GhostAction tấn công 1.900 tài khoản GitHub, nhắm hơn 30.000 kho lưu trữ
"The GhostAction campaign continues to compromise GitHub accounts, impacting over 1,900 users and targeting more than 30,000 repositories. Attackers inject malicious workflows to steal CI/CD secrets, cloud credentials, and API keys. GitHub mitigated the latest wave on October 9, 2026, but the attackers are targeting previously compromised accounts with unrotated secrets."
GhostAction là một chiến dịch tấn công chuỗi cung ứng tinh vi, có thể dẫn đến việc lộ dữ liệu nhạy cảm và mất quyền kiểm soát đối với các kho lưu trữ.
Các doanh nghiệp có thể phải đối mặt với thiệt hại về tài chính và uy tín do dữ liệu bị đánh cắp hoặc bị xâm nhập vào hệ thống. Việc khắc phục hậu quả và khôi phục hệ thống cũng tốn kém.
Chiến dịch GhostAction tiếp tục xâm nhập tài khoản GitHub, ảnh hưởng đến hơn 1.900 người dùng và nhắm mục tiêu hơn 30.000 kho lưu trữ. Kẻ tấn công chèn workflow độc hại để đánh cắp CI/CD secrets, thông tin đăng nhập cloud và API keys. GitHub đã ngăn chặn đợt tấn công mới nhất vào ngày 9 tháng 10 năm 2026, nhưng kẻ tấn công vẫn nhắm vào các tài khoản đã bị xâm nhập trước đó với các bí mật chưa được thay đổi.
GhostAction là một chiến dịch tấn công chuỗi cung ứng nhắm vào cơ sở hạ tầng dành cho nhà phát triển trên GitHub. Lần đầu tiên được phát hiện vào tháng 9 năm 2025, chiến dịch này liên quan đến việc kẻ tấn công xâm nhập vào các tài khoản nhà phát triển hợp pháp để chèn các GitHub Actions automation workflows độc hại vào các kho lưu trữ phần mềm.
Kẻ tấn công có được quyền ghi vào kho lưu trữ bằng cách sử dụng Personal Access Tokens (PATs) bị đánh cắp hoặc thông tin đăng nhập thu thập từ các bản ghi và tệp nhật ký phần mềm độc hại. Sử dụng tài khoản bảo trì bị xâm nhập, chúng đẩy một tệp workflow độc hại được ngụy trang dưới các tên lừa đảo như "Security Audit" (security-audit.yml) hoặc "GitHub Actions Security" (github_actions_security.yml). Mục tiêu cuối cùng của hoạt động này là đánh cắp quy mô lớn các CI/CD secrets, thông tin đăng nhập cloud, package registry tokens (như npm, PyPI và DockerHub) và API keys của các nhà cung cấp AI.
Một đợt tấn công GhostAction mới được ghi nhận từ ngày 31 tháng 8 năm 2026, với workflow độc hại được đẩy vào hàng trăm kho lưu trữ. GitGuardian cho biết đợt tấn công này có vẻ thử nghiệm và thủ công hơn các đợt trước, với payload liên tục phát triển theo thời gian. So với payload GhostAction ban đầu, phiên bản đầu tiên của payload mới này đã thêm tính năng quét bí mật trong lịch git. Phiên bản thứ hai của payload cũng ghi lại khoảng hai dòng ngữ cảnh xung quanh mỗi ID khóa AWS để ghép chúng với khóa truy cập bí mật tương ứng. Một biến thể cuối cùng hỗ trợ truy xuất ngữ cảnh bí mật trong quá trình quét lịch sử git. GitHub bắt đầu ngăn chặn workflow độc hại chạy từ ngày 9 tháng 10. Các đợt tấn công sau đó không thể trích xuất bí mật nào.
Câu hỏi thường gặp
GhostAction là gì?
GhostAction là một chiến dịch tấn công chuỗi cung ứng nhắm vào cơ sở hạ tầng dành cho nhà phát triển trên GitHub, bắt đầu từ tháng 9 năm 2025. Kẻ tấn công xâm nhập tài khoản để chèn các workflow độc hại.
Mục tiêu của GhostAction là gì?
Mục tiêu chính của GhostAction là đánh cắp các bí mật CI/CD, thông tin đăng nhập cloud, package registry tokens và API keys của các nhà cung cấp AI.
GitHub đã phản ứng như thế nào?
GitHub đã ngăn chặn đợt tấn công mới nhất vào ngày 9 tháng 10 năm 2026, nhưng kẻ tấn công vẫn nhắm mục tiêu vào các tài khoản đã bị xâm nhập trước đó.
Góc nhìn của Orange Cloud
Theo chúng tôi, chiến dịch GhostAction cho thấy tầm quan trọng của việc luân chuyển thường xuyên các bí mật và áp dụng các biện pháp bảo mật chuỗi cung ứng phần mềm nghiêm ngặt. Các doanh nghiệp Việt Nam sử dụng GitHub cần kiểm tra các kho lưu trữ của họ để tìm các workflow đáng ngờ và đảm bảo rằng các thành viên trong nhóm tuân thủ các phương pháp hay nhất về bảo mật. Điều đáng chú ý là việc kẻ tấn công nhắm mục tiêu vào các tài khoản đã bị xâm nhập trước đó cho thấy việc chỉ vá lỗ hổng ban đầu là chưa đủ; cần phải chủ động theo dõi và thu hồi các bí mật bị lộ.