Кампанія із компрометації ланцюгів постачання GhostAction зламала облікові записи відомих розробників програмного забезпечення з відкритим кодом. Зловмисники використали викрадені ключі доступу для впровадження шкідливих конфігураційних файлів автоматизації у понад 340 репозиторіїв, а загальна кількість уражених проєктів сягає кількох тисяч.

Шкідливі сценарії з назвами “security-audit.yml” та “github_actions_security.yml” автоматично сканують історію змін і робочі теки проєктів. Вони викрадають секретні ключі доступу до хмарних сервісів AWS, систем штучного інтелекту Anthropic та OpenAI, а також токени GitHub і GitLab, передаючи їх на віддалений сервер нападників.