La campaña GhostAction volvió a comprometer cuentas e insertar flujos de trabajo maliciosos en repositorios públicos alojados en GitHub.
Según GitGuardian, entre el 8 y el 12 de octubre los atacantes dirigieron su actividad contra más de 30.000 repositorios pertenecientes a unas 3.000 organizaciones y usuarios.
La campaña habría utilizado aproximadamente 1.900 cuentas comprometidas e intentado extraer 3.174 secretos almacenados o utilizados por procesos de integración continua.
Recomendaciones para desarrolladores:
Auditar archivos de GitHub Actions y cambios recientes. Revisar commits realizados con identidades legítimas. Rotar tokens, claves API y secretos de CI/CD. Eliminar permisos innecesarios de los flujos de trabajo. Activar autenticación multifactor y protección de ramas. Examinar el historial completo del repositorio.