Gheist：利用被盗 GitHub 令牌窃取秘密

Gheist campaign plants secret-dumping workflows using stolen GitHub tokens

Wiz Research 追踪到名为 Gheist 的新攻击活动，该活动利用被盗的 GitHub Tokens 大规模入侵仓库。攻击者在每个可访问的仓库中提交名为 sync-check 的工作流，通过 Base32 编码绕过日志脱敏，将仓库秘密明文打印到日志中，随后通过 GitHub API 下载并删除运行记录。尽管 GitHub 已对公共仓库实施审批拦截，但私有仓库和企业环境仍遭成功入侵。Wiz 已恢复超过 13,500 个被植入的分支，涉及 850 多个受损账户。该攻击不仅窃取代码库秘密，还进一步利用自托管运行器扫描主机文件、云凭证及容器环境，展现了从 GitHub 到云基础设施的连锁风险。