Ele geçirilen GitHub hesaplarıyla on binlerce depoya sır çalan Actions iş akışları yerleştirildi

Açık kaynak ekosistemini hedef alan yeni bir dalgada, ele geçirilen GitHub geliştirici hesapları üzerinden depolara kimlik bilgisi çalan GitHub Actions iş akışları eklendi. Tedarik zinciri güvenliği şirketi Socket, 7 Ekim 2026'dan bu yana 500'ü aşkın hesabın bu iş akışını on binlerce açık depoya işlediğini tespit etti.

Nasıl çalışıyor?

StepSecurity'nin analizine göre zararlı dosyalar security-audit.yml veya github_actions_security.yml gibi masum görünen adlar taşıyor. İş akışı, herhangi bir dal ya da etikete yapılan push ile veya elle tetiklenebiliyor ve deponun tüm geçmişini indiriyor. Tek bir "Audit" adımı içinde:

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

• Deponun tanımlı sırlarını topluyor,
• Çalışma dizininde ve tüm git geçmişinde 13 farklı kimlik bilgisi kalıbını arıyor (silinmiş sırlar da dahil),
• AWS erişim anahtarı kimliklerini eşleşen gizli anahtarlarla eşliyor,
• Topladığı verileri şifrelenmemiş HTTP üzerinden sabit bir IP adresine gönderiyor.

Hedeflenen sırlar arasında AWS anahtarları, Anthropic, OpenAI ve OpenRouter API anahtarları ile GitHub ve GitLab token'ları bulunuyor.

Öne çıkan hesaplar

Saldırganlar, pyxel oyun motorunun geliştiricisi Takashi Kitao'nun hesabıyla 27 depoya, Uber'in athenadriver projesinin ilk yazarı Henry Wu'nun hesabıyla ise 16 dakika içinde 318 depoya iş akışı gönderdi. Araştırmacılar, hesapların büyük olasılıkla bilgi çalan zararlı kayıtlarından veya sızıntılardan elde edilen kişisel erişim token'larıyla (PAT) ele geçirildiğini değerlendiriyor.

Faaliyet, 2025'te ortaya çıkan GhostAction kampanyasıyla benzerlik taşıyor. GitGuardian, 31 Ağustos – 30 Eylül 2026 arasında 373 kullanıcı ve kuruma ait 772 depoda benzer faaliyet saptamış, 2.577 sırrın hedeflendiğini bildirmişti. Yazı yayımlandığında ele geçirilen yayınlama kimlik bilgileriyle zararlı paket yayımlandığına dair bir bulgu yoktu; birincil amacın kimlik bilgisi toplamak olduğu düşünülüyor.

Ne yapılmalı?

• Depolarda 31 Ağustos 2026'dan sonra eklenmiş bu adlardaki iş akışı dosyaları aranmalı; varsa depo ele geçirilmiş kabul edilmeli.
• Etkilenen GitHub kimlik bilgisi iptal edilmeli, depodaki ve geçmişindeki tüm sırlar yenilenmeli.
• Zararlı iş akışı tüm dallardan silinmeli; özel çatallar ve aynalar dahil tüm çatallar kontrol edilmeli.
• Uzun ömürlü PAT'ler yerine kısa ömürlü, kapsamı dar token'lar ve donanım tabanlı 2FA tercih edilmeli.
• Sırlar kod deposunda tutulmamalı; bulut erişiminde OIDC tabanlı geçici kimlik bilgileri kullanılmalı.