Связанная с кражей учетных данных кампания GhostAction резко активизировалась, охватив более 30 000 хранилищ данных у 3000 пользователей и организаций. Согласно телеметрии GitGuardian, всплеск активности наблюдался 8 и 9 октября 2026 года. Это произошло в результате взлома учетных записей GitHub примерно 1900 пользователей, после чего была предпринята попытка извлечь 3174 секрета из CI общедоступных репозиториев. GhostAction - это название кампании по атаке на цепочку поставок, нацеленной на инфраструктуру разработчиков на GitHub. Впервые была обнаружена в сентябре 2025 года. Злоумышленники взламывают легитимные учетные записи разработчиков, дабы внедрить вредоносные рабочие процессы автоматизации GitHub Actions в репозитории ПО. В частности, они получают доступ на запись в репозитории, используя украденные персональные токены доступа (PAT) или учетные данные, полученные из журналов и дампов, собранных посредством стилеров. Используя взломанную учетную запись админа, они распространяют вредоносный файл рабочего процесса, замаскированный под обманчивые имена, такие как Security Audit (security-audit.yml) или GitHub Actions Security (github_actions_security.yml). Конечная цель - широкомасштабная кража секретов CI/CD, учетных данных облачных сервисов, токенов реестров пакетов (таких как npm, PyPI и DockerHub) и ключей API поставщиков услуг ИИ. С 31 августа 2026 года наблюдается новая волна атак GhostAction, вредоносный процесс которых распространяется на сотни репозиториев. Новая серия, похоже, более экспериментальная и требует ручной обработки, нежели предыдущие, а полезная нагрузка также развивается со временем. По сравнению с оригинальной полезной нагрузкой GhostAction, первая версия этой новой полезной нагрузки добавила функцию сканирования секретных данных в истории Git. Как ранее сообщали Socket и StepSecurity, функция сканирования истории включает в себя регулярные выражения для обнаружения секретов, охватывающие идентификаторы ключей AWS, токены GitHub и GitLab, секреты, связанные с ИИ, а также ключи облачных API. Вторая версия полезной нагрузки также захватывает примерно две строки контекста вокруг каждого идентификатора ключа AWS, чтобы сопоставить их с соответствующими секретными ключами доступа. Третий и последний вариант полезной нагрузки включает поддержку получения секретного контекста во время сканирования истории Git. Вредоносная ПО была развернута в несколько этапов: сначала она была запущена в отношении 160 ранее обнаруженных жертв, затем, через 20 минут, на 28 000 новых репозиториев в период с 8 по 9 октября. Новые атаки с использованием той же вредоносной ПО зафиксированы 10 и 12 октября. Однако GitHub начал блокировать запуск вредоносного процесса начиная с 9 октября. Поэтому эти две последующие волны не смогли выкрасть никаких секретных данных. Примечательно, что часть жертв этой новой волны ранее уже подвергалась атакам в сентябре 2025 года и августе 2026 года.