Кампания по краже ключей из GitHub Actions получила новый канал вывода данных. В образцах, изученных компанией по информационной безопасности StepSecurity 12 ноября, вредоносный скрипт отправлял похищенные сведения в чат Telegram без обращения к ранее обнаруженным серверам. Поэтому одной блокировки известных IP-адресов для защиты уже недостаточно.
Атака началась 10 ноября 2026 года. Злоумышленник использует действующие токены разработчиков и ботов, проверяет доступные им репозитории, а затем пытается внедрить код в процессы автоматической сборки и тестирования. Уязвимость в GitHub Actions для этого не нужна: коммиты отправляются от имени уже захваченных учётных записей.
Три показателя описывают разные этапы атаки: 61 764 репозитория, проверенных на возможность записи, 8093 репозитория с вредоносными коммитами по данным компании по информационной безопасности SafeDep и примерно 1800 репозиториев с выполненным кодом по оценке компании по информационной безопасности Aikido. О предыдущей оценке в 1835 проектов мы писали отдельно.
Читайте также
Скрипт пытается собрать секреты GitHub Actions, облачные и SSH-ключи, данные сервера сборки. Если разрешения позволяют, он также способен создавать долговременные учётные данные или менять настройки доверия в облачной инфраструктуре.
После запуска злоумышленник обычно откатывает коммит и удаляет запись о выполнении GitHub Actions вместе с журналом. В некоторых случаях это занимало меньше минуты. Следом может остаться пропуск в нумерации запусков, хотя один такой пропуск без других признаков не доказывает компрометацию.
Проверить стоит запросы с заголовком docs: dependency audit notes из ветки wfx-docs, а также коммиты ci: refresh build cache, chore: add ci helper и chore: add dependency audit workflow, появившиеся 10 ноября или позднее. Исследователи также нашли код внутри обычных shell-скриптов, уже запускавшихся системой сборки.
Если вредоносный код действительно выполнялся, Aikido и StepSecurity рекомендуют считать доступные процессу секреты и облачные роли раскрытыми. Недостаточно удалить коммит: нужно отозвать токены, заменить ключи и проверить облачные учётные записи, роли и политики доверия на созданные злоумышленником способы постоянного доступа.
По состоянию на 12 ноября исследователи продолжали видеть новые проверочные запросы.