攻擊手法升級：翻查Git歷史揪出「幽靈」金鑰

資安業者Socket指出，GhostAction供應鏈攻擊再度利用遭入侵的GitHub維護者帳號，在數百個程式碼儲存庫中植入偽裝成安全檢查的惡意自動化工作流程。與過去僅掃描當前程式碼不同，新版攻擊會取得儲存庫完整的Git提交歷史，深入檢查過去的程式碼變更。這意味著即使開發者已從目前版本中刪除AWS、GitHub或OpenAI等服務的金鑰，只要這些機密資料仍留在歷史紀錄中，就可能被駭客透過惡意工作流程擷取並傳送至攻擊者伺服器，大幅擴大潛在的資料外洩範圍。

受害範圍擴大：346個儲存庫與知名專案淪陷

針對10月8日發生的攻擊事件，研究人員發現駭客利用兩個遭入侵的維護者帳號，在346個儲存庫中植入惡意工作流程，其中279個為從其他專案複製而來的儲存庫。受影響的知名專案包括開源遊戲引擎Pyxel以及Uber旗下的AthenaDriver。由於AthenaDriver的原開發者仍保有寫入權限，讓駭客得以直接在主要分支加入惡意流程。資安業者StepSecurity確認該專案的惡意工作流程已向攻擊伺服器傳送資料並收到回應，但具體外洩憑證數量尚待釐清。另一家業者OpenSourceMalware則指出，截至10月9日，已有790個公開儲存庫曾遭植入此類惡意流程。

開發者應對策略：撤銷憑證與更換金鑰

面對GhostAction攻擊，受影響專案的開發者應立即移除惡意工作流程，並撤銷遭濫用的GitHub存取憑證。由於攻擊者能從歷史紀錄中竊取金鑰，單純刪除惡意檔案並不足以使已遭竊取的憑證失效。調查團隊建議，開發者必須檢查Git歷史紀錄，並更換所有可能外洩的金鑰。此外，也應清查攻擊期間發布的套件及部署的系統，以確保供應鏈安全。目前雖發現新註冊網域my-github.com指向攻擊伺服器，但尚無證據證明其由同一批駭客控制，後續追蹤仍不可鬆懈。