Wiz Research ha documentado la campaña Gheist, una operación automatizada que comienza el 15 de septiembre de 2026 para abusar masivamente de tokens de GitHub robados. El ataque despliega un flujo de trabajo llamado sync-check en cada repositorio al alcance de los tokens comprometidos, con el objetivo de extraer y exfiltrar secretos mediante la API de GitHub. La herramienta utiliza el identificador de usuario agent gheist para identificar sus acciones y opera sin un servidor de comando y control (C2) centralizado, lo que facilita su evasión de detección.
Hasta la fecha, los investigadores han recuperado más de 13.500 ramas plantadas en más de 850 cuentas comprometidas, que van desde proyectos personales hasta organizaciones empresariales. Aunque una medida de GitHub que bloquea la ejecución de flujos de trabajo maliciosos en repositorios públicos ha limitado el alcance de la campaña, el ataque sigue activo en repositorios privados y entornos de GitHub Enterprise. El 24 de octubre, aproximadamente dos tercios de las cuentas implicadas ya no están disponibles en GitHub, lo que sugiere una respuesta activa por parte de la organización.
La campaña ha evolucionado en dos variantes paralelas, Tool A y Tool B, que se distinguen por los sufijos hexadecimales o base36 de las ramas. La variante Tool B, introducida el 28 de septiembre, añade matrices de entorno para extraer credenciales de producción y, posteriormente, implementa un segundo flujo de trabajo, sync-host, diseñado para repositorios con ejecutores autoalojados. Este último busca extraer credenciales de AWS, GCP y Azure, así como claves privadas y archivos .env. La investigación destaca la importancia de revisar los registros de auditoría de GitHub y de la nube, ya que las actividades de Gheist pueden ocurrir sin dejar rastro en los logs de GitHub si no se monitorean los intercambios de tokens con OIDC o las asunciones de roles en la nube.