GitHub 토큰 850개 탈취한 'Gheist', 비공개 저장소에서 시크릿 빼냈다
Gheist campaign plants secret-dumping workflows using stolen GitHub tokens
Wiz Research가 2026년 9월부터 추적한 Gheist 캠페인은 탈취한 GitHub 토큰으로 850개 이상 계정에 악성 워크플로를 심었다. 시크릿을 base32로 인코딩해 로그에 그대로 출력한 뒤 GitHub API로 로그를 내려받고 몇 초 만에 실행 기록을 지우는 수법이다. GitHub의 공개 저장소 승인 보류 덕에 공개 쪽은 막혔지만, 비공개 저장소와 Enterprise 환경에서는 실제로 실행돼 AWS 자격증명까지 노출됐다.
GitHub는 시크릿 값이 그대로 나타날 때만 로그에서 마스킹한다. base32로 인코딩된 시크릿은 일치하지 않으므로 전체가 출력된다.