Mais de 500 contas do GitHub são usadas em campanha para roubar credenciais de desenvolvedores

Uma campanha de roubo de credenciais associada ao grupo GhostAction está comprometendo contas de desenvolvedores de projetos de código aberto para distribuir workflows maliciosos do GitHub Actions. Segundo pesquisadores de segurança, a operação já atingiu dezenas de milhares de repositórios e utiliza automações aparentemente legítimas para extrair credenciais, tokens de acesso e informações sensíveis.

A StepSecurity identificou o comprometimento de duas contas de mantenedores conhecidos. A primeira pertence a Takashi Kitao, criador do mecanismo de jogos Pyxel, que possui 18.400 estrelas no GitHub. A partir das 13h20 UTC, os invasores utilizaram sua conta para inserir um workflow malicioso em 27 repositórios.

Oito horas depois, a conta de Henry Wu (henrywoo), autor original do projeto athenadriver, da Uber, foi utilizada para distribuir o mesmo arquivo em outros 318 repositórios, em apenas 16 minutos, entre 21h10 e 21h26 UTC.

De acordo com a Socket, até 9 de outubro de 2026, mais de 500 contas do GitHub haviam sido identificadas publicando o workflow malicioso em dezenas de milhares de repositórios desde 7 de outubro.

GhostAction já havia roubado milhares de credenciais

A atividade foi associada à campanha GhostAction, identificada inicialmente em setembro de 2025. Na ocasião, a operação afetou 817 repositórios pertencentes a 327 usuários do GitHub, resultando na extração de 3.325 informações secretas, incluindo tokens de serviços como PyPI, npm e DockerHub.

Na campanha atual, os invasores utilizam arquivos denominados security-audit.yml, apresentados como Security Audit, ou github_actions_security.yml, identificados como GitHub Actions Security.

Embora aparentem executar verificações de segurança, esses workflows foram desenvolvidos para coletar informações confidenciais e enviá-las, por HTTP sem criptografia, ao endereço IP 193.32.204[.]199, controlado pelos responsáveis pela operação.

Entre os dados procurados estão segredos de pipelines de integração e entrega contínuas (CI/CD), credenciais de serviços em nuvem, tokens do GitHub e GitLab e chaves de API de plataformas de inteligência artificial, como OpenAI, Anthropic e OpenRouter.

Como funciona a cadeia de ataque

Segundo a StepSecurity, a operação começa com a obtenção das credenciais de um mantenedor do GitHub, possivelmente por meio de tokens de acesso pessoal (PATs) vazados em registros de infostealers ou bases de credenciais comprometidas.

Após conseguir acesso, o invasor examina os arquivos de automação do repositório para identificar possíveis informações sensíveis. Em seguida, insere um workflow disfarçado de auditoria de segurança na branch principal, utilizando a identidade da própria vítima.

O arquivo malicioso pode ser executado manualmente, por meio do evento workflow_dispatch, ou automaticamente após operações de push, sem restrições de branches ou tags.

Durante a execução, o workflow utiliza fetch-depth: 0 para recuperar todo o histórico Git e realiza quatro operações principais:

• Adiciona à coleta os segredos identificados durante o reconhecimento inicial.

• Examina os arquivos do projeto em busca de 13 padrões de credenciais relacionados a AWS, serviços de IA, plataformas de código e APIs de serviços em nuvem.

• Analisa todo o histórico Git para localizar credenciais que tenham sido adicionadas anteriormente e depois removidas.

• Associa identificadores de acesso da AWS às respectivas chaves secretas.

Os dados encontrados são enviados para a infraestrutura dos invasores por meio do comando curl.

A análise do histórico completo amplia o alcance do ataque, permitindo recuperar credenciais que não estão mais presentes na versão atual dos arquivos, mas permanecem registradas em commits anteriores.

Mais de 2.500 segredos estão entre os alvos

Um levantamento divulgado pela GitGuardian identificou que, entre 31 de agosto e 30 de setembro de 2026, a campanha inseriu workflows maliciosos em 772 repositórios públicos pertencentes a 373 usuários e organizações.

Os arquivos foram configurados para buscar 2.577 segredos, incluindo chaves privadas SSH, credenciais do Azure, AWS, Google Cloud e Firebase, acessos a bancos de dados, FTP e registros de contêineres DockerHub e GHCR.

A lista também inclui tokens de bots do Telegram, Slack e Discord, além de credenciais relacionadas a Cloudflare, npm, PyPI e provedores de inteligência artificial.

A investigação identificou ainda um caso ocorrido em 30 de agosto de 2026, quando os invasores modificaram o repositório kuafuai/DevOpsGPT para incorporar o minerador de criptomoedas XMRig à imagem Docker do projeto.

Apesar do comprometimento de credenciais utilizadas na publicação de pacotes, não havia registros de versões maliciosas publicadas com esses acessos até o momento da divulgação.

Forks e repositórios privados também estão expostos

A Socket alertou que 279 forks associados ao namespace henrywoo carregam o workflow malicioso. Caso o GitHub Actions esteja habilitado, novas operações de push podem acionar automaticamente a coleta de credenciais.

O risco também se estende a forks derivados e repositórios espelhados que herdem os arquivos comprometidos durante sua criação ou sincronização com o projeto original.

Segundo os pesquisadores, forks privados e espelhos posteriores representam uma preocupação especial, pois podem conter credenciais armazenadas no histórico de desenvolvimento que não estão disponíveis publicamente.

Outro detalhe identificado é que cada execução do workflow retorna um identificador do repositório, mesmo quando nenhuma credencial é encontrada. Isso permite aos operadores mapear ambientes nos quais o código malicioso consegue ser executado, independentemente do sucesso na extração de informações.

Desenvolvedores devem verificar workflows e revogar credenciais

Os pesquisadores recomendam que desenvolvedores e organizações verifiquem seus repositórios em busca dos arquivos security-audit.yml e github_actions_security.yml, especialmente aqueles modificados desde 31 de agosto de 2026.

Caso algum desses workflows maliciosos seja identificado, a orientação é considerar as credenciais potencialmente comprometidas, revogar os acessos utilizados na invasão e substituir tokens, senhas e chaves que possam ter sido expostos.

Também é necessário remover os arquivos maliciosos de todas as branches e verificar forks associados aos repositórios afetados.

A campanha permanece sob investigação e demonstra como o comprometimento de contas de mantenedores pode transformar mecanismos legítimos de automação do GitHub em canais de extração de credenciais, com possíveis consequências para serviços em nuvem, ambientes de desenvolvimento e projetos dependentes do código comprometido.