Mais de 500 contas do GitHub são usadas para roubar credenciais de desenvolvedores
Uma campanha atribuída ao grupo GhostAction está usando contas legítimas do GitHub para inserir automações maliciosas em projetos de código aberto. Disfarçados de verificações de segurança, os workflows do GitHub Actions procuram credenciais e outros dados confidenciais e os enviam aos operadores do ataque.
A operação se espalhou por dezenas de milhares de repositórios. Mais de 500 contas foram identificadas publicando arquivos maliciosos desde 7 de outubro de 2026, segundo informações divulgadas sobre a investigação. Entre os alvos estão tokens de acesso, chaves de serviços em nuvem, credenciais de integração e entrega contínuas (CI/CD) e dados de plataformas de inteligência artificial.
Contas de mantenedores foram usadas para espalhar o código
Dois casos mostram como os invasores aproveitam o acesso a perfis de desenvolvedores conhecidos. Uma das contas comprometidas pertence a Takashi Kitao, criador do mecanismo de jogos Pyxel, que reúne 18.400 estrelas no GitHub. A partir das 13h20 UTC, a conta foi usada para inserir um workflow suspeito em 27 repositórios.
Cerca de oito horas depois, o perfil de Henry Wu, conhecido como henrywoo e autor original do projeto athenadriver, da Uber, foi usado para distribuir o mesmo arquivo em outros 318 repositórios. A publicação ocorreu em apenas 16 minutos, entre 21h10 e 21h26 UTC.
Os arquivos adotam nomes que parecem relacionados à proteção de software, como `security-audit.yml` e `github_actions_security.yml`. Na prática, porém, foram preparados para coletar informações privadas e transmiti-las sem criptografia a um servidor controlado pelos atacantes.
Como funciona a cadeia de ataque
A operação começa com a obtenção das credenciais de um mantenedor. Uma possibilidade é o uso de tokens de acesso pessoal (PATs) expostos em registros de infostealers ou em bases de dados de credenciais comprometidas. Com o acesso à conta, os invasores analisam os arquivos de automação do projeto e identificam quais informações podem ser aproveitadas.
Em seguida, inserem o workflow malicioso na branch principal, usando a identidade do próprio desenvolvedor. A automação pode ser iniciada manualmente pelo evento `workflow_dispatch` ou acionada automaticamente após operações de push. A configuração descrita não impõe restrições específicas de branches ou tags, o que amplia as possibilidades de execução.
Durante a atividade, o workflow usa `fetch-depth: 0` para recuperar o histórico completo do Git. Depois, reúne segredos encontrados na análise inicial, procura nos arquivos do projeto por 13 padrões de credenciais e examina commits antigos à procura de dados que tenham sido removidos da versão atual.
A automação também associa identificadores de acesso da AWS às respectivas chaves secretas. Ao final, as informações coletadas são transmitidas com o comando `curl` ao endereço IP 193.32.204[.]199, ligado à infraestrutura da campanha.
A busca no histórico do Git torna o ataque particularmente abrangente. Uma chave apagada dos arquivos atuais ainda pode estar registrada em um commit anterior e, portanto, continuar acessível a quem examinar todo o histórico do repositório.
Mais de 2.500 tipos de segredos na mira
Um levantamento referente ao período de 31 de agosto a 30 de setembro de 2026 identificou workflows maliciosos em 772 repositórios públicos, pertencentes a 373 usuários e organizações. Os arquivos tentavam localizar 2.577 segredos, entre eles chaves SSH privadas e credenciais de AWS, Azure, Google Cloud e Firebase.
A lista de alvos incluía ainda acessos a bancos de dados, FTP e registros de imagens de contêineres, como DockerHub e GHCR. Também foram identificados tokens de bots e integrações do Telegram, Slack e Discord, além de credenciais associadas a Cloudflare, npm, PyPI e provedores de inteligência artificial, como OpenAI, Anthropic e OpenRouter.
Forks e repositórios privados também merecem atenção. A presença de um workflow suspeito em um projeto derivado ou de acesso restrito não elimina o risco: se a automação for executada com permissões suficientes, poderá tentar acessar segredos disponíveis naquele ambiente.
Histórico da campanha GhostAction
A GhostAction foi identificada inicialmente em setembro de 2025. Naquele episódio, 817 repositórios de 327 usuários do GitHub foram afetados, e os invasores extraíram 3.325 informações secretas. Entre elas estavam tokens utilizados em serviços como PyPI, npm e DockerHub.
A investigação também apontou um incidente de 30 de agosto de 2026 no repositório `kuafuai/DevOpsGPT`. Nesse caso, os invasores alteraram o projeto para incluir o minerador de criptomoedas XMRig na imagem Docker. Apesar do comprometimento de credenciais usadas para publicar pacotes, não havia registros de versões maliciosas publicadas até o momento da apuração.
O que desenvolvedores e organizações devem fazer
Quem mantém projetos no GitHub deve revisar os workflows de todos os repositórios, especialmente arquivos criados ou alterados recentemente. É importante verificar se existem automações com nomes de auditoria ou segurança que não correspondam a mudanças reconhecidas pela equipe.
Se um arquivo suspeito for encontrado, a remoção do workflow é apenas uma das medidas necessárias. Credenciais potencialmente expostas devem ser revogadas e substituídas, incluindo tokens do GitHub, chaves de serviços em nuvem, senhas de banco de dados e acessos a registros de pacotes.
Também é recomendável analisar os logs de execução do GitHub Actions e os registros dos serviços associados. Isso ajuda a identificar se houve execução do workflow, quais permissões foram usadas e se alguma credencial foi acessada indevidamente. Como o código malicioso pode vasculhar commits antigos, a revisão não deve se limitar aos arquivos presentes na versão atual.
Para reduzir o impacto de futuras invasões, tokens devem receber apenas as permissões indispensáveis e, sempre que possível, ter prazo de validade limitado. Segredos não devem ser armazenados no código-fonte, e as permissões concedidas aos workflows precisam ser avaliadas com cuidado. A autenticação multifator e o monitoramento de alterações em automações também ajudam a dificultar o uso indevido de contas de mantenedores.