Campanha Gheist rouba segredos do GitHub Actions explorando permissões e contornando proteções

A empresa de segurança Wiz identificou uma campanha maliciosa chamada Gheist que aproveita tokens de acesso comprometidos no GitHub Actions para extrair credenciais armazenadas em repositórios privados. Os atacantes abusam das permissões dos tokens para criar fluxos de trabalho maliciosos, contornam o mascaramento automático de dados sensíveis convertendo segredos para base32 (uma codificação que o mecanismo de proteção não reconhece) e apagam rapidamente os registros de execução. O ataque pode se estender para infraestrutura corporativa, serviços de nuvem e máquinas de integração contínua, dependendo da configuração do ambiente.

O ponto crítico é que as proteções do GitHub Actions funcionam de forma diferente em repositórios públicos e privados — os controles de segurança que interrompem execuções suspeitas em repositórios públicos não garantem proteção equivalente em ambientes privados ou instalações do GitHub Enterprise Server. Para equipes de desenvolvimento, a recomendação é evitar imprimir variáveis sensíveis em logs, limitar dados disponibilizados a cada tarefa e monitorar comportamentos anormais nos fluxos de trabalho, já que qualquer segredo que apareça em registros de execução deve ser considerado potencialmente comprometido.