云安全公司 Wiz 披露，自 9 月 15 日起追踪的自动化攻击活动 Gheist，已利用被盗的 GitHub 令牌在 850 多个被入侵账号下植入超过 13500 个恶意分支，目标是从仓库和环境中窃取密钥。

攻击手法颇为“借力打力”：攻击者用令牌在可触达的每个仓库新建 ci-sync- 开头的分支，提交一个名为 sync-check 的 GitHub Actions 工作流，把密钥以 base32 编码后打印到运行日志中——这种编码恰好绕过了 GitHub 对原文密钥的日志脱敏——再通过 GitHub API 下载日志、几秒内删除运行记录，全程不需要自己的命令控制服务器。

GitHub 今年 7 月 28 日上线的一项保护措施对公开仓库有效：被判定为可疑的工作流会被挂起、等待协作者批准，Wiz 检查到的公开仓库 Gheist 运行全部卡在待批准状态。但这项保护不覆盖私有仓库和 GitHub Enterprise Server，那里的恶意运行确实执行并被删除了。

后续变种还盯上了自托管运行器，试图搜集 31 种令牌格式、私钥、环境文件、云凭证和 Kubernetes 服务账号令牌。Wiz 的建议很直接：凡是出现在相关分支或日志里的密钥都应视为已泄露并轮换，被盗令牌应立即吊销，长效个人令牌应改用有过期时间的细粒度令牌或 GitHub App 令牌。

消息来源

InfoWorld：https://www.infoworld.com/article/4241628/gheist-turns-github-actions-into-a-secret-extraction-service-2.html