Hackers secuestran 790 repositorios de GitHub para robar credenciales de la nube y claves API de IA

Una campaña llamada GhostAction ha colocado flujos de trabajo maliciosos de Acciones de GitHub en 790 repositorios, poniendo en riesgo las credenciales de la nube, los tokens de publicación de software y las claves de servicio de IA. El total es el recuento de OpenSourceMalware de repositorios validados y recuperables públicamente hasta el 9 de octubre de 2026; no es una afirmación de que todos los repositorios filtraron credenciales o sufrieron un uso indebido confirmado.

Una vez que un atacante puede escribir en los repositorios de un mantenedor, puede añadir un flujo de trabajo que se ejecuta cuando se inserta código o cuando alguien lo inicia manualmente. Esto puede exponer los secretos disponibles para el flujo de trabajo, convirtiendo una cuenta robada en una ruta hacia sistemas en la nube, registros de paquetes y otros proyectos. Encontraron el flujo de trabajo malicioso y rastrearon la actividad relacionada en cientos de repositorios. Hackers Hijack 790 Repositorios de GitHub El flujo de trabajo más nuevo hace más que leer secretos seleccionados de Acciones de GitHub.

Por qué eliminar el flujo de trabajo no es suficiente Una ejecución exitosa del flujo de trabajo puede exponer las credenciales incluso si el archivo se elimina más tarde. Eliminarlo no revoca un token de GitHub robado, invalida las claves de publicación o en la nube, ni elimina las credenciales de las confirmaciones antiguas.

Consultar publicación original ↗