Wiz Research ha documentado la campaña Gheist, una operación automatizada que comienza el 15 de septiembre de 2026 para abusar masivamente de tokens de GitHub robados. El ataque despliega un flujo de trabajo llamado sync-check en cada repositorio accesible por los tokens comprometidos, con el objetivo de extraer y exfiltrar secretos de la plataforma. La herramienta utiliza la API de GitHub para descargar los registros de ejecución y eliminarlos segundos después, evitando la detección mediante el uso de un agente de usuario específico (gheist) y sin depender de un servidor de comando y control (C2).
Hasta la fecha, los investigadores han recuperado más de 13.500 ramas plantadas en más de 850 cuentas comprometidas, que abarcan desde proyectos personales hasta organizaciones empresariales. Aunque una medida de GitHub desde julio de 2026 bloqueó la explotación en repositorios públicos mediante una pausa de aprobación, el ataque sigue activo y evolutivo en repositorios privados y entornos de GitHub Enterprise. La campaña ha evolucionado hacia variantes más complejas, como la Tool B, que añade matrices de entorno y busca credenciales de proveedores de IA como Anthropic y NVIDIA, además de intentar enumerar AWS Secrets Manager.
La investigación destaca que los atacantes aprovechan cuentas comprometidas que también son víctimas de otras campañas, como Lure repositories y PolinRider. Wiz recomienda a los equipos de seguridad rotar todos los secretos expuestos, revocar los tokens afectados y auditar los registros de actividad para identificar cualquier ejecución de flujos de trabajo maliciosos, especialmente en entornos autoalojados donde las restricciones de GitHub no aplican.