GhostAction volta ao GitHub: 'auditoria de segurança' falsa vasculha o histórico inteiro dos repositórios atrás de chaves de nuvem e de IA

A campanha chama-se GhostAction e já tinha um histórico: em 2025, comprometeu centenas de repositórios públicos e levou milhares de segredos. Em 8 de outubro ela voltou com uma mudança de método que pesquisadores da StepSecurity, da GitGuardian e da Socket descreveram em detalhe — e que interessa a qualquer empresa que tenha código no GitHub.

O que aconteceu

Os atacantes assumiram as contas de dois mantenedores de projetos conhecidos — o autor do Pyxel, um motor de jogos com mais de 18 mil estrelas, e o mantenedor do athenadriver, um componente usado pela Uber — e, com elas, enviaram um único arquivo a cada repositório onde essas contas tinham permissão de escrita: .github/workflows/security-audit.yml. Foram 27 repositórios na primeira leva e 318 em apenas 16 minutos na segunda.

O nome é a isca. Um arquivo de “auditoria de segurança” na pasta de automações parece exatamente o tipo de coisa que uma equipe cuidadosa teria. Só que ele:

• varre os arquivos do projeto atrás de treze padrões de credenciais — chaves da AWS, tokens do GitHub, chaves de serviços de IA como Anthropic, OpenAI e OpenRouter, e de outros serviços em nuvem;
• roda git log -p --all para ler o histórico inteiro do repositório, inclusive o que foi apagado em commits posteriores;
• pareia cada identificador de chave da AWS com o segredo correspondente, para entregar o par pronto para uso;
• envia tudo, sem criptografia, para um servidor controlado pelos atacantes.

A escalada é grande: a onda de agosto e setembro havia alcançado 772 repositórios; entre 8 e 12 de outubro, a campanha mirou mais de 30 mil repositórios de cerca de 3 mil usuários e organizações, segundo a Socket.

O detalhe que muda tudo: apagar não resolve

Quase toda equipe de desenvolvimento já viveu a cena: alguém faz commit de uma senha ou de uma chave por engano, percebe, apaga e segue. O arquivo some da versão atual — mas continua no histórico do Git, acessível a quem souber olhar. O GhostAction sabe. A regra que fica, dita pelos pesquisadores com todas as letras: toda credencial que já esteve em qualquer commit precisa ser trocada; apagar o arquivo não é suficiente.

O que fazer na sua empresa

1. Procurar o arquivo security-audit.yml em todos os repositórios e em todas as branches — não só na principal — e remover.
2. Revogar o token do GitHub que permitiu a injeção e revisar as execuções de workflows desde o fim de agosto.
3. Rotacionar as credenciais que já passaram pelo repositório em algum momento: AWS, serviços de IA, SaaS, banco de dados.
4. Proteger a pasta de workflows: exigir revisão por pull request para qualquer mudança em .github/workflows/, e exigir aprovação manual antes de executar workflows novos. Um dos repositórios atingidos bloqueou o roubo exatamente por ter essa trava.
5. Chaves de IA valem dinheiro. Como o botnet Carbonato já havia mostrado, chaves de API de modelos de linguagem viraram alvo prioritário — e, roubadas, aparecem na fatura da vítima.

Há uma lição de gestão por trás da técnica. O ataque não explorou falha nenhuma no GitHub: usou a conta de uma pessoa de confiança e a confiança da equipe em um arquivo com nome tranquilizador. Contra isso, o que protege é processo — revisão obrigatória, segundo fator no mantenedor, segredos fora do código —, e não um antivírus.

Fontes

• StepSecurity — “GhostAction Returns: Malicious ‘Security Audit’ Workflows Now Mine Credentials from Entire Git Histories” (outubro de 2026): stepsecurity.io
• Socket — “New GhostAction Wave Hits Hundreds of Repos, Expanding Beyond CI/CD Secrets to Cloud Credentials”: socket.dev

• GitGuardian — “GhostAction Returns: 772 Repos Hit in New GitHub Actions Wave”: blog.gitguardian.com

• Foto de capa: canecas do GitHub — Jun Ohwada, CC BY 2.0, via Wikimedia Commons

• Segunda imagem: workshop sobre GitHub em Copenhague — Lisa Risager, CC BY-SA 2.0, via Wikimedia Commons