GitHub 密钥窃取活动 Gheist：1.35 万个 ci-sync 分支，私有仓库没被暂挂拦住
Wiz 披露了一起从 9 月 15 日起追踪的活动：攻击者用被盗 token 往能触及的每个仓库提交 sync-check 工作流，把密钥打进 Actions 日志，再下载日志并几秒内删掉运行记录。
要点
- 已找回 1.35 万多个 ci-sync- 分支，涉及 850 多个账号，个人项目到企业私有仓库都有
- GitHub 从 7 月 28 日起对公开仓库的可疑工作流暂挂审批；私有仓库与 GitHub Enterprise Server 不适用，那里的运行已经完成
- 手法靠默认行为叠加：base32 编码绕过日志屏蔽、permissions 为空不限制 secrets、环境矩阵连生产凭证一起打印
- 10 月 19 日后的自托管 runner 变种搜 31 种凭证格式，Wiz 说该变种有 bug，未报告成功运行
- 处置是先轮换该仓库能读到的全部密钥并吊销推送 token，删分支删运行不算解除暴露
阅读原文这里是中文要点整理，数字与细节以原文为准。
评论
还没有评论，来写第一条。