Фахівці з кібербезпеки зафіксували нову хвилю атаки на ланцюг постачання в сервісі GitHub під назвою GhostAction. Зловмисники впровадили шкідливий скрипт для викрадення облікових даних у 94 публічні репозиторії. Шкідливе програмне забезпечення було замасковане під звичайний файл шрифту. При підключенні автоматичних процесів збірки проекту (GitHub Actions) скрипт непомітно зчитував секретні ключі, паролі та змінні середовища розробників.

Для підстраховки нападники використовували резервний сценарій: якщо основний викрадач не спрацьовував, запускався другий процес із назвами на кшталт “lint.yml” або “audit.yml”. Цей резервний модуль шукав додаткові формати ключів доступу та вивантажував їх у закриті текстові сховища. Усім розробникам, які використовували компрометовані репозиторії, рекомендується негайно відкликати та замінити всі персональні токени доступу та API-ключі.