Gheist攻击活动利用窃取的GitHub令牌植入秘密窃取工作流

📋总体概括

云安全公司Wiz披露了一场代号为Gheist的攻击活动：攻击者利用窃取的GitHub令牌（tokens），试图在大规模范围内植入「秘密倾倒」（secret-dumping）工作流，即通过篡改目标仓库的CI/CD工作流配置来窃取其中存储的密钥凭据。Wiz的报告显示，这次规模化滥用尝试最终「绊倒」了——攻击未能成功扩大战果。该事件再次凸显了GitHub令牌泄露与CI/CD供应链安全的严峻性：一旦开发者令牌失窃，攻击者可直接操纵构建流程窃取组织机密。相关讨论已提交至Hacker News，尚未引发广泛讨论。