Угнанные аккаунты GitHub украли секреты через самоуничтожающийся workflow
С 10 ноября 4837 скомпрометированных аккаунтов открыли проверочные pull request в 61 764 репозиториях.
При наличии записи злоумышленники добавляли в GitHub Actions стилер примерно на 1500 строк и затем откатывали коммит.
Секреты утекли минимум из 1835 репозиториев, включая токены GitHub, облачные ключи и ключи AI-провайдеров.
Стилер удалял workflow и логи, поэтому следом атаки могли оставаться пропуски в нумерации запусков.
Почему важно
Доверие к аккаунту соавтора превращает CI в канал кражи всей цепочки секретов, даже если вредоносный код быстро исчезает из истории.