Bij een supply chain-aanval op GitHub zijn 3.325 secrets gestolen. Het gaat onder meer om tokens van PyPI, npm, DockerHub en GitHub, en sleutels van Cloudflare en AWS. De aanval wordt 'GhostAction' genoemd. Hiervoor waarschuwen onderzoekers van GitGuardian, die de aanval ontdekten. Zij melden op 2 september de eerste signalen te hebben gezien van de aanval op een van de getroffen GitHub-projecten: FastUUID.

De aanvaller wist via een gecompromitteerd account commits uit te voeren waarmee zij een malafide GitHub Actions-workflow bestand verspreiden. Dit bestand werd uitgevoerd bij een 'push', of kon handmatig worden uitgevoerd. Eenmaal uitgevoerd zoekt het bestand naar secrets in de GitHub Actions-omgeving van het project. Deze secrets stuurt de malware door naar een extern domein dat onder beheer staat van de aanvaller. In het geval van FastUUID is zo de PyPI-token van het project gestolen.

Nader onderzoek van GitGuardian naar de aanval wijst uit dat de aanval echter breder is en niet alleen FastUUID raakt. In totaal zijn 827 repositories van 327 GitHub-gebruikers getroffen. Naar schatting zijn daarbij zo'n 3.325 secrets gestolen.