GhostAction bezeichnet eine Angriffskampagne gegen die Lieferkette der Entwicklerinfrastruktur auf GitHub, die erstmals im September 2025 entdeckt wurde. Die Angreifer übernehmen legitime Entwicklerkonten und schleusen anschließend bösartige Automatisierungs-Workflows für GitHub Actions in Software-Repositories ein.
Schreibzugriff verschaffen sich die Täter über gestohlene Personal Access Tokens (PATs) oder über Zugangsdaten, die aus Infostealer-Protokollen und Datensammlungen stammen. Über das gekaperte Maintainer-Konto laden sie eine manipulierte Workflow-Datei hoch, die unter unverfänglichen Namen wie “security-audit.yml” (Security Audit) oder “github_actions_security.yml” (GitHub Actions Security) getarnt ist.
Ziel ist der großflächige Diebstahl von CI/CD-Geheimnissen, Cloud-Zugangsdaten, Tokens für Paket-Registries wie npm, PyPI und DockerHub sowie von API-Schlüsseln für KI-Anbieter.
Eine neue GhostAction-Welle läuft laut GitGuardian seit dem 31. August 2026, wobei der schädliche Workflow in Hunderte Repositories eingebracht wurde. “Diese neue Welle wirkt experimenteller und manueller als die vorherigen, wobei sich die Nutzlast im Lauf der Zeit weiterentwickelt hat”, so GitGuardian. “Verglichen mit der ursprünglichen GhostAction-Nutzlast fügte die erste Version dieser neuen Nutzlast eine Funktion zum Scannen der Git-Historie nach Geheimnissen hinzu.”
Wie zuvor bereits von Socket und StepSecurity beschrieben, arbeitet diese Scan-Funktion mit regulären Ausdrücken zur Erkennung von AWS-Key-IDs, GitHub- und GitLab-Tokens, KI-bezogenen Geheimnissen und Cloud-API-Schlüsseln. Eine zweite Version der Nutzlast erfasst zusätzlich rund zwei Zeilen Kontext um jeden Treffer bei AWS-Key-IDs, um diese den passenden Secret Access Keys zuordnen zu können. Eine dritte und letzte Variante unterstützt das Auslesen des Kontexts der Geheimnisse direkt beim Durchsuchen der Git-Historie.
“Diese Nutzlast wurde in mehreren Phasen ausgerollt”, erklärte GitGuardian. “Zunächst an 160 zuvor beobachtete Opfer, dann 20 Minuten später an 28.000 neue Repositories zwischen dem 8. und 9. Oktober. Weitere Wellen mit derselben Nutzlast wurden am 10. und 12. Oktober beobachtet. GitHub begann jedoch ab dem 9. Oktober, die Ausführung des schädlichen Workflows zu unterbinden. Diese beiden nachfolgenden Wellen konnten daher keine Geheimnisse mehr abgreifen.”
Ein Teil der Opfer dieser jüngsten Welle war bereits bei den Angriffen im September 2025 und im August 2026 betroffen. Das deutet darauf hin, dass die Angreifer darauf setzen, dass kompromittierte Geheimnisse nach wie vor nicht rotiert wurden.