Wiz 25 октября описала кампанию Gheist, которая использует украденные токены — ключи доступа к GitHub — для кражи секретов автоматической сборки программ. С 15 сентября исследователи обнаружили более 13 500 подставных веток кода у более чем 850 скомпрометированных аккаунтов. Это охват обнаруженной активности, а не число успешных краж.

Атакующие добавляют задание, которое выводит доступные ему секреты в собственный журнал. Кодирование значений позволяет обойти их обычное скрытие. Затем злоумышленники забирают журнал через интерфейс GitHub и удаляют запись о запуске. Отдельный сервер для приёма добычи не нужен: каналом передачи становится сама платформа.

GitHub ещё 28 июля ввёл автоматическую задержку подозрительных запусков: задание ждёт одобрения участника репозитория с правом записи через авторизованную веб-сессию. Объявленная область защиты — только публичные репозитории github.com; GitHub Enterprise Server в неё не входит. Во всех проверенных Wiz публичных запусках Gheist задания остались заблокированными.

В частных репозиториях Wiz наблюдала успешное выполнение атакующих заданий и последующую активность. В корпоративных средах исследователи также видели копирование закрытого кода, а спустя несколько часов — использование облачных ключей той же организации для обращения к AWS Secrets Manager. Число организаций, у которых удалось похитить секреты, отчёт не раскрывает. Успех защиты публичных проектов поэтому не означает остановки всей кампании.