💀 GitHub Actions превратили в канал кражи секретов За 16 минут учётная запись henrywoo добавила вредоносный сценарий в 318 репозиториев; учётная запись автора Pyxel — ещё в 27. Это не случайные изменения. По данным The Hacker News, к 9 октября Socket выявила более 500 учётных записей, разместивших этот сценарий в десятках тысяч репозиториев. Файл маскируется под проверку безопасности. Он запускается вручную и при любой отправке изменений, забирает всю историю Git, ищет секреты по 13 шаблонам и отправляет найденное через HTTP на 193.32.204[.]199. В сбор попадают и секреты GitHub Actions, и ключи, которые разработчики уже удалили из рабочих файлов. Это новая волна кампании GhostAction, замеченной ещё в сентябре 2025 года. Риск не заканчивается на исходном репозитории: 279 ответвлений в учётной записи henrywoo тоже содержат сценарий, а последующие отправки изменений могут запустить сбор секретов. Проверьте `security-audit.yml` и `github_actions_security.yml`, включая ветки и ответвления. При обнаружении отзовите скомпрометированный токен, смените затронутые секреты и удалите сценарий во всех копиях. Я бы начал не с удаления файла, а с отзыва токена, который его добавил. Иначе исправление репозитория не мешает атакующему добавить сценарий повторно. #GitHub #цепочкапоставок #кражасекретов