--- title: "4837 скомпрометированных аккаунтов GitHub: злоумышленник внедрил похититель секретов в тысячи репозиториев" description: "Aikido Security и SafeDep зафиксировали кампанию кражи секретов: злоумышленник использовал 4837 скомпрометированных аккаунтов GitHub, чтобы внедрить вредоносный скрипт в тысячи публичных репозиториев." date: 2026-11-13T15:46:32.352Z lang: ru url: https://xab.info/posts/vzlom-github-4837-akkauntov-kradja-sekretov tags: [github, cybersecurity, data-breach, github-actions, aikido-security, safedep] author: "Александр Буран" publisher: "XAB.info" --- # 4837 скомпрометированных аккаунтов GitHub: злоумышленник внедрил похититель секретов в тысячи репозиториев ![Серверная стойка и мониторы с визуализацией потоков данных и программного кода](https://xab.info/media/2026/11/13/vzlom-github-4837-akkauntov-kradja-sekretov/vzlom-github-4837-akkauntov-kradja-sekretov-1.webp) ## Ключевые тезисы - Злоумышленник использовал учётные данные 4837 взломанных аккаунтов GitHub для внедрения скрипта кражи секретов. - Aikido оценивает число репозиториев, где скрипт выполнился, минимум в 1806; SafeDep насчитала 8093 репозитория с вредоносными изменениями. - Скрипт собирал секреты GitHub Actions, токены OIDC, ключи ИИ-сервисов и конфигурации AWS, Azure, Google Cloud, Kubernetes, npm, PyPI и SSH. - Через OIDC-токены злоумышленник закреплялся в облаках, создавая постоянные ключи и федеративные учётные данные с префиксом wfx-ci-. - Aikido выявила сильное пересечение с октябрьской атакой GhostAction, но не связывает обе кампании с одним автором. Две независимые команды безопасности — Aikido Security и SafeDep — зафиксировали масштабную кампанию по краже облачных и инфраструктурных учётных данных через экосистему GitHub. По данным Aikido, злоумышленник использовал учётные данные 4837 взломанных аккаунтов, чтобы внедрить вредоносный скрипт в репозитории, доступные этим пользователям для записи. Скрипт, по оценке компании, сработал как минимум в 1806 репозиториях. Отдельный анализ SafeDep выявил 8093 репозитория, получивших вредоносные изменения в период с 12:46 UTC во вторник до 04:36 UTC 12 ноября. Важно, что эта цифра учитывает все обнаруженные репозитории с вредоносными коммитами, а не только те, где скрипт фактически выполнился. При этом проверка охватывала лишь основные ветки публичных проектов, поэтому реальный масштаб инцидента, по признанию аналитиков, может быть больше. ### Как начиналась атака: тестовый pull request Кампания стартовала с разведки: злоумышленник отправлял тестовый запрос на слияние изменений (pull request) с заголовком «docs: dependency audit notes» из ветки wfx-docs, проверяя, может ли скомпрометированный аккаунт действительно изменять содержимое репозитория. Подобные запросы появились в 61 764 проектах, после чего в части из них добавлялся похититель секретов. SafeDep обнаружила 7309 случаев внедрения скрипта в существующие рабочие процессы GitHub Actions и ещё 771 случай, когда вредоносный код распространялся через механизм npm postinstall — автоматическое выполнение кода при установке пакета. В последнем случае скрипт мог запускаться не только в облачной инфраструктуре проекта, но и непосредственно на компьютере разработчика. Обычно после внедрения злоумышленник откатывал изменения через несколько минут, а журналы выполнения удалялись вместе с самими запусками, поэтому отсутствие видимых следов атаки ещё не означает, что данные не были похищены. ### Что именно выкачивал скрипт Вредоносный код собирал практически все доступные ему учётные данные: секреты GitHub Actions, токены GITHUB_TOKEN, временные токены OIDC и Actions Runtime, ключи ИИ-сервисов, а также данные из файлов конфигурации AWS, Azure, Google Cloud, Kubernetes, npm, PyPI и SSH. Дополнительно скрипт копировал содержимое репозитория, последние 100 коммитов и недавние артефакты рабочих процессов. На собственных серверах компаний (self-hosted runners) он мог получать дополнительные облачные учётные данные из метаданных виртуальных машин, сведения о Docker-контейнерах и конфигурации systemd. Похищенная информация отправлялась через HTTP POST на удалённые серверы или в Telegram: при проверке 200 вредоносных коммитов примерно в 20% случаев использовался исключительно Telegram. ### Закрепление в облачной инфраструктуре Особую опасность представляли механизмы закрепления (persistence) в облаке. Получив токены GitHub OIDC, злоумышленник мог обменивать их на сеансы доступа к AWS, Google Cloud и Azure, создавать постоянные ключи AWS и менять политики доверия облачных ролей. В Azure он мог добавлять федеративные учётные данные с префиксом wfx-ci-, позволяющие рабочим процессам авторизоваться без сохранённого пароля. Ключевая проблема в том, что такие механизмы могли продолжать работать даже после отзыва первоначальных токенов и смены ключей, что делает стандартные меры реагирования недостаточными без полного аудита политик доверия. ### Связь с атакой GhostAction Aikido также обнаружила пересечение с атакой GhostAction, проведённой в октябре: аккаунты, пострадавшие тогда, примерно в 1000 раз чаще становились участниками новой кампании. При этом компания пока не связывает обе атаки с одним и тем же злоумышленником, поскольку в них использовались разные инструменты и инфраструктура. Для пострадавших организаций это означает необходимость срочного отзыва всех токенов и ключей, аудита политик доверия облачных ролей, проверки рабочих процессов GitHub Actions и npm-зависимостей, а также мониторинга аномальных авторизаций, в том числе федеративных учётных данных с подозрительными префиксами. ## Версии расходятся ### Масштаб заражения репозиториев - **Aikido Security:** Вредоносный скрипт сработал как минимум в 1806 репозиториях. ([ixbt.com](https://www.ixbt.com/news/2026/11/13/xakery-zaxvatili-4837-akkauntov-github-i-vnedrili-poxititel-sekretov-v-tysiaci-repozitoriev.html)) - **SafeDep:** 8093 репозитория получили вредоносные изменения в указанный период; цифра включает все репозитории с вредоносными коммитами, а не только те, где скрипт выполнился. ([ixbt.com](https://www.ixbt.com/news/2026/11/13/xakery-zaxvatili-4837-akkauntov-github-i-vnedrili-poxititel-sekretov-v-tysiaci-repozitoriev.html)) *В чём сходятся:* Обе компании подтверждают массовую кампанию кражи секретов через скомпрометированные аккаунты GitHub и внедрение вредоносного скрипта в рабочие процессы. ## Проверка фактов и источники - [Хакеры захватили 4837 аккаунтов GitHub и внедрили похититель секретов в тысячи репозиториев](https://www.ixbt.com/news/2026/11/13/xakery-zaxvatili-4837-akkauntov-github-i-vnedrili-poxititel-sekretov-v-tysiaci-repozitoriev.html) - Первоисточник: цифры Aikido (4837 аккаунтов, 1806 репозиториев) и SafeDep (8093 репозитория, 7309 + 771 внедрение, 61764 pull request), описание выкачиваемых данных и механизмов закрепления, связь с GhostAction. ## Частые вопросы ### Сколько аккаунтов GitHub было скомпрометировано? По данным Aikido Security, злоумышленник использовал учётные данные 4837 взломанных аккаунтов GitHub. ### Каков масштаб заражения репозиториев? Aikido оценивает число репозиториев, где скрипт выполнился, минимум в 1806. SafeDep насчитала 8093 репозитория с вредоносными изменениями; это разные методологии, поэтому цифры не совпадают. ### Что именно крал вредоносный скрипт? Секреты GitHub Actions, токены GITHUB_TOKEN, временные токены OIDC и Actions Runtime, ключи ИИ-сервисов, конфигурации AWS, Azure, Google Cloud, Kubernetes, npm, PyPI и SSH, содержимое репозитория, последние 100 коммитов и артефакты рабочих процессов. ### Почему отсутствие следов не означает безопасности? Злоумышленник откатывал изменения через несколько минут и удалял журналы выполнения, поэтому видимых следов могло не остаться, даже если данные были похищены. ### Связана ли эта атака с GhostAction? Aikido обнаружила, что пострадавшие от GhostAction в октябре аккаунты примерно в 1000 раз чаще участвовали в новой кампании, но компания пока не связывает обе атаки с одним злоумышленником из-за разных инструментов и инфраструктуры.