Wiz · 25 octobre 2026 · Cyber & GRC
Gheist : une campagne exploitant des jetons GitHub volés mise en difficulté
Une campagne automatisée installe des workflows d’extraction de secrets dans les dépôts accessibles à l’aide de jetons GitHub volés. Elle n’utilise aucun serveur de commande et de contrôle et continue d’évoluer. Les récentes améliorations de sécurité de GitHub ont fortement perturbé cette campagne.
Ce qui est annoncé
Wiz Research présente son analyse de Gheist, une campagne qui détourne des jetons GitHub compromis pour récupérer les secrets de dépôts accessibles. Les chercheurs indiquent avoir retrouvé plus de 13 500 branches malveillantes dans plus de 850 comptes touchés, concernant aussi bien des projets personnels que des dépôts privés d’organisations. La protection de GitHub soumettant certains workflows suspects à approbation a empêché l’exécution de toutes les tentatives publiques examinées. Elle ne couvre toutefois ni les dépôts privés ni GitHub Enterprise Server, où des exécutions ont été constatées.
Le mécanisme repose sur l’ajout du workflow sync-check : les secrets sont encodés pour échapper au masquage des journaux, puis récupérés via l’API GitHub avant la suppression de l’exécution. Une variante vise également les runners autohébergés pour rechercher des identifiants sur leur machine, avec plusieurs défauts relevés dans son fonctionnement. Pour la détection, Wiz mentionne une requête Event Explorer disponible dans son avis Threat Center et des règles Wiz Defend ciblant notamment les workflows supprimés rapidement après exécution et ceux qui exposent des secrets.
Ce que ça change pour les entreprises
Pour les DSI et les équipes IT, ces observations invitent à ne pas considérer les protections des dépôts publics comme une couverture des environnements privés. L’utilisation de l’API GitHub pour récupérer les données limite aussi l’intérêt d’un blocage fondé sur un domaine externe malveillant. La recherche de traces peut croiser les branches suspectes, les journaux GitHub et les journaux cloud : ces derniers peuvent révéler une prise de rôle depuis une branche contrôlée par l’attaquant.
La réponse ne se limite pas à supprimer la branche ou le workflow. Wiz recommande de révoquer les jetons impliqués et de renouveler tous les secrets accessibles au dépôt affecté. Lorsqu’un runner autohébergé a exécuté la branche malveillante, l’hôte et son rôle d’instance doivent être considérés comme compromis. Le durcissement proposé porte notamment sur l’approbation des environnements de production, les restrictions de confiance OIDC et les identifiants à durée de vie courte.
Comment UNEETY peut vous accompagner
Une ESN comme UNEETY peut aider à cadrer l’exposition des dépôts et des runners, intégrer les contrôles de détection et organiser la sécurisation des accès. L’accompagnement peut aussi faciliter l’adoption de pratiques de gestion des secrets et de réponse aux incidents par les équipes.
Découvrez notre offre Cyber & GRC ou contactez-nous.
Source : annonce Wiz du 25 octobre 2026.