Een credential-diefstalcampagne met de naam GhostAction GitHub is in oktober flink opgevoerd. Onderzoekers van GitGuardian zagen op 8 en 9 oktober 2026 een scherpe toename in activiteit: aanvallers probeerden in totaal meer dan 30.000 repositories te raken, verspreid over circa 3.000 gebruikers en organisaties.
Waar het voor organisaties extra pijnlijk wordt, is de manier waarop de aanval zijn werk doet. Niet alleen systemen worden benaderd, maar vooral de ontwikkelketen: de workflow-automatisering rondom CI/CD. Daardoor zijn juist de waardevolste gegevens—zoals CI/CD-secrets en tokens—potentieel het doel.
Wat is GhostAction GitHub?
GhostAction is een supply chain-aanval gericht op developer infrastructure op GitHub. De kern is dat kwaadwillenden legitieme ontwikkelaccounts compromitteren en vervolgens via die accounts malafide GitHub Actions-workflows in softwarerepositories plaatsen.
De campagne werd eerder ontdekt, namelijk in september 2025. Sindsdien is er herhaaldelijk nieuwe golfactiviteit waargenomen, met varianten op de oorspronkelijke aanpak.
Hoe verloopt de aanval in de praktijk?
Volgens GitGuardian kwamen aanvallers aan schrijf-toegang tot repositories door gestolen Personal Access Tokens (PATs) of door credentials die waren buitgemaakt uit infostealer logs en dumps.
Daarna gebruiken aanvallers het gecompromitteerde account om een kwaadaardige workflowfile te pushen. Die workflow wordt vaak vermomd met misleidende namen, bijvoorbeeld ogenschijnlijk onschuldige varianten zoals “Security Audit” (bijvoorbeeld security-audit.yml) of “GitHub Actions Security” (bijvoorbeeld github_actions_security.yml).
Welke gegevens proberen aanvallers te stelen?
Het einddoel van GhostAction GitHub is het grootschalig wegtrekken van secrets die normaal gesproken juist nodig zijn om software veilig te bouwen, testen en te deployen. In de beschreven golf ging het onder meer om:
- CI/CD-secrets (continue integratie en continue levering)
- Cloud credentials
- Package registry tokens, zoals npm-, PyPI- en DockerHub-tokens
- API-sleutels voor AI-providers
In de specifieke observatie op 8 en 9 oktober probeerde men bovendien 3.174 secrets te extraheren vanuit CI-context bij public repositories.
Nieuwe golven en veranderende payload
Sinds 31 augustus 2026 is er een nieuwe golf van GhostAction GitHub waargenomen. Deze keer werd de workflow in honderden repositories gepusht. GitGuardian beschrijft dat de aanpak in deze fase meer experimenteel en handmatig oogde dan bij eerdere rondes.
Een belangrijk verschil met de eerdere payload is de ontwikkeling van extra functionaliteit. Vergeleken met de oorspronkelijke versie werd een git history secret-scanning mogelijkheid toegevoegd. Deze scanning gebruikt regex-achtige detectieregels om bijvoorbeeld secretvormen te herkennen, waaronder:
- AWS key IDs
- GitHub- en GitLab-tokens
- AI-gerelateerde secrets
- Cloud API-keys
Variant 1: context toevoegen bij hits
Een tweede payload-variant legde per AWS key ID ongeveer twee regels context vast. Het idee daarbij is dat aanvallers secret access keys kunnen matchen met de gevonden key IDs.
Variant 2: bredere context bij de scan
Een derde en laatste variant breidde dit uit door ook extra context tijdens de git history scan te ondersteunen. Zo ontstaat er meer “bewijs” of aanvulling om gestolen secrets bruikbaarder te maken.
Gefaseerde inzet en schaalvergroting
De payload werd in meerdere fasen ingezet. Eerst werd deze uitgerold naar 160 eerder waargenomen slachtoffers. Ongeveer 20 minuten later volgde een sprong: naar 28.000 nieuwe repositories in de periode 8-9 oktober.
Ook op 10 en 12 oktober verschenen nieuwe waves met dezelfde payload. GitGuardian stelt daarbij wel een belangrijke kanttekening: GitHub begon op 9 oktober de kwaadaardige workflow te blokkeren van uitvoering. Daardoor konden de twee latere golven in de beschrijving geen secrets meer extraheren.
Waarom eerder getroffen doelwitten extra relevant zijn
Een opvallend detail is dat een deel van de victims uit de nieuwe burst eerder al was gecompromitteerd in eerdere waves, namelijk uit september 2025 en augustus 2026. Dat wijst erop dat aanvallers kunnen rekenen op on-geroteerde secrets—iets wat vaak gebeurt wanneer teams de impact van een incident niet volledig doorvertalen naar sleutelbeheer.
Wat kun je doen tegen GhostAction GitHub?
Hoewel je niet elk onderdeel van de aanval volledig kunt voorkomen, kun je de kans op misbruik en de impact sterk verkleinen. Hieronder staan maatregelen die passen bij het dreigingsbeeld rond gecompromitteerde accounts en gemanipuleerde workflows.
1) Controleer welke accounts toegang hebben tot workflows
Inventariseer wie repositories mag wijzigen en wie workflowbestanden kan pushen. Let daarbij extra op accounts die via PATs of via tooling ineens brede rechten hebben gekregen. Als je kunt, reduceer dan waar mogelijk de schrijfrechten en beperk ze per repository of omgeving.
2) Voer een gerichte secret audit uit
GhostAction GitHub mikt op CI/CD-secrets en cloud- of registry-tokens. Richt je controle dus op plaatsen waar die secrets leven: instellingen voor GitHub Actions, secret stores, omgevingsvariabelen en deploy-accounts. Wanneer je eerdere incidenten hebt gehad, behandel je rotatiebeleid als prioriteit.
3) Monitor op afwijkende workflow-pushes
Werkflows met misleidende namen en plotselinge veranderingen zijn vaak het eerste tastbare signaal. Zet daarom monitoring in op wijzigingen aan workflowbestanden, zeker als die wijzigingen afwijken van normale ontwikkelpatronen.
4) Zorg dat rotatie ook echt “door de keten” werkt
Als aanvallers eerder toegang hadden tot accounts, dan is het niet genoeg om alleen zichtbare tokens te vervangen. Zorg dat je de volledige set van mogelijk getroffen credentials adresseert: cloud credentials, package registry tokens en API-sleutels moeten allemaal in één rotatie-ronde worden meegenomen.
Vergelijkbare incidenten: waarom ontwikkelinfrastructuur kwetsbaar blijft
GhostAction GitHub past in een bredere trend waarin aanvallers niet alleen endpoints of servers proberen te infiltreren, maar juist de bouw- en uitrolketen. Eerder werd bijvoorbeeld ook aandacht besteed aan aanvallen en kwetsbaarheden rondom CI/CD-omgevingen en developer tooling.
Ter illustratie: zie ook hoe supply chain- en ontwikkelketenrisico’s samenkomen in berichten over GitHub-ecosysteemcomponenten, zoals GitHub npm trusted publishing. Niet hetzelfde incident, maar wel hetzelfde type “keten”-denken: kleine instellingen en koppelingen kunnen grote gevolgen hebben.
Conclusie
GhostAction GitHub laat zien hoe snel aanvallers schaal kunnen bereiken wanneer ze gecompromitteerde ontwikkelaccounts inzetten om malafide GitHub Actions-workflows te verspreiden. In de observatie van 8 en 9 oktober 2026 werd getracht duizenden secrets te extraheren uit meer dan 30.000 repositories, met als kern de diefstal van CI/CD-secrets, cloud credentials en tokens voor registers en AI-providers.
Met snelle blokkering door GitHub na 9 oktober werd verdere extractie in latere waves bemoeilijkt, maar de les blijft: zorg voor strakke workflowcontrole, continue secret hygiene en een rotatiebeleid dat aantoonbaar alle betrokken sleutels afdekt—zeker wanneer eerdere waves of incidenten al in je omgeving speelden.
Bron: https://thehackernews.com/2026/10/ghostaction-compromises-about-1900.html
1 reactie