REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Wiz décrit une campagne qui essaie de transformer un accès GitHub en vol de secrets de construction. Le mécanisme passe par des workflows ajoutés aux dépôts, puis par leurs journaux ; la situation diffère selon les protections et le type de dépôt.
Déroulement décrit par la source
- Depuis le 15 septembre 2026, Wiz suit une campagne qui ajoute un workflow aux dépôts accessibles avec des jetons compromis, récupère ses journaux puis supprime rapidement l’exécution.
- Wiz dit avoir retrouvé plus de 13 500 branches implantées dans plus de 850 comptes compromis.
- Un contrôle GitHub bloque l’exploitation dans les dépôts publics, mais Wiz observe des réussites et des actions ultérieures dans des dépôts privés et environnements Enterprise.
Comprendre les mécanismes et les enseignements
- Un workflow est du code qui peut accéder à des identités sensibles. Sa modification doit être traitée comme un changement de sécurité, même lorsque le message de commit évoque une simple synchronisation ou une opération de maintenance.
- Les traces d’une action peuvent disparaître vite dans l’interface de construction. Une collecte indépendante des événements du dépôt et des exécutions facilite la recherche après incident et évite de dépendre uniquement des journaux encore visibles.
Les vérifications défensives utiles
- Rechercher les créations inattendues de branches et les changements de workflows. Relier chaque événement à l’identité et au jeton utilisés ; préserver les journaux d’audit hors du dépôt avant de supprimer les éléments malveillants ou de fermer les comptes.
- Révoquer les jetons suspects et faire tourner les secrets auxquels les workflows pouvaient accéder. Examiner ensuite les fournisseurs cloud et les registres de paquets associés pour identifier une utilisation secondaire, même si le dépôt ne présente plus de fichier inhabituel.
- Restreindre la capacité de modifier et d’exécuter les workflows sensibles. Séparer les environnements de déploiement, imposer les validations adaptées et limiter chaque secret au périmètre nécessaire ; vérifier ces contrôles avec un scénario de changement approuvé et traçable.
Portée et limites
Les branches retrouvées ne représentent pas autant de vols de secrets réussis. Les observations distinguent dépôts publics, privés et Enterprise ; elles ne démontrent pas que toutes les protections d’une organisation donnée ont été contournées. Le bilan doit être établi à partir de ses propres événements.
Rapport original
Gheist: Attempted Scaled Abuse of Stolen GitHub Tokens Stumbles — www.wiz.io.