GitLab.
A cadeia de ataque ocorre da seguinte forma:
- O invasor obtém as credenciais do GitHub de um mantenedor, provavelmente um token de acesso pessoal (PAT) vazado em logs de infostealer ou em listas de credenciais expostas.
- Como etapa de reconhecimento, os arquivos de workflow do repositório são analisados em busca de segredos.
- Um workflow disfarçado de auditoria de segurança é inserido na branch padrão usando a identidade da própria vítima.
- O payload incorporado extrai os dados e os envia a um endpoint controlado pelo invasor usando o curl.
“O workflow é acionado por `workflow_dispatch` e por qualquer `push`, sem filtros, independentemente da branch ou da tag. Ele verifica o repositório com `fetch-depth: 0` e executa uma única etapa, chamada ‘Audit’, que realiza quatro ações”, acrescentou a StepSecurity:
- Adiciona os secrets nomeados do repositório encontrados durante o reconhecimento.
- Analisa a árvore de trabalho em busca de 13 padrões de credenciais associados a chaves da AWS, serviços de IA, serviços de controle de versão e chaves de API de SaaS e cloud.
- Examina todo o histórico do Git em busca dos mesmos 13 padrões, para coletar credenciais que possam ter sido inseridas acidentalmente no repositório e depois removidas.
- Associa identificadores de chaves de acesso da AWS às respectivas chaves secretas de acesso.
No início desta semana, a GitGuardian informou que a campanha GhostAction inseriu o workflow malicioso em 772 repositórios públicos pertencentes a 373 usuários e organizações do GitHub, entre 31 de agosto e 30 de setembro de 2026.
Os workflows inseridos têm como alvo 2.577 segredos, incluindo chaves privadas SSH, credenciais do Azure, credenciais de registros de imagens de container do DockerHub e do GHCR, credenciais de bancos de dados, chaves de acesso da AWS, credenciais de FTP, credenciais do Google Cloud e do Firebase, tokens do GitHub, tokens de bots do Telegram, Slack e Discord, além de chaves associadas à Cloudflare, ao npm, ao PyPI e a provedores de IA.
Em um caso observado em 30 de agosto de 2026, os invasores alteraram o repositório `kuafuai/DevOpsGPT` para inserir um minerador de criptomoedas XMRig na imagem Docker do projeto. Até o momento, não foram publicados pacotes maliciosos usando as credenciais de publicação comprometidas.
A recomendação para desenvolvedores é verificar se os repositórios receberam um dos dois workflows do GitHub a partir de 31 de agosto de 2026. Se encontrarem algum deles, devem presumir que houve comprometimento. Também é recomendável revogar a credencial comprometida do GitHub, renovar as demais credenciais, excluir o workflow malicioso de todas as branches e verificar as cópias derivadas dos repositórios infectados.
“As 279 cópias derivadas no namespace henrywoo contêm o arquivo de workflow. Se o Actions estiver ativado, novos envios poderão iniciar a coleta de credenciais”, informou a Socket. “Cópias derivadas mantidas por outros usuários também estão em risco se herdarem o workflow malicioso, seja quando forem criadas, seja ao serem sincronizadas com o repositório original afetado.”
A Socket também alertou: “Cópias privadas e espelhos derivados estão mais expostos, porque é nos repositórios privados que as credenciais inseridas nos arquivos costumam ser encontradas. Em ambas as contas, cada execução também retorna um identificador do repositório, mesmo que nenhuma credencial seja localizada. Assim, o operador consegue mapear os ambientes de execução acessíveis, independentemente de conseguir ou não roubar credenciais.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...