https://cyberveille.ch/tags/gheist/ Recent content in Gheist on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sun, 25 Oct 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-10-25-gheist-campagne-d-abus-massif-de-tokens-github-voles-pour-exfiltrer-des-secrets/ Sun, 25 Oct 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-10-25-gheist-campagne-d-abus-massif-de-tokens-github-voles-pour-exfiltrer-des-secrets/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 25 octobre 2026 par Wiz Research, cet article documente la campagne <strong>Gheist</strong>, active depuis le <strong>15 septembre 2026</strong>, qui abuse de tokens GitHub volés pour exfiltrer des secrets de dépôts à grande échelle.</p> <h2 id="-mécanisme-dattaque">⚙️ Mécanisme d&rsquo;attaque</h2> <p>Pour chaque dépôt accessible via un token compromis, l&rsquo;outil :</p> <ul> <li>Crée une branche nommée <strong><code>ci-sync-</code> suivi de 6 caractères aléatoires</strong></li> <li>Commit un fichier <strong><code>.github/workflows/sync-check.yml</code></strong> avec le message <code>ci: sync config</code></li> <li>Le workflow déclenché encode les secrets en <strong>base32</strong> pour contourner le masquage natif de GitHub</li> <li>Télécharge les logs via l&rsquo;API GitHub puis supprime l&rsquo;exécution en quelques secondes</li> <li>Utilise le <strong>user agent <code>gheist</code></strong> pour ses requêtes API</li> </ul> <p>L&rsquo;exfiltration transite exclusivement par l&rsquo;API GitHub, sans domaine C2 ni connexion sortante détectable.</p>