La campaña de cadena de suministro de GhostAction utiliza acciones maliciosas de GitHub para robar credenciales de CI/CD
Resumen Informativo
De acuerdo a la publicación titulada La campaña de cadena de suministro de GhostAction utiliza acciones maliciosas de GitHub para robar credenciales de CI/CD, difundida en fecha 08/10/2026 13:32, por el medio Cybersecuritynews (Autor: Tushar Subhra Dutta):
Una nueva ola de la campaña de la cadena de suministro de GhostAction ha comprometido 772 repositorios públicos de GitHub, utilizando archivos de flujo de trabajo falsos de GitHub Actions para robar credenciales de entornos CI/CD. La actividad se desarrolló del 31 de agosto al 30 de septiembre de 2026 y se centró en 2577 secretos de 373 usuarios y organizaciones de GitHub, incluidas claves en la nube, credenciales SSH, inicios de sesión en el registro de contenedores, contraseñas de bases de datos y tokens de GitHub.
La investigación de GitGuardian muestra que la campaña utiliza el acceso robado a la cuenta de GitHub para añadir flujos de trabajo maliciosos bajo la propia identidad de la víctima. En la mayoría de los casos, el actor agregó un flujo de trabajo llamado github_actions_security.yml con el mensaje de confirmación Agregar acciones de Github Flujo de trabajo de seguridad. El flujo de trabajo espera una inserción de repositorio normal, lee los secretos de las acciones de GitHub seleccionadas y las envía a la infraestructura controlada por el atacante a través de una solicitud curl POST. El uso de la persistencia oculta del flujo de trabajo también es consistente con el ataque a la cadena de suministro npm de Shai-Hulud, que inyectó archivos de Acciones de GitHub para continuar recopilando secretos después de un compromiso inicial.
Indicadores de Compromiso (IoC)
| Tipo de IoC | Indicador | Contexto |
|---|---|---|
| Archivo de flujo de trabajo malicioso | github_actions_security.yml |
Flujo de trabajo principal de GhostAction utilizado para inyectarse en repositorios de las víctimas. |
| Nombre mostrado del flujo | Github Actions Security | Nombre utilizado por el flujo de trabajo malicioso principal. |
| Mensaje de commit | Add Github Actions Security workflow | Mensaje común utilizado para agregar el flujo malicioso. |
| Mensaje de commit | Update Github Actions Security workflow | Utilizado para modificar un flujo de trabajo malicioso ya existente. |
| Archivo de flujo alternativo | security-check.yml |
Variante observada en siete repositorios comprometidos. |
| Nombre de la variante | Security Check | Nombre empleado por la versión más pequeña del flujo malicioso. |
| Mensaje de commit de la variante | Add security check workflow | Mensaje de commit utilizado por la variante. |
| IP de exfiltración | 193[.]32[.]204[.]199 |
Destino HTTP utilizado para enviar credenciales y secretos robados. |
| Endpoint de la variante | hxxp://193[.]32[.]204[.]199:3000/api/workflow/receive?inj= |
Endpoint utilizado para recopilar información robada por cada infección. |
| Endpoint histórico | bold-dhawan.45-139-104-115[.]plesk[.]page |
Infraestructura GhostAction utilizada durante 2025. |
| Endpoint histórico | carte-avantage[.]com |
Infraestructura GhostAction utilizada durante 2025. |
| IP histórica | 170[.]39[.]218[.]2 |
Endpoint utilizado entre octubre y diciembre de 2025, y nuevamente en marzo de 2026. |
| Patrón de dominio histórico | *.oast[.]fun |
Patrón basado en Interactsh utilizado a finales de 2025 y principios de 2026. |
| Comportamiento sospechoso | curl -s -X POST -d |
Comando empleado para exfiltrar secretos de GitHub Actions hacia servidores externos. |
| Fuente: | Cybersecuritynews |
| Título original: | La campaña de cadena de suministro de GhostAction utiliza acciones maliciosas de GitHub para robar credenciales de CI/CD |
| Publicado: | 08/10/2026 13:32 |
| Enlace: | https://cybersecuritynews.com/ghostaction-supply-chain-campaign |
| Consultado: | 08/10/2026 |
