C
月内に
盗まれたGitHubトークンを使用して、プライベートリポジトリのシークレットを窃取する自動化キャンペーン「Gheist」
📌 一言でいうと
盗まれたGitHubトークンを使用して、プライベートリポジトリのシークレットを窃取する自動化キャンペーン「Gheist」が確認されました。攻撃者はGitHub Actionsのログにシークレットを出力させるワークフローを仕込み、ログをダウンロードした後に実行履歴を削除して証拠を隠滅します。特にプライベートリポジトリやGitHub Enterprise環境が標的となっており、公開リポジトリ向けの保護機能が適用されない点が特徴です。
🔍該当判定
- GitHubの「プライベートリポジトリ」または「GitHub Enterprise」を利用している
- GitHub Actions（自動化機能）を利用して、APIキーやパスワードなどの「Secrets」を保存・運用している
- GitHubのブランチ一覧に、身に覚えのない「ci-sync-」で始まる名前のブランチが存在する
上記いずれにも該当しない → 静観でOK
✅該当時の対応
1. GitHub Actionsのログに不審なワークフロー実行（特に 'ci-sync-' で始まるブランチ）がないか確認してください。 2. 侵害の疑いがある場合は、リポジトリ内のすべてのシークレットを速やかにローテーションしてください。 3. 漏洩した可能性のあるGitHubトークンを無効化してください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】GitHub プライベートリポジトリにおけるシークレット窃取キャンペーン（Gheist）について
お疲れさまです。GitHubを標的とした新しい攻撃キャンペーンに関する情報共有です。
■ 概要
盗まれたGitHubトークンを用いて、GitHub Actionsのログ経由でリポジトリのシークレット（APIキーやパスワード等）を窃取する「Gheist」と呼ばれる攻撃が観測されています。攻撃者は 'ci-sync-xxxxxx' という形式のブランチを作成し、シークレットをログに出力させるワークフローを実行後、ログを回収して実行履歴を削除します。
■ 影響範囲
- GitHub プライベートリポジトリ
- GitHub Enterprise Server
※公開リポジトリ向けの不審なワークフロー停止機能が適用されないため、特にリスクが高くなっています。
■ 対応手順
1. GitHub Actionsの履歴を確認し、'ci-sync-' で始まる不審なブランチやワークフロー実行がないか調査してください。
2. 不審な挙動が確認された場合、当該リポジトリに設定されているすべてのシークレットを直ちにローテーションしてください。
3. 侵害された可能性のある個人アクセストークン（PAT）を失効させてください。
■ 参考情報
- Wiz Security Analysis
対応優先度: 高
対応期限: 速やかに確認
お疲れさまです。GitHubを標的とした新しい攻撃キャンペーンに関する情報共有です。
■ 概要
盗まれたGitHubトークンを用いて、GitHub Actionsのログ経由でリポジトリのシークレット（APIキーやパスワード等）を窃取する「Gheist」と呼ばれる攻撃が観測されています。攻撃者は 'ci-sync-xxxxxx' という形式のブランチを作成し、シークレットをログに出力させるワークフローを実行後、ログを回収して実行履歴を削除します。
■ 影響範囲
- GitHub プライベートリポジトリ
- GitHub Enterprise Server
※公開リポジトリ向けの不審なワークフロー停止機能が適用されないため、特にリスクが高くなっています。
■ 対応手順
1. GitHub Actionsの履歴を確認し、'ci-sync-' で始まる不審なブランチやワークフロー実行がないか調査してください。
2. 不審な挙動が確認された場合、当該リポジトリに設定されているすべてのシークレットを直ちにローテーションしてください。
3. 侵害された可能性のある個人アクセストークン（PAT）を失効させてください。
■ 参考情報
- Wiz Security Analysis
対応優先度: 高
対応期限: 速やかに確認
Subject: [Security Alert] Secret Theft Campaign targeting GitHub Private Repositories (Gheist)
Dear IT/Security Team,
We are sharing information regarding a new automated attack campaign targeting GitHub, known as "Gheist."
■ Overview
Attackers are using stolen GitHub tokens to plant malicious workflows in private repositories. These workflows print repository secrets into GitHub Actions logs, which the attackers then download before deleting the run history to evade detection.
■ Scope
- GitHub Private Repositories
- GitHub Enterprise Server
Note: GitHub's safeguard for suspicious workflow runs currently only applies to public repositories, leaving private and enterprise environments vulnerable.
■ Mitigation Steps
1. Audit GitHub Actions logs for suspicious branches starting with 'ci-sync-'.
2. If a compromise is suspected, immediately rotate all secrets stored within the affected repository.
3. Revoke any compromised GitHub Personal Access Tokens (PATs).
■ Reference
- Wiz Security Analysis
Priority: High
Deadline: Immediate review
Dear IT/Security Team,
We are sharing information regarding a new automated attack campaign targeting GitHub, known as "Gheist."
■ Overview
Attackers are using stolen GitHub tokens to plant malicious workflows in private repositories. These workflows print repository secrets into GitHub Actions logs, which the attackers then download before deleting the run history to evade detection.
■ Scope
- GitHub Private Repositories
- GitHub Enterprise Server
Note: GitHub's safeguard for suspicious workflow runs currently only applies to public repositories, leaving private and enterprise environments vulnerable.
■ Mitigation Steps
1. Audit GitHub Actions logs for suspicious branches starting with 'ci-sync-'.
2. If a compromise is suspected, immediately rotate all secrets stored within the affected repository.
3. Revoke any compromised GitHub Personal Access Tokens (PATs).
■ Reference
- Wiz Security Analysis
Priority: High
Deadline: Immediate review