GhostAction新攻势波及数百GitHub仓库窃取凭证

发生了什么

据Socket·技术动态10月9日报道，自10月7日以来，Socket识别出超过500个GitHub账户提交了恶意工作流到数万仓库。其中， compromised maintainer accounts henrywoo and kitao 在10月8日将名为security-audit.yml的工作流提交到346个仓库。该工作流无安全功能，收集凭证并通过POST请求发送到硬编码IP地址hxxp://193.32.204[.]199。受影响仓库包括uber/athenadriver和kitao/pyxel。攻击者还扫描工作树和完整git历史以获取云凭证，并以明文形式发布。