攻撃者が、盗んだ GitHubの認証情報を悪用し、数万のリポジトリに悪意あるワークフローコードを送り込んでいます。狙いは、CI（継続的インテグレーション）のシークレットとクラウドの認証情報を盗むことです。この攻撃は2026年11月10日に始まりました。
研究者によると、4,837件の侵害されたアカウントが、61,764のリポジトリで探査用のプルリクエストを作成しました。少なくとも1,806のリポジトリでペイロードが実行され、認証情報が盗まれています。侵害されたユーザーのうち、少なくとも50人は、npm、Go、Packagist、PyPI、cratesのいずれかでパッケージも公開しています。
ペイロードは、自動公開のトリガーを通じて、Packagistのパッケージ1件とGoモジュール1件にも到達しました。ただし、攻撃者の関心はサプライチェーンでの拡散よりも、CIシークレットの窃取にあるようです。
攻撃はまず探査から始まります。攻撃者は、wfx-docsという名前のブランチから「docs: dependency audit notes」というタイトルのプルリクエストを作成します。これにより、盗んだトークンに書き込み権限があることを確認します。
GitHubで検索すると、こうしたプルリクエストは61,839件あり、11月10日12:45（UTC）から11月11日15:00（UTC）の間に作成されていました。そのうち約10,431件は、アカウント所有者以外のリポジトリに対するものです。約92%は今もオープンのままで、多くのリポジトリ所有者は気づいていない可能性があります。
攻撃者は1分以内に変更を元に戻し、ワークフローの実行とそのログを削除します。ワークフロー履歴で実行番号が欠けていることが、唯一の痕跡になる場合も少なくありません。
キャッシュ、アーティファクト、ステップサマリーの各チャネルは無効化されています。そのため、wfx-lootというアーティファクトが見当たらなくても、データが安全だという証明にはなりません。
このキャンペーンは、10月のGhostAction の活動と重なっています。当時被害を受けたアカウントは、11月に悪用される可能性が約1,000倍高くなっていました。ただし、インフラとツールが異なるため、研究者は2つの攻撃の波を同一の攻撃者によるものとは断定していません。
影響を受けたワークフローから利用できるすべてのシークレットとクラウドロールは、侵害されたものとして扱ってください。これらをローテーションし、Azureに想定外のフェデレーション認証情報がないか、AWSに開放されたトラストポリシーがないかを確認してください。
Goのタグでは、ペイロードはワークフローファイル内にのみ含まれています。Goのビルドではワークフローファイルが実行されないため、利用者への影響はない可能性があります。ただし、削除することが推奨されます。
自分のリポジトリを調べるには、11月10日以降に作成されたこれらのブランチ、プルリクエスト、コミットを探してください。ワークフローの実行番号に欠番がないかも確認してください。探査が実行されていた場合は、ワークフローの段階が実行されていなくても、そのユーザーは侵害されたものとして扱ってください。
Aikidoのユーザーは、フィードをマルウェア関連の問題で絞り込めます。関連パッケージは100/100の重大な問題として表示されるため、手動での再スキャンが推奨されます。
Aikidoのオープンソースツール「Safe Chain」も、インストール前にマルウェアフィードと照合してパッケージを確認します。デフォルトでは、公開から48時間以内のパッケージをブロックします。
16,000以上のSOCチームがANY.RUNを導入し、脅威調査を効率化して手作業を削減しています。チームで試す
翻訳元: https://cyberpress.org/github-attack-exposes-secrets/
