Una campaña denominada GhostAction ha implantado flujos de trabajo maliciosos en 790 repositorios de GitHub. El objetivo de este ataque es comprometer credenciales de la nube, tokens de publicación de software y claves de servicios de IA. Según OpenSourceMalware, estas cifras corresponden a repositorios validados y recuperables públicamente hasta octubre de 2026, aunque no implica que todos hayan sufrido el robo de credenciales o un uso indebido confirmado.

Una campaña llamada GhostAction ha colocado flujos de trabajo (workflows) maliciosos de GitHub Actions en 790 repositorios, poniendo en riesgo credenciales de la nube, tokens de publicación de software y claves de servicios de IA.

El total es el recuento de OpenSourceMalware de repositorios validados y recuperables públicamente hasta el 9 de octubre de 2026; no es una afirmación de que cada repositorio haya filtrado credenciales o haya sufrido un mal uso confirmado.

La campaña abusa de cuentas de desarrolladores de confianza. Una vez que un atacante puede escribir en los repositorios de un mantenedor, puede añadir un flujo de trabajo que se ejecute cuando se envíe código o cuando alguien lo inicie manualmente.

Esto puede exponer secretos disponibles para el flujo de trabajo, convirtiendo una cuenta robada en una ruta hacia sistemas en la nube, registros de paquetes y otros proyectos.

Investigadores de OpenSourceMalware identificaron esta última etapa mientras investigaban un paquete malicioso de PyPI llamado claudecord y ayudaban a su mantenedor a responder. Encontraron el flujo de trabajo malicioso y rastrearon la actividad relacionada a través de cientos de repositorios.

Secuestran 790 repositorios de GitHub

El nuevo flujo de trabajo hace más que leer secretos seleccionados de GitHub Actions. Busca archivos en el repositorio que contengan cadenas de texto similares a credenciales, incluyendo claves de acceso de AWS y tokens de GitHub, GitLab, Google, Slack, SendGrid, OpenAI, Anthropic y OpenRouter.

También escanea el historial de Git accesible, donde una clave eliminada de la versión actual de un archivo puede seguir apareciendo en un commit más antiguo.

Para obtener ese historial, el flujo de trabajo utiliza fetch-depth: 0. Luego busca patrones similares a credenciales y, en algunos casos, recopila líneas cercanas a los IDs de claves de AWS.

Esas líneas pueden contener contexto útil, como una clave secreta coincidente o detalles sobre una cuenta o servicio. Por lo tanto, los mismos pasos de recolección pueden exponer más que una simple cadena de claves.

El flujo de trabajo envía los datos recopilados a una infraestructura controlada por el atacante a través de HTTP simple. Debido a que la transferencia ocurre desde un ejecutor de CI, puede parecer una actividad de construcción rutinaria a menos que tú inspecciones los cambios en el flujo de trabajo y el tráfico de red saliente.

El número refleja una campaña que ha crecido con el tiempo.

GitGuardian informó de 772 repositorios afectados entre el 31 de agosto y el 30 de septiembre de 2026. La revisión posterior de OpenSourceMalware recuperó 790 hasta el 9 de octubre, incluyendo repositorios que podrían no seguir siendo visibles públicamente.

En una ráfaga separada el 8 de octubre, Socket y StepSecurity informaron de actividad en 346 repositorios vinculados a dos cuentas comprometidas. Estas cifras cubren diferentes periodos y conjuntos de evidencias, por lo que no deben sumarse.

Esa ráfaga incluyó repositorios propiedad de las cuentas kitao y henrywoo, así como el uber/athenadriver de Uber. La actividad alcanzó proyectos activos, forks y repositorios que habían estado inactivos durante años, lo que sugiere un descubrimiento automatizado de repositorios que las cuentas comprometidas podían modificar.

El informe indica que algunos flujos de trabajo se ejecutaron correctamente, pero hasta el 9 de octubre no se habían encontrado versiones maliciosas en PyPI o crates.io vinculadas a esta última ráfaga.

Por qué eliminar el flujo de trabajo no es suficiente

La ejecución exitosa de un flujo de trabajo puede exponer credenciales incluso si el archivo se elimina posteriormente. Eliminarlo no revoca un token de GitHub robado, ni invalida claves de la nube o de publicación, ni elimina credenciales de commits antiguos.

Tú y tu equipo deberíais preservar los archivos de flujo de trabajo relevantes, los registros de ejecución, los commits y los registros de auditoría, luego revocar las credenciales de la cuenta que permitieron los cambios y rotar cada secreto al que el flujo de trabajo pudo acceder. También deberíais comprobar las versiones de paquetes, los despliegues y la actividad en la nube del periodo afectado.

La guía de uso seguro de GitHub para Actions recomienda el acceso de mínimo privilegio, la revisión del código del flujo de trabajo y la rotación de secretos expuestos. Requerir aprobación para cambios sensibles en el flujo de trabajo y limitar el acceso a la red del ejecutor puede añadir controles adicionales.

OpenSourceMalware también identificó my-github[.]com, que resuelve a la IP de recolección actual de la campaña, como un indicador de alta prioridad. El informe dice que el dominio es sospechoso, pero no prueba que el operador de GhostAction lo haya registrado.

Un dominio de GitLab con un nombre similar aparece solo como un elemento de vigilancia, no como infraestructura confirmada de la campaña.