新聞

資安業者Socket揭露，軟體供應鏈攻擊GhostAction再度利用遭入侵的GitHub維護者帳號，在數百個程式碼儲存庫植入惡意自動化工作流程。新版會翻查Git歷史紀錄，尋找開發者已從程式碼中刪除，卻仍留在過去提交紀錄中的金鑰，擴大可能遭竊的資料範圍。

GhostAction行動最早於2025年9月曝光，駭客取得GitHub帳號的寫入權限後，會在帳號能修改的儲存庫加入偽裝成安全檢查的工作流程。GitHub Actions原本用來自動測試、建置或發布軟體，惡意檔案一旦執行，就會讀取能取得的套件發布憑證、雲端服務金鑰等機密資料，傳送到攻擊者的伺服器。

研究人員調查10月8日發生的攻擊，發現駭客利用兩個遭入侵的維護者帳號，在346個儲存庫植入惡意工作流程，其中279個是從其他專案複製而來的儲存庫。受影響專案包括開源遊戲引擎Pyxel與Uber旗下的AthenaDriver。後者因原開發者仍保有寫入權限，讓駭客得以直接在主要分支加入惡意工作流程。

新版惡意工作流程會取得儲存庫可存取的完整Git提交歷史，再檢查過去的程式碼變更，搜尋AWS、GitHub與OpenAI等服務的金鑰或存取權杖，也會擷取部分AWS金鑰附近的程式碼，嘗試找出相關機密，即使金鑰已從目前版本刪除，只要仍留在歷史紀錄中，就可能被找到。

針對AthenaDriver遭植入的惡意工作流程，資安業者StepSecurity檢查AthenaDriver的執行紀錄，確認惡意工作流程已向攻擊伺服器傳送資料，並收到伺服器回應，但目前無法確認有多少有效憑證外洩。

另一家資安業者OpenSourceMalware也公布後續調查，截至10月9日已查得790個曾遭植入惡意工作流程的公開儲存庫。另發現新註冊的my-github.com指向GhostAction使用的攻擊伺服器，但尚無證據證明網域由同一批駭客控制。

受影響專案應移除惡意工作流程，撤銷遭濫用的GitHub存取憑證，並檢查歷史紀錄、更換可能外洩的金鑰。調查團隊也建議清查攻擊期間發布的套件及部署的系統，因為單純刪除惡意檔案，無法使已遭竊取的憑證失效。