逾850個GitHub帳號遭入侵，駭客發動Gheist攻擊植入惡意工作流程企圖竊密

雲端資安業者Wiz近日揭露Gheist攻擊活動，駭客濫用遭竊的GitHub權杖，在儲存庫植入惡意GitHub Actions工作流程，企圖竊取機密資料。研究人員發現，這波攻擊影響超過850個遭入侵的GitHub帳號，相關儲存庫遭植入逾1.35萬個惡意分支。

Wiz自9月15日起追蹤Gheist攻擊活動，截至10月24日仍觀測到相關跡象。GitHub針對公開儲存庫新增的防護機制，要求部分可疑工作流程經核准後才能執行，研究人員檢查的惡意工作流程因此均未成功執行。不過，這項防護不適用於私人儲存庫及GitHub Enterprise Server，Wiz也在部分企業環境發現惡意工作流程成功執行的紀錄。

攻擊者植入的惡意GitHub Actions工作流程，會將執行期間可存取的環境變數及機密資料編碼後寫入日誌，藉此規避GitHub原有的機密資料遮蔽機制。攻擊工具隨後呼叫GitHub API下載日誌，並在數秒後刪除執行紀錄。攻擊者也試圖從遭入侵組織自行託管的GitHub Actions執行器（self-hosted runner）中，搜尋可能存放的私密金鑰及雲端服務身分驗證憑證。

研究人員另在部分企業環境發現，攻擊者藉由遭竊的GitHub權杖，擅自複製私人儲存庫。數小時後，同一組織的雲端服務身分驗證憑證又出現查詢AWS Secrets Manager資源的使用紀錄。Wiz研究人員對資安媒體Dark Reading透露，估計約有12家公司受到這波攻擊影響。

因應這類攻擊，企業可檢查GitHub儲存庫是否出現異常分支或惡意工作流程，並比對GitHub與雲端服務的稽核日誌，追查權杖是否遭到濫用。一旦發現相關跡象，則需撤銷遭濫用的權杖、輪替可能外洩的機密金鑰及身分驗證憑證，並檢查自行託管執行器是否受到影響。