GhostAction 黑客攻击浪潮虽已平息，但攻击者仍在 GitHub 上潜伏

爱拍照的老李
爱拍照的老李

爱拍照的老李

2026年10月30日 09:00
湖北

去阅读

导读

GhostAction是一场持续进行的网络活动，攻击者通过入侵开发者账户，向代码仓库中注入GitHub Actions工作流文件，以此将目标锁定为GitHub平台。

工作流会告知 GitHub Actions 在事件发生时（例如推送提交或拉取请求开启时）要执行哪些代码；这些恶意工作流利用 GitHub 对这些文件的高度信任（这是其设计使然），窃取代码仓库密钥、包发布令牌、GitHub 个人访问令牌、源代码中嵌入的凭据以及其他诸多信息。

其核心思路是，可利用初始的漏洞突破点，在多个代码仓库、CI/CD 系统以及云环境中获取更多的妥协入口与访问点，这与近期在实际攻击中出现的多种供应链蠕虫颇为相似，只是其运行机制有所不同。

该活动首次被记录于去年，攻击者仍在针对各组织部署 GhostAction。变化在于，从本月开始，该技术的使用明显升级。

在10月8日至12日的早期一波攻击中，攻击者将 security-audit.yml 工作流推送至约3万个代码仓库，利用受感染账户大规模分发窃取凭证的代码。

10月27日，GitGuardian发布了进一步升级相关的研究。GitGuardian 的盖坦·费里（Gaetan Ferry）表示，10月13日至21日期间，GhostAction 的操作者“向2.3万个公共代码仓库推送了7.2万次提交”，并指出其中8000个是新的攻击目标。

针对受损开发者的各类载荷

在此次活动的最新一波攻击中，GitGuardian 观察到，一旦开发者账户被攻破，攻击者会根据代码仓库所托管的运行器类型部署不同的有效负载。运行器是执行 GitHub Actions 工作流的系统。许多组织使用 GitHub 托管的运行器，而其他组织则配置在自身环境内运行的自托管运行器。

这些有效负载包括一个名为“seven workflows”的有效负载，该有效负载会在 GitHub 运行器代码仓库和维基中搜索凭证，包括人工智能提供商的API密钥；早期GhostAction攻击中出现的“Security-audit.yml”文件，该文件会在 GitHub 托管的源代码和 Git 历史记录中搜索凭证；针对自托管持续集成（CI）运行器的自托管运行器有效负载；针对 GitHub 运行器并请求 GitHub 开放ID连接（OIDC）令牌以获取亚马逊网络服务（AWS）角色并实现云账户访问的有效负载；以及字体窃取器有效负载，由于其来源，它是近期攻击中最引人注目的工作流有效负载。

该字体窃取程序家族会伪装成VS Code任务，在本地开发者设备上安装一个Node.js凭证窃取程序。

该手段似乎是从PolinRider活动中复制而来，该活动会在开发者代码仓库中隐藏混淆加载器以窃取凭证，且与朝鲜有关联。

攻击者还在10月22日至26日期间，向已受GhostAction影响的代码仓库中植入了PolinRider加载器。费里表示，在五个有效载荷中，只有PolinRider风格的本地窃取程序有成功运行的可能性，但GitGuardian没有任何证据表明其实际运行过。

GitGuardian 无法评估 GhostAction 与 PolinRider 之间是否存在重叠，但推测 GhostAction 的运营者可能复制了公开的 PolinRider 启动器，以针对重叠的受害者群体。

OpenSourceMalware联合创始人珍·盖尔（Jenn Gile）向Dark Reading表示，PolinRider 仿冒软件揭示了幽灵行动（GhostAction）组织的部分内部运作机制。该组织本月曾报道过幽灵行动（GhostAction）的攻击活动，并在几周前发现了 PolinRider 仿冒软件的相关迹象。

“我们看到的情况更像是模仿，而非进化。GhostAction 中的假字体技术是照搬朝鲜 2026 年几乎全年都在使用的 PolinRider 活动手段。”她在一封邮件中表示：“多种载荷是真实存在的，但它们只是同一主题的变体（我们核查的一个代码仓库中，约十天内就出现了五个工作流版本），并非新的功能。从历史角度看，我们或许会将这种情况归为技术演进，因为要实现这一点确实需要真本事。但这一行为更像是威胁行为者借助大语言模型来测试不同的变体。”

尽管如此，GitGuardian 指出，GitHub 已识别并阻止了恶意工作流的执行。不过，重要的是，攻击者仍能持续访问近 1800 个被入侵的账户，其中许多账户此前已被用于 GhostAction 相关活动；费里表示：“1792 个被入侵账户中有 1382 个已于 10 月 8 日被使用，因此被盗的相同令牌仍在生效。”

一波“失败”的攻击，但长期仍有诸多隐患

费里告诉Dark Reading，该活动在恶意工作流方面“收效甚微”。但即便没有迹象表明这一波攻击取得成功，有效载荷的性质（例如旨在获取云访问权限的载荷）也暴露了攻击者下一步可能的转向目标——即转向内部网络，那里能阻止其行动的平台级保护措施更少。

“我们预计在不久的将来，随着有效载荷的修订，新的攻击浪潮将会出现。”他解释道。“针对这个威胁行为体，这种‘尽早失败、快速适应’的策略已经显现出来。”

鉴于目标账户或代码仓库仍处于被入侵状态，代码仓库所有者应在每个分支上查找并删除GitGuardian在博客的威胁指标部分列出的文件。如果检测到入侵迹象，用户应全面吊销该账户的令牌，并轮换受影响代码仓库及其历史记录中提交的所有凭证，以及所有GitHub Actions密钥和维基凭证。

新闻链接：

https://www.darkreading.com/application-security/ghostaction-hacking-wave-fizzles-attackers-github

扫码关注

爱拍照的老李

讲述普通人能听懂的安全故事