Điểm chính

  • Chiến dịch GhostAction tấn công chuỗi cung ứng phần mềm bằng cách lạm dụng GitHub Actions trong môi trường CI/CD.
  • Kẻ tấn công tìm kiếm các biến bí mật trong kho lưu trữ công khai và sử dụng lệnh curl để chuyển dữ liệu về hạ tầng kiểm soát.
  • Các tổ chức cần thu hồi token, xoay vòng khóa bí mật và tăng cường bảo mật quy trình CI/CD để phòng ngừa rủi ro.

Các nhà nghiên cứu bảo mật vừa phát đi cảnh báo về làn sóng mới của chiến dịch GhostAction, một cuộc tấn công chuỗi cung ứng phần mềm nhắm trực tiếp vào các môi trường CI/CD thông qua việc lạm dụng GitHub Actions.

Phương thức hoạt động của chiến dịch GhostAction

Ghi nhận từ các nhà nghiên cứu cho thấy hoạt động này diễn ra từ ngày 31 tháng 8 đến ngày 30 tháng 9 năm 2026. Kẻ tấn công khai thác các kho lưu trữ công khai nhằm thu thập thông tin xác thực nhạy cảm một cách có chủ đích chứ không thực hiện ngẫu nhiên.

Cụ thể, các workflow độc hại được lập trình để quét lịch sử cấu hình kho lưu trữ, tìm kiếm tham chiếu bí mật theo cú pháp ${{ secrets.NAME }}. Sau khi phát hiện tên biến, chúng chèn trực tiếp vào workflow để tối ưu hóa quá trình thu thập dữ liệu.

Kỹ thuật ngụy trang và truyền tải dữ liệu

Các tệp tin mã độc thường mang tên github_actions_security.yml kèm thông điệp commit "Add Github Actions Security workflow" nhằm qua mặt sự kiểm tra của lập trình viên. Ngay khi sự kiện push diễn ra, hệ thống sẽ tự động chạy lệnh curl để gửi dữ liệu qua phương thức POST tới máy chủ của kẻ xấu.

Trong giai đoạn gần đây, hacker sử dụng địa chỉ IP 193.32.204.199 để nhận thông tin qua giao thức HTTP. Biến thể khác xuất hiện trên 7 kho lưu trữ với tên tệp security-check.yml, gửi dữ liệu tới endpoint có định danh riêng để dễ dàng theo dõi.

Biện pháp xử lý và phòng ngừa

Kẻ tấn công thể hiện sự kiên trì khi liên tục cập nhật các tệp workflow bị xâm nhập từ trước với thông điệp "Update Github Actions Security workflow". Điều này đòi hỏi các đội ngũ SOC phải hành động mạnh mẽ hơn việc chỉ đơn thuần xóa bỏ tệp độc hại.

Các tổ chức cần lập tức thu hồi toàn bộ GitHub Personal Access Tokens (PAT) bị lộ, thay đổi toàn bộ các khóa bí mật và rà soát nhật ký kiểm toán. Ngoài ra, việc tuân thủ các hướng dẫn bảo mật từ GitHub và triển khai xác thực đa yếu tố chống phishing là điều kiện kiên quyết để bảo vệ tài khoản maintainer khỏi nguy cơ bị chiếm quyền điều khiển.