GhostAction : un faux audit vole vos secrets CI

Ce qui se passe

GhostAction, une campagne de vol de secrets apparue en septembre 2025 (817 dépôts, 327 comptes, 3 325 secrets à l'époque), est de retour. Selon Socket, plus de 500 comptes GitHub ont poussé le même workflow dans des dizaines de milliers de dépôts depuis le 7 octobre 2026. Deux comptes de mainteneurs connus ont servi de relais le même jour, d'après StepSecurity :

• Takashi Kitao, auteur du moteur de jeu pyxel (18 400 étoiles) : 27 dépôts à partir de 13 h 20 UTC ;
• Henry Wu (henrywoo), auteur d'athenadriver chez Uber : 318 dépôts en 16 minutes, de 21 h 10 à 21 h 26 UTC.

GitGuardian avait compté, entre le 31 août et le 30 septembre, 772 dépôts publics de 373 comptes et organisations, avec 2 577 secrets visés.

Le mécanisme

Le fichier s'appelle security-audit.yml (« Security Audit ») ou github_actions_security.yml (« GitHub Actions Security »). Il se déclenche sur workflow_dispatch et sur tout push, branche ou tag, récupère l'historique complet (fetch-depth: 0) et exécute une étape qui :

1. ajoute les secrets nommés du dépôt, repérés lors de la reconnaissance ;
2. cherche 13 motifs d'identifiants (AWS, services d'IA, forges, SaaS) dans l'arbre de travail ;
3. cherche les mêmes motifs dans tout l'historique, y compris ce qui a été commité puis supprimé ;
4. associe chaque identifiant d'accès AWS à sa clé secrète.

Le résultat part en HTTP, sans TLS, vers 193.32.204.199. Chaque exécution renvoie aussi l'identifiant du dépôt, qu'un secret ait été trouvé ou non : l'opérateur garde une carte des environnements atteignables.

Ce qu'il faut savoir

• Ce n'est pas une faille de GitHub. L'accès initial est très probablement un jeton d'accès personnel issu de journaux d'infostealers.
• Sont visés : clés AWS, jetons GitHub et GitLab, clés Anthropic, OpenAI et OpenRouter. La vague d'août-septembre ajoutait SSH, Azure, DockerHub, GHCR, Firebase, Cloudflare, npm et PyPI.
• Les forks héritent du fichier. 279 forks de henrywoo le portent ; si Actions y est actif, un push relance la collecte. Dépôts privés et miroirs sont les plus exposés, car c'est là que dorment les identifiants commités.
• Aucune publication de paquet piégé avec des identifiants volés n'était constatée à la publication. Un cas du 30 août : un mineur XMRig glissé dans l'image Docker de kuafuai/DevOpsGPT.

Comment s'y prendre

1. Chercher les deux noms, dans chaque clone et chaque fork, depuis le 31 août 2026 :

git log --all --since=2026-08-31 --diff-filter=A --name-only \
  -- .github/workflows/security-audit.yml .github/workflows/github_actions_security.yml

2. S'ils sont présents : révoquer le jeton du compte, renouveler tous les secrets que le dépôt a vus, historique compris, supprimer le workflow de chaque branche, puis vérifier les forks.
3. Bloquer 193.32.204.199 en sortie de vos runners auto-hébergés.

Source : Credential-Stealing GitHub Actions Workflows Planted in Tens of Thousands of Repositories, The Hacker News, 9 octobre 2026. Analyses citées : StepSecurity · Socket · GitGuardian.