GhostAction: Decenas de miles de repositorios GitHub comprometidos con malware que roba credenciales de cloud e IA
Durante el fin de semana del 7-9 de noviembre de 2026, una nueva ola del ataque GhostAction fue detectada.
Decenas de miles de repositorios GitHub fueron infiltrados con workflows maliciosos.
El objetivo: robar credenciales de AWS, Azure, OpenAI, y cualquier servicio de cloud o IA que los desarrolladores tengan en su código.
Si eres desarrollador y usas GitHub, tu repo podría estar comprometido. Ahora.
Qué sucedió
El ataque
HECHO (según GB Hackers):
Una nueva ola del ataque GhostAction está empujando GitHub Actions workflows maliciosos en repositorios.
HECHO: El alcance es decenas de miles de repositorios infiltrados.
HECHO: El malware busca:
- Credenciales de cloud (AWS keys, Azure tokens, GCP credentials)
- Credenciales de IA (OpenAI API keys, Anthropic tokens, etc.)
- En el código fuente
- En el git history completo (commits anteriores)
Cómo funciona
- Workflow malicioso es empujado al repositorio (vía compromiso del repo o del account del propietario)
- Workflow se ejecuta automáticamente en GitHub Actions
- Busca archivos que contengan credenciales (env files, config files, código)
- Busca en todo el historial de git por credenciales que fueron removidas pero quedaron en history
- Exfiltría cualquier key/token/credential encontrada
Por qué es crítico
Vector 1: Credenciales de cloud expuestas
Si tu AWS key fue robada, el atacante tiene acceso a:
- Todos tus servidores
- Todas tus bases de datos
- Todos tus backups
- Potencialmente tus datos de clientes
Costo de remediation: Miles a millones de dólares + downtime + brecha de privacidad.
Vector 2: Credenciales de IA = acceso a modelo + gastos
Si tu OpenAI API key fue robada, el atacante:
- Puede usar tu API key para ejecutar queries en GPT-4
- Los gastos caen en tu cuenta
- Puede usar tu quota antes de que lo notes
- Acceso a tus datos (si usaste el API con datos sensibles)
Costo: Potencialmente miles de dólares en queries no autorizadas en minutos.
Vector 3: Supply chain amplification
Si un desarrollador open source es comprometido:
- Su repo es infiltrado
- Workflow malicioso ejecuta en sus CI/CD
- Credenciales del desarrollador robadas
- Pero también: potencialmente, las credenciales de cualquier servicio que use en su desarrollo (secrets management, deployment, etc.)
Un desarrollador comprometido = potencialmente cientos de proyectos dependientes en riesgo.
El patrón de ataque
Paso 1: Acceso al repositorio
El atacante obtiene acceso via:
- Credenciales comprometidas del desarrollador
- GitHub account hackeada
- Token de acceso a personal access token robado
Paso 2: Inyectar workflow malicioso
En .github/workflows/, el atacante crea o modifica un workflow YAML que:
- Se ejecuta en cada push/PR (normal)
- Ejecuta comando para extraer credenciales
- Exfiltría a servidor controlado por atacante
Paso 3: Ejecución automática
Cada vez que alguien pushea código:
- El workflow se ejecuta automáticamente
- Credenciales son extraídas
- Datos son exfiltrados
El desarrollador no nota nada (workflow parece legítimo).
Cómo 24Cevent habría ayudado
Si los desarrolladores/empresas tuvieran detección de anomalías en su pipeline de CI/CD:
Detección de workflow anómalo
Cuando el malware es inyectado:
- YAML file: Nuevo workflow fue adicionado sin cambio en repo «normal»
- Correlación: Cambio coincide con acceso remoto anómalo a GitHub
- Acción: Bloqueo de merge + investigación
El malware nunca es mergeado.
Detección de exfiltración de credenciales
Cuando el workflow intenta exfiltrar:
- Network: Conexión a IP desconocida desde CI/CD environment
- Data: Volumen anómalo de datos saliendo del CI/CD
- Correlación: Datos siendo exfiltrados hacia ubicación desconocida
24Cevent: «CREDENTIAL EXFILTRATION DETECTED» + bloqueo inmediato.
Detección de múltiples repositorios comprometidos
Cuando GhostAction está infiltrando decenas de miles de repos simultáneamente:
- Correlación: Mismo patrón de ataque en 1000+ repos simultáneamente
- Análisis: Supply chain attack en progreso
- Escalation: «GITHUB-WIDE SUPPLY CHAIN ATTACK DETECTED»
GitHub + desarrolladores notificados inmediatamente.
La lección
Este ataque demuestra que:
- Los desarrolladores son targets de alto valor (credenciales = acceso a todo)
- CI/CD pipelines son vectores de ataque (código malicioso se ejecuta automáticamente)
- Git history es riesgo (credenciales removidas aún están en history)
Para desarrolladores:
- Usar secrets management (no en código)
- Rotar credentials regularmente
- Auditar git history para credenciales
- Monitorear CI/CD para cambios anómalos
FUENTES VERIFICADAS: