17/10/2026 · VietTechies · Biên tập
Sự trở lại của chiến dịch trộm thông tin GhostAction cho thấy một hiểu lầm nghiêm trọng trong quản lý kiểm soát phiên bản: việc xóa mật khẩu hoặc khóa API nhạy cảm khỏi các tệp hiện tại không loại bỏ chúng khỏi lịch sử ẩn của kho lưu trữ. Các quan sát về bảo mật chỉ ra rằng các cuộc tấn công tự động đang tích cực thu thập thông tin xác thực cũ từ nhiều năm trước trong các cơ sở mã bị xâm phạm.
Quy mô và cơ chế hoạt động của chiến dịch tái xuất
Xuất hiện lần đầu vào cuối năm 2025, vectơ đe dọa GhostAction đã quay trở lại với quy mô lớn hơn đáng kể, nhắm vào các quy trình tự động hóa GitHub Actions. Theo dữ liệu từ StepSecurity, kẻ tấn công đã xâm phạm các tài khoản người duy trì nổi tiếng và quét hàng trăm kho lưu trữ trong các đợt triển khai nhanh chóng. Đồng thời, công cụ giám sát bảo mật Socket đã xác định hàng trăm tài khoản bị ảnh hưởng trải rộng trên hàng chục nghìn kho lưu trữ.
Kiểu xâm nhập thường bắt đầu bằng việc chiếm đoạt trái phép tài khoản nhà phát triển, thường thông qua các mã thông báo truy cập cá nhân bị đánh cắp. Khi đã bên trong, kẻ xấu sẽ chèn một tệp cấu hình dưới vỏ bọc là một quy trình kiểm toán bảo mật. Thay vì thực hiện bất kỳ tác vụ kiểm toán hợp pháp nào, tập lệnh được tiêm vào được thiết kế để trích xuất dữ liệu nhạy cảm và truyền trực tiếp đến máy chủ bên ngoài do kẻ tấn công kiểm soát.
Thu thập lịch sử sâu thông qua các quy trình tự động hóa
Điểm khác biệt của chiến dịch cập nhật này là khả năng vượt qua các cuộc kiểm tra ở cấp độ bề mặt. Các quy trình tự động tiêu chuẩn thường chỉ đánh giá commit mới nhất vì các hành động thanh toán mặc định hạn chế việc truy xuất dữ liệu ở trạng thái gần đây nhất. GhostAction sửa đổi hành vi này bằng cách định cấu hình các lệnh thanh toán để kéo toàn bộ lịch sử kho lưu trữ và thực thi các lệnh nhật ký sâu trên mọi nhánh.
Do kiến trúc kiểm soát phiên bản bảo lưu mọi phiên bản trước đó của một tệp đã sửa đổi, các commit cũ vẫn giữ lại văn bản lịch sử ngay cả sau khi nhà phát triển đẩy bản sửa lỗi. Các đợt quét tự động sử dụng các công cụ như Gitleaks trên các kho lưu trữ thử nghiệm thường phát hiện thông tin xác thực cũ nằm trong các tệp cấu hình lỗi thời hoặc tài liệu bị lãng quên, chứng minh rằng việc tiếp xúc lịch sử vẫn là một điểm xâm nhập khả thi cho kẻ xấu lâu sau khi đã xóa ban đầu.
Lý do thứ tự khắc phục truyền thống thất bại
Thông tin chi tiết chính từ chiến dịch GhostAction là các nhóm phát triển liên tục đánh giá sai mức độ khẩn cấp và trình tự phản ứng sự cố khi xử lý các bí mật bị lộ. Phản ứng bản năng thường là viết lại lịch sử git để xóa dòng vi phạm. Tuy nhiên, việc dọn dẹp bề ngoài này về cơ bản là không đủ vì các bản sao, bản sao cục bộ của nhà phát triển và bộ nhớ đệm máy chủ tự động vẫn giữ lại các nhật ký commit lịch sử. Hơn nữa, nếu một tác nhân bên ngoài đã trích xuất kho lưu trữ, việc xóa lịch sử không cung cấp sự bảo vệ mang tính hồi tố. Vệ sinh bảo mật hiệu quả đòi hỏi sự đảo ngược nghiêm ngặt các ưu tiên: việc thu hồi phải có trước việc khắc phục. Việc thay đổi hoặc vô hiệu hóa thông tin xác thực bị xâm phạm ở cấp độ nhà cung cấp sẽ ngay lập tức vô hiệu hóa tiện ích của nó, làm cho mọi bản ghi lịch sử trở nên trơ lì. Các nhóm cũng phải kiểm toán các mã thông báo truy cập cá nhân ban đầu tạo điều kiện cho việc tiêm quy trình trái phép, đảm bảo rằng các mã thông báo mang ranh giới quyền hạn thích hợp và ngày hết hạn bắt buộc. Việc thực hiện các hạn chế môi trường và di chuyển sang xác thực OIDC sẽ hạn chế hơn nữa những gì các quy trình độc hại có thể truy cập, đảm bảo rằng các hành vi xâm phạm trong tương lai không thể khai thác các lỗ hổng bảo mật cũ.
Bảo vệ đường ống chủ động và danh sách kiểm tra cho nhà phát triển
Để ngăn chặn các vụ rò rỉ thông tin xác thực trong tương lai xâm nhập vào cơ sở mã, các nhóm kỹ thuật được khuyến nghị tích hợp các hook quét cục bộ vào quy trình phát triển của họ. Việc sử dụng các tiện ích tiền commit được cấu hình để quét các thay đổi được dàn dựng có thể tự động chặn các commit chứa các mẫu giống mật khẩu hoặc khóa riêng tư trước khi chúng đến các máy chủ từ xa.
Ngoài ra, quản trị viên kho lưu trữ nên thực thi các kiểm tra xác minh đường ống phải vượt qua trước khi hợp nhất mã, bên cạnh các biện pháp kiểm soát truy cập dựa trên vai trò nghiêm ngặt đối với các thư mục quy trình. Việc xem xét các sửa đổi quy trình lịch sử trên tất cả các nhánh giúp đảm bảo rằng các tập lệnh tự động hóa trái phép được phát hiện và loại bỏ kịp thời.
Ảnh bìa: minh họa do AI tạo, kèm chữ tiêu đề; không phải ảnh tư liệu.
Nguồn: GhostAction: a secret deleted from the repo is still in the repo · GhostAction: a secret deleted from the repo is still in the repo | Jules Robineau