"GhostAction'ın yeni varyantı: sahte \"security audit\" workflow'u on binlerce GitHub deposunda gizli anahtar çalıyor"
Socket araştırmacıları, iki GitHub hesabından yazma yetkisi olan depolara itilen sahte bir GitHub Actions workflow'unun on binlerce depoda bulunduğunu açıkladı. Yeni varyant yalnızca Actions secret'larını değil, deponun tüm Git geçmişindeki kimlik bilgilerini de arıyor.
Yazılım tedarik zinciri güvenliği şirketi Socket, on binlerce GitHub deposunu etkileyen yeni bir saldırı tespit etti. Infosecurity Magazine'in haberine göre saldırı, GitGuardian'ın Eylül 2025'te ortaya çıkardığı ve Ekim 2026'da yeniden görülen GhostAction kampanyasının yeni bir varyantı. Etkilenen depolar arasında kuruluşlara ait olanlar da var; Uber'e ait bir proje de listede.
Saldırı nasıl yayıldı?
Socket'e göre 8 Ekim 2026'da iki GitHub hesabı, yazma yetkisi bulunan yüzlerce depoya .github/workflows/security-audit.yml adlı bir workflow ekledi. Commit mesajları "Add security audit workflow" gibi sıradan görünüyordu. Adına rağmen workflow hiçbir güvenlik denetimi yapmıyor; deponun kimlik bilgilerini toplayıp HTTP üzerinden harici bir sunucuya gönderiyor.
Bulaşma noktaları arasında bu hesapların kendi AI projeleri, PyPI ve crates.io üzerinden de dağıtılan bir Python/Rust projesi ve hesap sahiplerinden birinin özgün yazarı olduğu için yazma yetkisini koruduğu bir Uber deposu sayılıyor. On yıldır dokunulmamış depolar da etkilendi; araştırmacılar bunun, saldırganların erişebildikleri her depoyu otomatik olarak taradığını gösterdiğini düşünüyor.
Yeni varyant neyi farklı yapıyor?
Önceki GhostAction dalgaları ağırlıklı olarak GitHub Actions'ta tanımlı secret'ları (API anahtarları, erişim token'ları) hedef alıyordu. Yeni varyant, deponun dosyalarını ve tüm Git geçmişini düzenli ifadelerle tarıyor. Böylece geliştiricilerin yanlışlıkla commit edip sonradan sildiği anahtarlar da ele geçebiliyor. Taramada bulut sağlayıcıları ve AI servislerine ait kimlik bilgileri özellikle aranıyor.
Socket'in incelediği depolarda workflow varsayılan dalda durmaya devam ediyordu ve bazı depolarda çalışmış olduğu görüldü. Araştırmacılar o tarihe kadar PyPI veya crates.io'da kötü amaçlı bir paket sürümü yayımlandığını görmediklerini, ancak çalınan bilgilerin başka amaçlarla kullanılmadığı anlamına gelmediğini vurguluyor.
Ne yapılmalı?
- Depolarınızda adı ne olursa olsun yakın zamanda eklenmiş, sizin oluşturmadığınız workflow dosyası olup olmadığını kontrol edin. Güncel bir yerel klonda salt okunur olarak:
ls -la .github/workflows/
grep -rl "security-audit" .github/workflows/GitHub arayüzünde de deponun commit geçmişini .github/workflows klasörüne göre süzerek 8 Ekim sonrası eklenen dosyalara bakabilirsiniz.
- Şüpheli bir workflow bulduysanız, o depoda tanımlı tüm secret'ları ve Git geçmişinde hiç yer almış anahtarları geçerli değil sayıp üretici panellerinden yenileyin; yalnızca dosyayı silmek yetmez.
- Eski katkıcıların ve dış kişilerin yazma yetkilerini gözden geçirin; kullanılmayan erişimleri kaldırın.
- Kuruluş düzeyinde workflow değişikliklerinde zorunlu inceleme (branch protection, CODEOWNERS) kullanın ve Actions'ın yalnızca izin verilen hedeflere çıkış yapmasını değerlendirin.
- Secret taramasını yalnızca son sürüm için değil, tüm geçmiş için çalıştırın.
