GhostAction 持续肆虐：数万 GitHub 仓库被植入恶意 Actions 窃取密钥

近期网络安全研究团队披露了 GhostAction 大规模凭证窃取供应链攻击的最新进展：攻击者劫持多名知名开源项目维护者账号，向海量代码仓库植入伪装成安全审计的 GitHub Actions 恶意工作流，批量盗取 CI/CD 密钥、云服务及大模型 API 凭证。

攻击事件概况

攻击者利用被劫持的高影响力开源维护者账号，在短时间内向数百个代码仓库推送恶意配置文件。

• 盗取 pyxel 游戏引擎作者账号，向 27 个仓库植入恶意工作流；
• 8 小时后，劫持 Uber Athena 驱动原作者账号，仅 16 分钟就完成 318 个仓库投毒。

根据 Socket 监测数据，自 10 月 7 日起，已有超过 500 个 GitHub 账号向数万个仓库提交了这份恶意工作流。该攻击团伙 GhostAction 最早于 2025 年 9 月曝光，此前一轮攻击就影响 327 名用户的 817 个仓库，共窃取 3325 条密钥，涵盖 PyPI、npm、DockerHub 等包管理平台令牌。

恶意文件命名极具欺骗性，通常叫做 security-audit.yml 或 github_actions_security.yml，伪装成安全审计脚本，配置硬编码地址，把扫描到的敏感凭证通过 HTTP 明文外传至黑客服务器。

恶意工作流的窃取能力

一旦恶意 Workflow 被触发，会自动执行全套凭证搜集动作：

1. 读取仓库内所有 GitHub Actions Secrets，也就是 CI 流水线配置的各类密钥；
2. 扫描当前代码目录，匹配 13 类敏感凭证规则，捕获 AWS、OpenAI、Anthropic 等云与 AI 服务商 API 密钥；
3. 遍历完整 Git 提交历史，挖掘曾经提交后又删除的密钥；
4. 自动配对 AWS Access Key ID 与对应的密钥，整理成完整可用凭证。

攻击可由代码推送、手动触发执行。除云、AI 密钥外，该脚本还会搜集 SSH 私钥、Azure、容器仓库、数据库、FTP、GCP、Cloudflare、npm/PyPI、Slack/Telegram/Discord 机器人令牌等大量敏感信息。

本次攻击还发现黑客在受害仓库 Docker 镜像中植入 XMRig 门罗币挖矿程序。目前暂未看到攻击者利用窃取的包发布凭证上线恶意软件包。

完整攻击链路拆解

1. 获取账号权限：黑客从盗号日志、凭证泄露库拿到维护者的 GitHub 个人访问令牌 PAT，接管账号；
2. 前期侦察：扫描目标仓库工作流，探查仓库密钥配置情况；
3. 植入投毒：以仓库原维护者身份，向默认主分支提交伪装成安全审计的 yml 工作流文件；
4. 凭证外带：脚本内嵌入 curl 命令，采集密钥后直接发送到黑客控制的外部站点。

风险提示与处置建议

仓库 Fork 副本同样存在巨大风险，被投毒仓库的派生副本（包括私有 Fork）会继承恶意工作流。只要仓库开启 GitHub Actions，后续代码推送就会触发凭证窃取。就算没有扫到密钥，每次执行都会向黑客回传仓库标识，帮助攻击者绘制可执行环境地图。

开发者自查处置清单：

1. 检查 2026 年 8 月 31 日后仓库新增的 security-audit.yml / github_actions_security.yml；
2. 一旦发现恶意文件，判定账号/仓库存在失陷，立刻执行密钥轮转；
3. 吊销被泄露的 GitHub 个人访问令牌；
4. 删除所有分支中的恶意 Workflow 文件；
5. 同步检查该仓库全部 Fork 派生仓库，清理恶意文件。

从这次攻击的手法来看，供应链安全 已经从单一依赖投毒过渡到流水线级别的凭证收割。维护者账号一旦被接管，攻击面会被瞬间放大到所有关联仓库，而 CI 环境中长期沉淀的明文密钥恰恰是最容易得手的目标。对开源维护者而言，PAT 的最小权限授权、密钥定期轮换、Actions 工作流变更告警，应该成为代码托管平台上的基线操作。

资讯来源：StepSecurity、Socket、GitGuardian 公开安全研究报告