GhostAction攻击窃取GitHub项目中3325个机密凭证
原文中文，约1300字，阅读约需3分钟。
📝
内容提要
2025年9月2日，GitHub用户提交恶意工作流文件，窃取FastUUID项目的机密凭证，事件被称为“GhostAction”，影响817个代码库，窃取3325个凭证。GitGuardian及时通知开发者并监控可疑活动，事件仍在调查中。
🔎
延伸解读
攻击技术分析
GhostAction攻击利用了看似正常的工作流文件，实际上却包含恶意代码。这种伪装手法使得攻击者能够在不被察觉的情况下窃取CI/CD机密凭证，提醒开发者在提交工作流时要仔细审查代码，确保没有潜在的安全隐患。
影响范围与后果
此次攻击影响了817个代码库，窃取了3325个机密凭证，涉及多种编程语言。开发者需关注项目中凭证的安全性，及时更新和撤销被盗凭证，以防止进一步的滥用和损失。
后续防护措施
GitGuardian已采取措施通知各大平台并监控可疑活动。开发者应定期检查项目的安全状态，及时响应安全警报，并考虑实施更严格的凭证管理策略，以降低未来攻击的风险。
❓
Q&A
GhostAction攻击的主要影响是什么？
GhostAction攻击影响了817个代码库，窃取了3325个机密凭证，包括DockerHub凭据、GitHub令牌和npm发布密钥。
攻击者是如何窃取机密凭证的？
攻击者提交了看似正常的工作流文件，实则包含恶意代码，收集CI/CD机密凭证并发送至外部服务器。
GitGuardian是如何应对GhostAction攻击的？
GitGuardian及时发现异常活动，成功提醒573个项目维护者，并监控可疑软件包发布。
GhostAction攻击的规模有多大？
这是迄今为止规模最大的GitHub工作流入侵事件，影响数百个项目并暴露数千个机密凭证。
受影响的项目使用了哪些编程语言？
受影响的项目涵盖Python、JavaScript、Rust和Go等多种编程语言。
攻击者如何识别并利用有效凭证？
攻击者分析合法工作流文件，识别在用凭证，并将其硬编码至恶意工作流中。
🏷️
