B
今週中
GitHub Actionsのワークフローを悪用してクラウドやAIの認証情報を盗み出す「GhostAction」キャンペーン
📌 一言でいうと
GitHub Actionsのワークフローを悪用してクラウドやAIの認証情報を盗み出す「GhostAction」キャンペーンが確認されました。攻撃者は「セキュリティ監査ワークフローの追加」などの偽装メッセージを用いて、数万件のリポジトリに悪意のあるファイルをコミットしています。盗み出されたデータは外部サーバー（193.32.204[.]199）へ送信されます。
🔍該当判定
- GitHubでソースコードを管理し、かつ『GitHub Actions』を利用して自動化（CI/CD）を行っている
- GitHubのリポジトリに、AWSやAzure、Google Cloudなどのクラウドサービスの認証キーを保存している
- GitHubのリポジトリに、OpenAIなどのAIサービスを利用するためのAPIキーを保存している
- 最近のコミット履歴に『Add security audit workflow』や『Update security audit workflow』というメッセージの変更がある
上記いずれにも該当しない → 静観でOK
✅該当時の対応
GitHub Actionsのワークフロー設定に不審な変更がないか確認し、特に「security audit」などの名称で追加された未知のワークフローを点検してください。また、リポジトリ内のシークレット管理を見直し、ハードコードされた認証情報の排除と、最小権限の原則に基づいた権限割り当てを徹底してください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】GitHub Actionsを悪用した認証情報窃取攻撃（GhostAction）について
お疲れさまです。GitHub Actionsを標的としたサプライチェーン攻撃に関する情報共有です。
■ 概要
「GhostAction」と呼ばれるキャンペーンにより、数万件のGitHubリポジトリに悪意のあるワークフローが仕込まれています。「Add security audit workflow」等の名称でコミットされ、クラウドやAIサービスの認証情報を窃取し、外部サーバー（193.32.204[.]199）へ送信します。
■ 影響範囲
- GitHub Actionsを利用しているリポジトリ
- 特に、メンテナー権限が侵害されたリポジトリ
■ 対応手順
1. リポジトリのコミット履歴を確認し、「security audit workflow」に関連する不審な変更がないか点検する。
2. 不審なワークフローファイル（.github/workflows/ 配下）が発見された場合は直ちに削除し、侵害された可能性のある認証情報をローテートする。
3. 外部通信先として 193.32.204[.]199 への通信が発生していないかログを確認する。
■ 参考情報
- Socket Security Report
対応優先度: 高
対応期限: 本日中
お疲れさまです。GitHub Actionsを標的としたサプライチェーン攻撃に関する情報共有です。
■ 概要
「GhostAction」と呼ばれるキャンペーンにより、数万件のGitHubリポジトリに悪意のあるワークフローが仕込まれています。「Add security audit workflow」等の名称でコミットされ、クラウドやAIサービスの認証情報を窃取し、外部サーバー（193.32.204[.]199）へ送信します。
■ 影響範囲
- GitHub Actionsを利用しているリポジトリ
- 特に、メンテナー権限が侵害されたリポジトリ
■ 対応手順
1. リポジトリのコミット履歴を確認し、「security audit workflow」に関連する不審な変更がないか点検する。
2. 不審なワークフローファイル（.github/workflows/ 配下）が発見された場合は直ちに削除し、侵害された可能性のある認証情報をローテートする。
3. 外部通信先として 193.32.204[.]199 への通信が発生していないかログを確認する。
■ 参考情報
- Socket Security Report
対応優先度: 高
対応期限: 本日中
Subject: [Alert] Credential Theft via GitHub Actions (GhostAction Campaign)
Dear Security Team,
We are sharing information regarding a supply chain attack targeting GitHub Actions known as "GhostAction."
■ Overview
Attackers are committing malicious workflows into tens of thousands of GitHub repositories, often disguised as "security audit workflows." These workflows are designed to steal cloud and AI credentials and exfiltrate them to the C2 server at 193.32.204[.]199.
■ Scope
- Repositories utilizing GitHub Actions
- Repositories where maintainer credentials may have been compromised
■ Action Items
1. Audit commit history for suspicious additions of "security audit" workflows.
2. If malicious files are found in .github/workflows/, remove them immediately and rotate all potentially compromised secrets/keys.
3. Monitor network logs for outbound traffic to 193.32.204[.]199.
■ Reference
- Socket Security Report
Priority: High
Deadline: Immediate
Dear Security Team,
We are sharing information regarding a supply chain attack targeting GitHub Actions known as "GhostAction."
■ Overview
Attackers are committing malicious workflows into tens of thousands of GitHub repositories, often disguised as "security audit workflows." These workflows are designed to steal cloud and AI credentials and exfiltrate them to the C2 server at 193.32.204[.]199.
■ Scope
- Repositories utilizing GitHub Actions
- Repositories where maintainer credentials may have been compromised
■ Action Items
1. Audit commit history for suspicious additions of "security audit" workflows.
2. If malicious files are found in .github/workflows/, remove them immediately and rotate all potentially compromised secrets/keys.
3. Monitor network logs for outbound traffic to 193.32.204[.]199.
■ Reference
- Socket Security Report
Priority: High
Deadline: Immediate