La campagna di furto credenziali GhostAction ha compromesso circa 1.900 account GitHub e ha preso di mira oltre 30.000 repository appartenenti a 3.000 utenti e organizzazioni. L’obiettivo è sottrarre segreti impiegati nelle pipeline CI/CD, dalle chiavi cloud ai token per registri di pacchetti e servizi di intelligenza artificiale.
Secondo l’analisi di GitGuardian, il picco è avvenuto l’8 e il 9 ottobre 2026. GitHub avrebbe iniziato a bloccare l’esecuzione del workflow malevolo dal 9 ottobre: le ondate successive osservate il 10 e il 12 ottobre non avrebbero quindi potuto estrarre altri segreti.
Come funziona l’attacco GhostAction
GhostAction è una campagna di attacco alla supply chain su GitHub individuata per la prima volta nel settembre 2025. Chi opera dietro l’attività ottiene l’accesso in scrittura ai repository dopo aver compromesso account di sviluppatori legittimi.
Per entrare in possesso degli account vengono usati Personal Access Token rubati oppure credenziali presenti nei log e nei dump di infostealer. Una volta preso il controllo di un profilo con i permessi necessari, gli attaccanti aggiungono un workflow GitHub Actions dannoso al repository.
I file vengono camuffati con nomi apparentemente rassicuranti, fra cui security-audit.yml e github_actions_security.yml. Il workflow, eseguito nell’infrastruttura di integrazione continua del progetto, punta a raccogliere dati che non dovrebbero lasciare quell’ambiente.
Quali credenziali cerca il malware
La campagna mira ai segreti delle procedure CI/CD: credenziali cloud, token di registri come npm, PyPI e DockerHub e chiavi API di fornitori AI. GitGuardian riferisce che il tentativo ha riguardato 3.174 segreti in repository pubblici.
La nuova ondata, attiva dal 31 agosto 2026, viene descritta come più sperimentale e manuale rispetto alle precedenti. Il payload è cambiato nel tempo e ha aggiunto la scansione della cronologia Git alla ricerca di credenziali esposte anche nei commit passati.
Le regole di rilevamento incluse nel codice coprono, tra gli altri, identificativi AWS, token GitHub e GitLab, segreti legati all’AI e chiavi per API cloud. Una seconda variante conserva inoltre circa due righe di contesto attorno a ogni identificativo AWS trovato, nel tentativo di associarlo alla relativa chiave di accesso segreta.
La diffusione in più fasi
GitGuardian descrive una distribuzione graduale del payload: prima verso 160 vittime già osservate, poi, 20 minuti più tardi, verso 28.000 nuovi repository tra l’8 e il 9 ottobre. Sono seguite ulteriori ondate il 10 e il 12 ottobre con lo stesso codice.
Il blocco dell’esecuzione da parte di GitHub, avviato il 9 ottobre secondo il rapporto, ha limitato l’impatto delle ultime due campagne. Non cancella però il problema principale: una credenziale sottratta prima del blocco può restare utile a chi attacca se non viene revocata o ruotata.
Una parte dei bersagli di questo picco era già stata compromessa nelle ondate del settembre 2025 e dell’agosto 2026. Per i ricercatori, questo indica che il gruppo sta tentando di sfruttare segreti rimasti invariati dopo gli incidenti precedenti.
FAQ
Che cos’è un workflow GitHub Actions?
È un file di automazione che può eseguire attività collegate a un repository, comprese procedure di integrazione e distribuzione continua. In GhostAction il workflow viene aggiunto da un account compromesso per cercare ed estrarre segreti.
Quali progetti sono stati presi di mira?
GitGuardian parla di oltre 30.000 repository collegati a 3.000 utenti e organizzazioni. Il resoconto riguarda repository pubblici e non pubblica l’elenco dei progetti colpiti.
Le ondate del 10 e 12 ottobre hanno rubato nuovi segreti?
Secondo GitGuardian, no: GitHub aveva iniziato a impedire l’esecuzione del workflow malevolo dal 9 ottobre. Il blocco indicato riguarda quelle due ondate successive, non dimostra invece che tutti i segreti esposti prima fossero già stati sostituiti.
Considerazioni finali
Il dato più allarmante non è soltanto la scala dell’ultima ondata, ma il riutilizzo di repository già compromessi. Quando token e chiavi non vengono ruotati dopo un incidente, un accesso precedente può continuare a produrre effetti anche mesi più tardi.
Il blocco dei workflow da parte di GitHub ha fermato le campagne successive osservate, ed è un intervento rilevante. Resta però decisiva la gestione delle credenziali: GhostAction punta proprio ai segreti disponibili nelle pipeline CI/CD e alla loro eventuale persistenza nel tempo.