Gheist : campagne d'abus massif de tokens GitHub volés pour exfiltrer des secrets
🔍 Contexte Publié le 25 octobre 2026 par Wiz Research, cet article documente la campagne Gheist, active depuis le 15 septembre 2026, qui abuse de tokens GitHub volés pour exfiltrer des secrets de dépôts à grande échelle. ⚙️ Mécanisme d’attaque Pour chaque dépôt accessible via un token compromis, l’outil : Crée une branche nommée ci-sync- suivi de 6 caractères aléatoires Commit un fichier .github/workflows/sync-check.yml avec le message ci: sync config Le workflow déclenché encode les secrets en base32 pour contourner le masquage natif de GitHub Télécharge les logs via l’API GitHub puis supprime l’exécution en quelques secondes Utilise le user agent gheist pour ses requêtes API L’exfiltration transite exclusivement par l’API GitHub, sans domaine C2 ni connexion sortante détectable. ...