GhostAction-GitHub-Lieferkettenangriff enthüllt 3.325 Geheimnisse

Der GhostAction-GitHub-Lieferkettenangriff hat weltweit Aufmerksamkeit erregt. Forscher enthüllten, dass Hacker GitHub-Actions-Workflows ausnutzten, um 3.325 Geheimnisse aus 817 Repositories zu stehlen. Die Kampagne betraf 327 Entwickler und kompromittierte kritische Tokens, was die Risiken unsicherer CI/CD-Pipelines verdeutlicht.

So funktionierte der Angriff

Der Angriff wurde Anfang September 2025 entdeckt, als Ermittler bösartige Commits im FastUUID-Projekt fanden. Der Code war über ein kompromittiertes Maintainer-Konto mit dem Namen Grommash9 hochgeladen worden.

Der veränderte GitHub-Actions-Workflow lief automatisch bei Push-Events und manuellen Triggern. Sobald er aktiv war, sammelte er Umgebungsgeheimnisse und exfiltrierte sie über eine curl-POST-Anfrage an von Angreifern kontrollierte Server. Diese Methode ermöglichte einen stillen Diebstahl, ohne sofortige Alarme auszulösen.

Ausmaß des Vorfalls

Die Kampagne war nicht auf ein einziges Repository beschränkt. Forscher bestätigten, dass 817 Repositories kompromittiert wurden und insgesamt 3.325 Geheimnisse verloren gingen. Diese umfassten:

• GitHub Personal Access Tokens
• PyPI- und npm-Tokens
• DockerHub-Zugangsdaten
• AWS-Schlüssel und Cloudflare-API-Tokens

Die gestohlenen Zugangsdaten stellen erhebliche Risiken für die Lieferkette dar, da Angreifer sie nutzen könnten, um auf Cloud-Dienste zuzugreifen, bösartige Pakete zu veröffentlichen oder Angriffe auszuweiten.

Reaktion auf den Vorfall

GitGuardian machte die Kampagne am 5. September 2025 öffentlich. Das Unternehmen eröffnete GitHub-Issues in 573 Repositories, um Maintainer zu warnen. Gleichzeitig wurden die Sicherheitsteams von GitHub, npm und PyPI informiert.

Rund 100 Repositories hatten die bösartigen Commits bereits vor der Offenlegung zurückgesetzt. Dennoch zeigt das Ausmaß der gestohlenen Geheimnisse, wie verheerend die Ausnutzung automatisierter Workflows sein kann, wenn sie unentdeckt bleibt.

Warum es wichtig ist

Der GhostAction-GitHub-Lieferkettenangriff zeigt, wie unsichere CI/CD-Automatisierung Schwachstellen schafft. Entwickler vertrauen auf diese Pipelines, doch Angreifer nutzen sie, um kritische Zugangsdaten zu stehlen.

Fazit

Der GhostAction-GitHub-Lieferkettenangriff kompromittierte 3.325 Geheimnisse in Hunderten von Repositories. Auch wenn viele Repositories Änderungen zurücksetzten und Anbieter informiert wurden, zeigt der Vorfall, dass CI/CD-Workflows mit derselben Sorgfalt geschützt werden müssen wie Produktionssysteme. Ohne stärkere Abwehrmaßnahmen werden Angreifer weiterhin Automatisierung ausnutzen, um Softwarelieferketten zu infiltrieren.