Новая кампания Gheist показывает, насколько многослойной стала защита информации в internet исследовательская работа Казахстан на практике. Злоумышленники используют украденные токены GitHub и получают доступ к репозиториям. Затем они создают специальные рабочие процессы GitHub Actions. Эти процессы выводят доступные секреты прямо в журналы выполнения.
Как защита информации в internet исследовательская работа Казахстан связана с токенами GitHub
Компания Wiz отслеживает кампанию Gheist с 15 сентября 2026 года. Исследователи обнаружили более 13 500 созданных злоумышленниками веток. Они находились более чем в 850 скомпрометированных учетных записях. Причем среди целей были личные проекты и корпоративные приватные репозитории.
Для атаки достаточно украденного токена с правами записи. Инструмент создает новую ветку с названием, начинающимся на ci-sync-. Затем в репозиторий добавляется файл sync-check.yml. После отправки изменений автоматически запускается GitHub Actions.
Основная цепочка атаки выглядит следующим образом:
- получение украденного токена GitHub с необходимыми правами;
- создание новой ветки ci-sync с шестью случайными символами;
- добавление вредоносного рабочего процесса GitHub Actions;
- вывод доступных секретов в журнал выполнения задания;
- загрузка журнала и последующее удаление выполненного процесса.
Причем удаление ветки уже не решает проблему. Если рабочий процесс успел выполниться, секреты могли быть раскрыты. Поэтому пострадавшей компании необходимо менять все доступные этому репозиторию учетные данные.
Почему приватный репозиторий не гарантирует безопасность
В публичных репозиториях GitHub действует дополнительная защита. Подозрительный рабочий процесс приостанавливается до одобрения пользователя с правами записи. По данным Wiz, все проверенные публичные атаки Gheist были остановлены именно таким способом.
Однако эта защита не распространяется на приватные репозитории и GitHub Enterprise Server. Поэтому вредоносный процесс там мог запуститься автоматически. В журналах некоторых организаций исследователи увидели успешное выполнение таких заданий и их быстрое удаление.
Этот пример хорошо показывает, почему специалист по безопасности информационных систем Казахстан должен контролировать права внутри систем разработки. Сам факт приватности проекта еще не означает, что секреты надежно защищены от пользователя с избыточными полномочиями.
Кроме того, злоумышленники кодировали секреты в формате base32. GitHub умеет скрывать известные секреты в журналах. Однако после изменения исходного значения система может его уже не распознать. В результате закодированная строка отображается полностью.
Какие следы оставляет атака: защита информации в internet исследовательская работа Казахстан
Особенность Gheist заключается в отсутствии отдельного сервера для получения секретов. Злоумышленники скачивают журналы через собственный интерфейс GitHub. Поэтому обычный контроль исходящего сетевого соединения может ничего подозрительного не показать.
Тем не менее в инфраструктуре остаются характерные признаки. Именно их должен искать специалист по защите информации 1 категории Казахстан при расследовании подобных инцидентов. Особенно важны журналы GitHub, облачных сервисов и собственных исполнителей GitHub Actions.
Для проверки инфраструктуры стоит выполнить несколько действий:
- Найти ветки, название которых начинается с ci-sync-.
- Проверить появление файла .github/workflows/sync-check.yml.
- Найти быстро удаленные запуски GitHub Actions.
- Проверить активность с идентификатором клиента gheist.
- Проанализировать облачные журналы на необычное получение ролей AWS.
- Отозвать токены, с помощью которых создавались подозрительные ветки.
- Сменить все секреты, доступные скомпрометированному репозиторию.
Отдельного внимания требуют собственные исполнители GitHub Actions. Одна из версий Gheist пыталась искать на таких машинах закрытые ключи, токены и облачные учетные данные. Исследователи назвали этот механизм нестабильным и не подтвердили успешные атаки такого типа.
Один украденный токен может открыть путь дальше GitHub
В корпоративной инфраструктуре репозитории редко существуют отдельно от остальных сервисов. GitHub Actions может получать доступ к облачным платформам и производственным средам. Поэтому кража токена иногда становится только первым этапом атаки.
Wiz обнаружила случаи, когда рабочие процессы из подозрительных веток получали роли AWS. Позднее облачные учетные данные той же организации использовались для просмотра AWS Secrets Manager. Однако источник этих учетных данных исследователи установить не смогли.
Именно поэтому специалист по защите информации в автоматизированных системах Казахстан должен учитывать связи между репозиториями, облаками и производственными системами. Защищать только исходный код уже недостаточно. Нужно ограничивать права токенов, контролировать рабочие процессы и проверять каждую цепочку доступа.
История Gheist показывает важный принцип современной кибербезопасности. Украденный токен может оказаться опаснее отдельного вредоносного файла. Если он предоставляет право изменять репозиторий, злоумышленник способен использовать штатную автоматизацию против самой компании.
Команда SEDICOMM University: Академия Cisco, Linux Professional Institute, Python Institute.