Campanha Gheist utiliza tokens roubados do GitHub para furtar credenciais de repositórios

A operação já criou mais de 13.500 branches maliciosas em mais de 850 contas comprometidas. O ataque adiciona ao repositório um workflow do GitHub Actions chamado sync-check e extrai dados por meio da própria API do GitHub. Para identificar o ataque, pesquisadores recomendam procurar branches com o prefixo “ci-sync-” seguido de seis caracteres, o arquivo “.github/workflows/sync-check.yml” e atividades associadas ao identificador de cliente “gheist”. As medidas de resposta incluem revogar os tokens comprometidos e substituir todos os segredos acessíveis aos repositórios afetados, já que excluir a branch maliciosa ou o workflow não reverte a exposição.