恶意 CI 工作流入侵超 6 万仓库窃取 GitHub Actions 机密信息

11 月 10 日起，某威胁行为者利用窃取的 GitHub 账号凭证，向数万个代码仓库推送恶意 CI 工作流。事件中共有 4837 个被盗账号在 61764 个代码仓库发起探测拉取请求，其中约 6500 个仓库（占比 11%）运行了恶意载荷，导致凭证泄露。该恶意软件会窃取 GitHub Actions 机密信息、GITHUB_TOKEN、AWS/GCP/Azure 相关凭证，以及 AI 服务商 API 密钥等运行器机密信息，还通过自动发布机制至少渗透到了一个 Packagist 软件包和一个 Go 模块。本次活动与 10 月的 GhostAction 攻击存在重叠，但目前尚无法确认两次攻击为同一行为者所为。