Campania GhostAction exploatează istoricul Git pentru a fura secrete șterse

Campania GhostAction a reapărut, utilizând un flux de lucru malițios GitHub Actions pentru a fura informații sensibile din repository-uri. Spre deosebire de atacurile anterioare care se concentrau pe secretele curente, această campanie vizează acum întregul istoric Git, inclusiv secretele care au fost șterse în commit-uri anterioare. Aceasta prezintă o amenințare critică, deoarece ștergerea unui secret din fișierele curente nu îl elimină din istoricul Git, făcându-l accesibil atacatorilor care pot recupera versiuni mai vechi ale fișierelor.

Mecanismul tehnic implică compromiterea conturilor dezvoltatorilor și injectarea unui fișier de flux de lucru fals, `.github/workflows/security-audit.yml`, care pretinde înșelător că efectuează audituri de securitate. În realitate, acest flux de lucru descarcă istoricul complet al repository-ului folosind `git log -p --all` și apoi îl scanează pentru credențiale. Inovația cheie este utilizarea `fetch-depth: 0` în acțiunea de checkout, asigurând că întregul istoric este preluat, nu doar ultimul commit, permițând atacatorilor să descopere secrete șterse acum ani de zile.

Această campanie subliniază un punct nevralgic critic de securitate: istoricul imuabil al Git. Deși revocarea credențialelor compromise este prioritatea imediată, curățarea datelor istorice necesită o analiză atentă. Dezvoltatorii sunt sfătuiți să revoce token-urile compromise, să schimbe secretele afectate și apoi să curețe selectiv istoricul Git dacă este necesar, prioritizând securitatea token-urilor și permisiunile fluxurilor de lucru pentru a preveni breșe viitoare.