GhostAction 攻击扩至 3 万仓库并转向字体窃密
先了解这件事
GhostAction 供应链攻击通过被入侵的 GitHub 账号向仓库注入恶意 GitHub Actions 工作流，以窃取 CI/CD、云和 AI 服务凭据。StepSecurity 与 Socket 称，攻击最初推送到 340 多个仓库，Socket 称自 2026 年 10 月 7 日以来已有 500 多个账号向数万仓库提交该工作流；GitGuardian 随后观测到 10 月 8 日至 9 日规模上升，波及 3,000 名用户和组织名下 3 万多个仓库，约 1,900 个 GitHub 账号被攻陷，攻击者试图从公共仓库 CI 中提取 3,174 个密钥。 OpenSourceMalware 称，攻击者已将手法扩展到在 94 个 GitHub 仓库植入伪装成字体文件的窃密程序，并借此钓鱼开源开发者，显示其正随应对措施调整作案方式。 截至报道时，尚未发现攻击者利用窃取的发布凭据发布恶意软件包。开发者被建议检查自 2026 年 8 月 31 日以来仓库中是否出现相关恶意工作流，若存在应视为已失陷，并撤销和轮换凭据、从所有分支删除恶意工作流，同时检查被感染仓库的 fork。
AI 根据报道生成 · 1 天前更新
事件进展
3 个进展
- 10月19日 21:05 · 1 篇报道GhostAction攻击者以假字体投递窃密木马The Hacker News：GhostAction 攻击者在 94 个 GitHub 仓库植入伪装成字体的窃密程序
- 10月15日 16:45 · 1 篇报道GhostAction攻击活动窃取约1900个GitHub账号凭证The Hacker News：GhostAction 攻陷约 1,900 个 GitHub 账号，波及逾 3 万个仓库
- 10月10日 03:14 · 1 篇报道GhostAction供应链攻击窃取GitHub凭据The Hacker News：GhostAction 攻击向数万 GitHub 仓库植入窃取凭据的 Actions 工作流
报道时间线
沿着报道，了解事件的不同侧面。
- The Hacker NewsGhostAction 攻击者在 94 个 GitHub 仓库植入伪装成字体的窃密程序
GhostAction 供应链攻击的行动者已将手法扩展到在 94 个 GitHub 仓库中植入伪装成字体文件的窃密程序，并借此对开源开发者实施钓鱼。OpenSourceMalware 称，攻击者此前通过向被入侵项目注入恶意 GitHub Actions 工作流实施攻击，此次变化显示其正根据应对措施调整作案方式。
- The Hacker NewsGhostAction 攻陷约 1,900 个 GitHub 账号，波及逾 3 万个仓库
GitGuardian 观测到凭证窃取活动 GhostAction 在 2026 年 10 月 8 日至 9 日规模上升，波及 3,000 名用户和组织名下的 3 万多个仓库。研究人员称，攻击者攻陷约 1,900 个 GitHub 账号，并试图从公共仓库的 CI 中提取 3,174 个密钥。
- The Hacker News精选GhostAction 攻击向数万 GitHub 仓库植入窃取凭据的 Actions 工作流
StepSecurity 与 Socket 披露，GhostAction 供应链攻击活动通过两个开源维护者账号，将恶意 GitHub Actions 工作流推送到 340 多个仓库，Socket 称自 2026 年 10 月 7 日以来已有 500 多个 GitHub 账号向数万仓库提交该工作流。
本事件热度走势
- 可比范围当前
- 3
- 可比范围峰值
- 510月16日 20:00
- 近 24 小时变化
- –
趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。