🛡 DATA BREACHES 🛡

Flujos de trabajo de GitHub Actions robadores de credenciales plantados en decenas de miles de repositorios.

⏰10 de octubre de 2026🛡CyberObservatorio

Idioma

◢ DATA BREACHES ◣

Flujos de trabajo de GitHub Actions robadores de credenciales plantados en decenas de miles de repositorios.

⟫ 09/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Fuente: The Hacker News

La ciberseguridad se ha convertido en un tema de creciente preocupación en el mundo digital actual, en el que los ataques a la cadena de suministro y el robo de credenciales son cada vez más comunes y sofisticados. Recientemente, investigadores en ciberseguridad han revelado los detalles de una campaña activa de robo de credenciales que ha comprometido cuentas de mantenedores de proyectos de código abierto de alta relevancia, permitiendo a los atacantes inyectar un flujo de trabajo malicioso en más de 340 repositorios. Este tipo de incidentes no solo afecta a los desarrolladores y a la comunidad del software libre, sino que también pone en riesgo la seguridad de muchas empresas y usuarios que dependen de estas herramientas.

La campaña ha sido atribuida a un grupo conocido como GhostAction, que ya había estado en el punto de mira desde septiembre de 2025. En esta ocasión, se utiliza la cuenta de Takashi Kitao, reconocido por su motor de juegos pyxel, para introducir un flujo de trabajo malicioso en 27 repositorios a partir de las 13:20 UTC. Ocho horas después, la cuenta de Henry Wu, creador del controlador athenadriver de Uber, fue utilizada para propagar el mismo flujo en 318 repositorios en un intervalo de apenas 16 minutos, entre las 21:10 y las 21:26 UTC. Estos ataques han expuesto más de 3,325 secretos, incluidos tokens de servicios como PyPI, npm y DockerHub, que se obtuvieron a través de cuentas de desarrolladores comprometidas.

A medida que este ataque se desarrolla, Socket ha identificado más de 500 cuentas de GitHub involucradas, que han incorporado el flujo de trabajo malicioso a decenas de miles de repositorios desde el 7 de octubre de 2026. Estos flujos de trabajo, denominados "Security Audit" y "GitHub Actions Security", están diseñados para exfiltrar datos sensibles a una dirección IP específica ("193.32.204[.]199") a través de HTTP sin cifrado. La información capturada incluye secretos de GitHub Actions, credenciales de CI/CD, así como credenciales de servicios en la nube y APIs, que pueden abarcar desde claves de AWS hasta tokens de GitHub y GitLab.

El ciclo completo del ataque se puede describir de la siguiente manera: los atacantes obtienen las credenciales de GitHub de los mantenedores, probablemente a través de tokens de acceso personal (PAT) filtrados en registros de infostealers o dumps de credenciales. Posteriormente, se realiza una exploración de los archivos de flujo de trabajo en busca de secretos, y se inyecta un flujo de trabajo que se presenta como una auditoría de seguridad en la rama predeterminada bajo la identidad de la víctima. La carga útil embebida extrae los datos y los envía a un punto de control controlado por el atacante utilizando curl.

Este flujo de trabajo se activa mediante eventos de tipo workflow_dispatch y push sin filtrar (en cualquier rama o etiqueta), revisando todo el árbol de trabajo con un fetch-depth de 0, y ejecutando un único paso de 'Auditoría' que lleva a cabo varias acciones críticas. Estas acciones incluyen la recopilación de secretos nombrados encontrados durante la exploración, el escaneo del árbol de trabajo en busca de patrones de credenciales asociados con claves de AWS y API de servicios en la nube, así como la verificación del historial de git para identificar credenciales que puedan haber sido inadvertidamente comprometidas y luego eliminadas.

Recientemente, GitGuardian reportó que la campaña GhostAction ha logrado inyectar el flujo de trabajo malicioso en 772 repositorios públicos pertenecientes a 373 usuarios y organizaciones de GitHub entre el 31 de agosto y el 30 de septiembre de 2026. Los flujos de trabajo inyectados están dirigidos a un total de 2,577 secretos, incluyendo claves privadas SSH, credenciales de Azure, y tokens de servicios como Telegram, Slack y Discord, entre otros.

En al menos un caso documentado el 30 de agosto de 2026, los actores de la amenaza alteraron el repositorio "kuafuai/DevOpsGPT" para incluir un minero de criptomonedas XMRig en la imagen Docker del proyecto. Aunque, hasta ahora, no se ha publicado ningún paquete malicioso utilizando credenciales de publicación comprometidas, el riesgo sigue latente.

Ante esta situación, se aconseja a los desarrolladores que verifiquen sus repositorios en busca de cualquiera de los dos flujos de trabajo de GitHub desde el 31 de agosto de 2026 y asuman que han sido comprometidos si están presentes. Se recomienda revocar las credenciales de GitHub comprometidas, rotar las credenciales, eliminar el flujo de trabajo malicioso de todas las ramas y revisar los forks de los repositorios infectados. Los 279 forks en el espacio de nombres de henrywoo, por ejemplo, contienen cada uno el archivo del flujo de trabajo. Si las acciones están habilitadas, los pushes posteriores pueden activar la recolección de credenciales.

Los forks privados y los espejos descendentes son los más expuestos, ya que en los repositorios privados es donde realmente se encuentran las credenciales comprometidas. En el caso de ambos mantenedores, cada ejecución del flujo de trabajo devuelve un identificador del repositorio, independientemente de si se encontraron credenciales, lo que permite a los operadores tener un mapa de los contextos de ejecución alcanzables sin depender de un robo de credenciales efectivo.

La situación actual subraya la necesidad urgente de que tanto desarrolladores como empresas refuercen sus prácticas de ciberseguridad, revisen sus flujos de trabajo y mantengan una vigilancia constante ante amenazas que evolucionan rápidamente en el panorama digital.

◢ DATA BREACHES ◣

Credential-Stealing GitHub Actions Workflows Planted in Tens of Thousands of Repositories

⟫ 09/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Source: The Hacker News

Cybersecurity researchers have disclosed details of an ongoing credential-theft campaign that has compromised two high-profile open-source maintainer accounts to push a malicious workflow into over 340 repositories. "Using the account of Takashi Kitao, author of the 18,400-star game engine pyxel, the attacker pushed a malicious workflow to 27 repositories starting at 13:20 UTC," StepSecuritysaid. "Eight hours later, the account of Henry Wu (henrywoo), the original author of Uber's athenadriver, was used to push the same workflow to 318 repositories in a 16-minute window, 21:10–21:26 UTC." As of October 9, 2026, Socketsaidit has identified more than 500 GitHub accounts that committed the malicious workflow to tens of thousands of repositories since October 7, 2026. The activity has been attributed toGhostAction, a massive supply chain attack campaign thatfirst came to lightin September 2025. The activity impacted 817 repositories across 327 GitHub users, resulting in the exfiltration of 3,325 secrets, including PyPI, npm, and DockerHub tokens through compromised developer accounts. Like before, both accounts have been found to push a workflow named Security Audit ("security-audit.yml") or GitHub Actions Security ("github_actions_security.yml"), which are designed to exfiltrate sensitive data to a hard-coded IP address ("193.32.204[.]199") over plain HTTP. The captured data contains the repository's named GitHub Actions secrets, including CI/CD secrets, and cloud, AI, and SaaS credentials present in the working tree and the entire git history, such as AWS keys, Anthropic, OpenAI, and OpenRouter API keys, and GitHub and GitLab tokens. The entire attack chain plays out as follows - The attacker obtains a maintainer's GitHub credentials, most likely a leaked personal access token (PAT) from infostealer logs or credential dumps. The repository's workflow files are scanned for secrets as part of a reconnaissance step. A workflow masquerading as a security audit is injected into the default branch under the victim's own identity. The embedded payload extracts the data and sends it to an attacker-controlled endpoint via curl. "It triggers on workflow_dispatch and an unfiltered push (any branch, any tag), checks out with fetch-depth: 0, and runs a single 'Audit' step that does four things," StepSecurity added. This includes - Append the repository's named secrets found during reconnaissance Scan the working tree for 13 credential patterns associated with AWS keys, AI services, source control services, and SaaS and cloud API keys Check the entire git history for the same 13 patterns to harvest credentials that may have inadvertently committed to the repository and subsequently deleted Pair AWS access key IDs with their matching secret access keys Earlier this week, GitGuardianreportedthat theGhostActioncampaign pushed the malicious workflow to 772 public repositories belonging to 373 GitHub users and organizations between August 31 and September 30, 2026. The injected workflows target 2,577 secrets, including SSH private keys, Azure credentials, DockerHub and GHCR container registry credentials, database credentials, AWS access keys, FTP credentials, Google Cloud and Firebase credentials, GitHub tokens, Telegram, Slack, and Discord bot tokens, and keys associated with Cloudflare, npm, PyPI, and AI providers. In at least one case observed on August 30, 2026, the threat actors altered the "kuafuai/DevOpsGPT" repository to embed an XMRig cryptocurrency miner in the project's Docker image. As of writing, no malicious package releases have been published using compromised publishing credentials. Developers are advised to check their repositories for either of the two GitHub workflows since August 31, 2026, and assume compromise, if present. It's recommended to revoke the compromised GitHub credential, rotate credentials, delete the malicious workflow from all branches, and check forks of the infected repositories. "The 279 forks in the henrywoo namespace each carry the workflow file. If Actions are enabled, subsequent pushes can trigger credential harvesting," Socket said. "Downstream forks are also at risk if they inherit the malicious workflow, either when newly created or by synchronizing with the affected upstream repository." "Private forks and downstream mirrors are the most exposed, because private repositories are where committed credentials are actually found. Across both accounts, every run also returns a repository identifier whether or not credentials were found, so the operator holds a map of reachable execution contexts independent of any credential theft."

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD