Veille menaces / Campagne
GitHub : 4 837 comptes piratés installent un voleur de secrets CI dans des milliers de dépôts
À partir du 10 novembre 2026, un attaquant a utilisé des identifiants volés de 4 837 comptes GitHub pour ouvrir des pull requests de test dans 61 764 dépôts, puis a placé un voleur de secrets dans les workflows CI de ceux où il pouvait écrire. Le code récupère les secrets GitHub Actions, les jetons des workflows et les identifiants cloud ; la modification était annulée en moins d'une minute et les journaux d'exécution le plus souvent supprimés. Aikido Security, qui l'a découvert, estime que tous les secrets et rôles cloud accessibles aux workflows d'un dépôt touché doivent être considérés comme compromis.
- Secteur
- Tous secteurs
- Point d'entrée
- Identifiants volés
- Produit ou fournisseur
- GitHub Actions, digitalelvis/neuronai-studio (Packagist), github.com/onuragtas/docker-env (Go)
- Comment c'est arrivé
- L'attaquant a utilisé des identifiants et jetons GitHub volés pour 4 837 comptes. Chaque compte ouvrait d'abord une pull request de test intitulée « docs: dependency audit notes » depuis une branche wfx-docs pour vérifier ses droits d'écriture, puis poussait une modification de workflow qui lançait le voleur de secrets, l'annulait en moins d'une minute et supprimait le plus souvent l'exécution et ses journaux. La façon dont les identifiants ont été obtenus n'est pas expliquée. Aikido relève un fort recoupement avec la vague GhostActions d'octobre : les comptes touchés en octobre avaient environ mille fois plus de chances d'être utilisés en novembre.[1][2] Vérifié le 12 nov. 2026
- Ce qui a été volé
- Les secrets et variables GitHub Actions, le GITHUB_TOKEN des workflows, les jetons d'exécution et de cache d'Actions, des identifiants AWS, GCP et Azure tirés des métadonnées d'instance et d'OIDC, les secrets présents en mémoire et dans les variables d'environnement des runners (dont des clés d'API de fournisseurs d'IA), le contenu et l'historique des dépôts, le cache Actions et les artefacts de build.[1] Vérifié le 12 nov. 2026
- Qui est touché
- Les propriétaires des 61 764 dépôts publics qui ont reçu une pull request de test, dont 10 431 via un accès de collaborateur ou d'organisation, et les projets où le voleur de secrets s'est exécuté : au moins 1 806 selon The Hacker News, environ 6 500 d'après l'estimation d'Aikido sur un échantillon. Aikido considère comme compromis tout compte ayant ouvert une pull request de test. En aval, le code a atteint au moins un paquet Packagist (digitalelvis/neuronai-studio 3.14.3) et un module Go (onuragtas/docker-env v1.0.278 et v1.0.280, charge présente seulement dans un fichier de workflow). Ces chiffres ne portent que sur les dépôts publics.[1][2] Vérifié le 12 nov. 2026
- Acteur
- Non attribué. Aikido n'attribue pas « à ce stade » la vague de novembre à l'acteur de GhostActions d'octobre, en raison d'une infrastructure, d'outils et de méthodes différents, et rappelle que des identifiants volés passent souvent entre plusieurs acteurs.
Chronologie
- À partir d'environ 12 h 45 UTC, des comptes compromis commencent à ouvrir des pull requests de test « docs: dependency audit notes » ; la première vague dure jusqu'au 11 novembre, 15 h 00 UTC. [1]
- Aikido Security publie son analyse : 4 837 comptes, 61 764 dépôts sondés, les cibles du voleur de secrets, les indicateurs et les versions Packagist et Go touchées. [1]
- The Hacker News rapporte que de nouvelles pull requests de test portant le même titre ont été ouvertes tôt le 12 novembre, entre 5 h 04 et 5 h 38 UTC pour les trois vérifiées ; on ne sait pas si le voleur de secrets a suivi. [2]
- BleepingComputer, citant Aikido, rapporte que certains comptes compromis appartiennent à des organisations du Fortune 100, à l'administration américaine des services généraux (GSA), au gouvernement français, à Nextcloud et à WebdriverIO, qu'une cinquantaine d'entre eux semblent avoir des droits de publication sur npm, PyPI, Go, crates ou Packagist, et que 92 % des pull requests de test sont toujours ouvertes. [3]