Gheist pflanzt Workflows in GitHub-Repos, um Secrets abzugreifen
Gheist campaign plants secret-dumping workflows using stolen GitHub tokens
Seit September 2026 missbraucht die Kampagne Gheist gestohlene GitHub-Tokens im großen Stil: In jedem erreichbaren Repository wird ein Workflow namens sync-check angelegt, der Secrets per base32-Kodierung in die Logs schreibt und sie anschließend über die GitHub-API abzieht. Wiz Research fand über 13.500 präparierte Branches in mehr als 850 kompromittierten Konten. In öffentlichen Repos blockiert GitHubs Genehmigungssperre die Ausführung, in privaten Repositories und Enterprise-Umgebungen lief die Nutzlast jedoch erfolgreich.
Die Kontrolle hat funktioniert, und die schädlichen Nutzlasten wurden nie ausgeführt. Leider gilt diese Sperre nicht für private Repositories oder GitHub Enterprise Server.