Gheist siembra workflows que filtran secretos con tokens de GitHub robados
Gheist campaign plants secret-dumping workflows using stolen GitHub tokens
Wiz Research documenta Gheist, una campaña que desde el 15 de septiembre de 2026 abusa de tokens de GitHub comprometidos para plantar en cada repositorio accesible una rama ci-sync- y un workflow sync-check.yml que imprime los secretos en el log y los descarga vía la API de GitHub antes de borrar la ejecución. Se recuperaron más de 13.500 ramas plantadas en más de 850 cuentas. El bloqueo de GitHub frena los repositorios públicos, pero no los privados ni GitHub Enterprise, donde la explotación sí prosperó.
Como los secretos salen a través de la propia API de GitHub, no hay dominio del atacante ni conexión saliente que bloquear.