2026/10/26 4:10

Gheist キャンペーンが盗まれた GitHub トークンを使用して機密データをダンプするワークフローを植付ける

RSS: https://news.ycombinator.com/rss

要約▶

日本語翻訳：

概要：GitHub は現在、アカウントトークンを窃取して機密データを秘密裏に収集するためのもので、Gheist と呼ばれるサイバー攻撃キャンペーンが活発化しています。GhostAction キャンペーンとは異なり、Gheist は

ci-sync-[0-9a-z]{6}

といった欺瞞的なブランチ名を持ち、

ci: sync config

といったコミットメッセージを伴う悪意のある自動化されたワークフローを植えることで、プライベートリポジトリを特定の標的にしています。2026 年末以降、研究者はこの攻撃グループが 850 以上のアカウントにわたって認証情報を窃取し、13,500 を超の疑わしいブランチを植えたことを追跡しています。Gheist は IP アドレス 193.32.204[.]199 を標的とした GhostAction キャンペーンなどの他のキャンペーンとは異なりますが、先ほどまでのサプライチェーンインシデントから得られた機密情報を利用して標準的なセキュリティ統制を回避しています。GitHub はいくつかの侵害されたアカウントのうち約 2/3 を無効化しましたが、承認チェックが無効な残りのプライベートリポジトリに対する脅威は依然として続いています。これらのリスクを軽減するため、セキュリティチームはログを検査して迅速なワークフロー削除を早期に検知し、プッシュされたトークンを直ちにローテーションする必要があります。さらに、企業は古い機密情報を無効にし、セルフホスト型ランナーを侵害されたものとして扱うべきであり、-production 環境では Docker ソケットへのアクセスを厳格にブロックすることで、さらなる不正なクラウドインフラストラクチャ操作を防ぐ必要があります。特定の検出指標には、「gheist」ユーザーエージェント、「toJSON(secrets) }}' | base32 -w 120」といったマーカ、既知の SHA を持つワークフロービlobs（例：

f3da2b8b...

）、AI プロバイダトークンや Terraform ステートファイルを扱うアクティビティが含まれます。Wiz Defend は、「New Workflow Completed And Deleted In Short Time Span」や「Commit Created With Known Malicious Commit Message」といったルールを通じてこの活動を検知します。

本文

GitHub トークン侵害キャンペーン「Gheist」：2026 年最新状況と対策

Wiz Research は、2026 年 9 月 15 日以降にハッキングされた GitHub トークンを大規模に悪用する新たなキャンペーン**「Gheist」**を監視し続けています。この攻撃において重要な事実は以下の通りです：

機密情報の漏洩方法: 各トークンがアクセス可能な全リポジトリに対し、
```
sync-check
```
という名のワークフローをコミットします。同ワークフローは自身のログに機密情報を出力し、専用ツールが GitHub API を経由してダウンロードした後に削除します。
キャンペーン名の由来: ツールのユーザーエージェント（User-Agent）に**「gheist」**が含まれているため、この名前で呼ばれています。

攻撃の規模と現状

Wiz は個人プロジェクトから企業組織のプライベートリポジトリまで幅広く調査を行いました。主要な成果は以下の通りです：

回収されたデータ:
- 約13,500 個の植え付けられたブランチを回収。
- 元となるハッキングされたアカウントは850 以上。
現状の状況（2026 年 10 月 24 日時点）:
- GitHub はパブリックリポジトリに対して是正措置を講じましたが、プライベートリポジトリや GitHub Enterprise 環境での悪用は引き続き確認されています。
- 攻撃手法は継続的であり、進化を続けています。
- 関係が疑われるアカウントの約 3/4 が既に使用不可（GitHub から制限）の状態です。

攻撃の仕組み

本ツールは、以下の手順で各リポジトリに対して攻撃を実行します：

ブランチ作成:
```
ci-sync-
```
に続けてランダムな 6 文字を付加したブランチを作成。
ファイルコミット:
```
.github/workflows/sync-check.yml
```
を「ci: sync config」というメッセージでコミット（署名なし、トークン所有者名義）。
トリガー: プッシュイベントによりワークフローが自動実行。

機密情報が漏洩する理由

攻撃が成功し機密情報がフルテキストとして表示される 3 つの要素は以下の通りです：

ログの表示制限: GitHub は文字列としての機密情報はマスキングしますが、BASE32 エンコードされた情報には適用されません。
権限設定の無効化:
```
permissions: {}
```
でワークフローの権限を制限しても、secrets
コンテキストへの適用はありません。
デプロイメント環境の暴露: リポジトリにデプロイメント環境が設定されている場合、環境スコープの認証情報（本番環境など）もログに出力されます。

重要: 機密情報は GitHub API を経て外部に流出するため、ブロック対象となる攻撃者ドメインや外向き接続は存在しません。

企業組織内での悪用

ツールが数分以内でトークンを周回しブランチを植え付けるのに対し、後には以下の活動も確認されています：

AWS Secrets Manager の列挙: 同じ組織から発行されたクラウド認証情報を用いて、AWS セcrets を抽出する活動。
並行した攻撃バリエーション: ブランチ名の接尾辞で区別可能な 2 つのツール（ツール A とツール B）が観測されています。

ツール A とツール B の違い

特徴	ツール A (単純形)	ツール B (進化形)
接尾辞	ヘキサデシマル（16 進数）	BASE36
初期設定	基本的なペイロード	初回から `timeout-minutes: 6` と環境マトリックスを追加
変更戦略	固定された処理	リポジトリごとに選択するペイロードを変更
特殊な追加	なし	10 月 19 日以降、ログパーサー用区切り文字 `LAFA====` を追加

ツール B の高度な活動（セルフホスト型ランナー）

ツールの後続ジョブ「sync-host」は、登録済みのセルフホスト型ランナーのみを対象とし、以下のファイルを記述して徹底的に情報を収集します：

主要ファイル:
```
.gdmp_pat
```
,
```
.gdmp_patg
```
,
```
.gdmp_sweep
```
ログ出力ヘッダー:
```
===== gdmp-pivot: <stage> =====
```

収集対象の詳細（gdmp-pivot）

システム情報: ホストの詳細、crontab。
認証情報の検索:
- AI プロバイダ（Anthropic, Hugging Face, Groq, NVIDIA など）のキーを含む 31 形式のトークン。
- 秘密鍵、
```
.env
```
  ファイル、Terraform ステート、シェル履歴。
プロセス情報:
```
/proc/*/environ
```
を経由して全プロセスの環境情報を収集。
コンテナ環境: Docker ソケット経由で、マウントされたルートファイルシステム内での同様の検索。
クラウドメタデータ: AWS インスタンスロール、GCP および Azure のメタデータ。
その他: GitHub Actions/GitLab ランナーの認証情報、Kubernetes サービスアカウントトークン。

注意: このジョブにはバグがあり、正しいランナーキーファイルを探索できず、GCP/Azure トークンの収集に失敗することがあります。

GitHub の承認保持とプライベートリポジトリ対策

2026 年 7 月 28 日以降、GitHub はパブリックリポジトリにおいて悪意のあるワークフロー実行を承認（Co-author approval）まで保留する仕組みを導入しました。

パブリックリポジトリでの成果:
- Gheist のすべての活動（バリエーション含め）は
```
action_required
```
  ステータスにあります。
- 悪意のあるペイロードが一度も実行されていないため、有効です。
プライベートリポジトリおよび GitHub Enterprise Server ではこの対策は適用されません:
- 実行記録がログから削除される前、「ci-sync-*」ブランチでの完了直後に
```
gheist
```
  ユーザーエージェントによる削除活動が見られます。
- CloudTrail は、組織固有のワークフローが AWS ロールを仮定して実行されたことを示しており、承認なしで Actions が動いたことを証明します。
- GitHub ログが収集できない場合でも、このシグナルで Gheist の特定が可能になります。

同一アカウントでのその他の活動（クロスキャンペーン）

被害を受けたアカウントは「Gheist」としてだけでなく、以下の他のキャンペーンや脅威アクターのエコシステム内でも利用されています：

仕掛けられたリポジトリ（マルウェア配布）:
- 10 月 6 日、391 のアカウントが
```
fl-studio-crack
```
  や
```
solana-sniper-lite
```
  などの名前に変更されました。
- これにより 610 の「ci-sync」ブランチが副次的に削除され、被害範囲は Gheist フットプリントより大きい可能性があります。
無料計算資源（クリプトマイニング）:
- 10 月 18 日、25 つのアカウントが「Windows RDP Runner」という名前のリポジトリを作成し、無料サイクルを悪用しようとしました。
PolinRider（北朝鮮関連マルウェア）への感染:
- ビルド設定ファイル内に JavaScript を隠蔽し、遡りコミットを強制プッシュします。
- Gheist コミットを再プッシュして
```
vite.config.js
```
  にローダーを付加するケースが確認されています。
Megalodon（既知の侵害）との重複:
- Gheist の第 1 フェーズからのアカウントの一部が、同年 5 月の Megalodon 被害者でもあったことが判明しています。

注記: Gheist は機密情報を
193.32.204[.]199
に流出させる異なるワークフローファイルを使用する「GhostAction」とは異なります。

セキュリティチームが取るべきアクション

調査（Hunt）

ブランチ探索:
```
ci-sync-[6文字]
```
のブランチを特定し、変更点が
```
.github/workflows/sync-check.yml
```
の追加のみでコミットメッセージが「ci: sync config」のものを探す。
ログ分析: GitHub 監査ログで、「ci-sync-*」ブランチでの完了から 1 分以内に削除されたワークフローや
```
gheist
```
ユーザーエージェントを検索。
クラウド監視: OIDC 認証の場合、Cloud Audit Logs で
```
ci-sync-
```
ブランチを主体とするロール仮定やトークン交換を確認（GitHub ログなしでも検出可能）。
セルフホストランナー調査: ホスト上またはそのインスタンスで
```
.gdmp_pat
```
ファイルやログ内の文字列「gdmp-pivot」を探る。

対応（Respond）

認証情報のローテーション: 影響を受けたリポジトリ、組織、環境の全機密情報を再発行してください。実行記録削除は復旧しません。
トークンの取消し: コミットしたトークンを無効化し、所有者端末で情報-stealer の有無を確認。
セルフホストランナーの隔離: 「ci-sync」ブランチがセルフホストランナー上を実行した場合、ホストとインスタンスロールを侵害済みとみなして対応してください。
承認保留中の処理: 保持されている「sync-check」実行は承認せず、「ci-sync」ブランチからのコードを実行しないでください。

強化（Harden）

環境設定: 本番環境の機密情報を持つワークフローには必ずレビューャーを設定してください。
OIDC 制限: OIDC の信頼ポリシーを保護されたブランチまたは環境にのみ制限。
トークンの粒度: 個人アクセストークンではなく、GitHub Apps または短寿命で細かい粒度のトークンを使用。
ランナー構成: セルフホストランナーは Docker ソケットや無制限のメタデータアクセスなしのエフェメラールートとして実行。

侵害指標（Indicators of Compromise）

以下の指標に一致するものを検出・処理してください：

ユーザーエージェント:
```
gheist
```
ブランチ名:
```
^ci-sync-[0-9a-z]{6}
```
（「ci-sync-」に続いて小文字の英数字 6 文字）
コミットメッセージ: 「ci: sync config」かつ変更点が
```
.github/workflows/sync-check.yml
```
の追加のみ。

マーカー:

コード内:

toJSON(secrets) }}' | base32 -w 120

および

===== gdmp-pivot:

ファイル:
```
.gdmp_pat
```
,
```
.gdmp_patg
```
,
```
.gdmp_sweep
```

ワークフロー Blob SHAs

以下の SHA ハッシュを持つワークフローファイルは危険です（環境マトリックス変種は別）：

# 単純形
f3da2b8b357dcda02fd455d314be2a95007516a6

# タイムアウト追加形
d09535857a741bbb976bdc084a9a021713133291

# 区切り文字追加形
1dc5af9cce950aad1eb1546ecce8565b117540c4

# セルフホスト型ジョブ形
c665b778b2d822453293003e7ca0bbb2cb08e39d

Wiz が提供する支援

Wiz Threat Center は以下の Event Explorer クエリを提供しており、植え付けられたコミット、GitHub 監査ログ内の活動、クラウドロール仮定をすべてカバーします。

Wiz Defend のルールで検出される具体的な活動は以下の通りです：

New Workflow Completed And Deleted In Short Time Span（短期間で完了後すぐに削除された新規ワークフロー）
Workflow Pushed With Secret Dump（機密ダンプを含むワークフローのプッシュ）
Commit Created With Known Malicious Commit Message（既知の悪意あるコミットメッセージでのコミット作成）

同じ日のほかのニュース

一覧に戻る →

2026/10/26 3:23

ドルリー・パルトンの想像力図書館

## Japanese Translation: Imagination Library は、出生から 5 歳までの子供たちに無料で本を直接郵送することで、読書の生涯にわたる愛を育むことを目的としたグローバル・イニシアチブです。歌手のドリー・パートン氏および 5 カ国の地域パートナーによる資金提供により、このプログラムは家族所得にかかわらず、すべての子供が高品質で年齢に適した物語への瞬時のアクセスを確保しています。金銭的障壁を取り除くことで、本モデルは家族からの支払いを必要とせず、特別に選ばれた書籍を家庭に直接届けます。1995 年、ドリー・パートン氏が父の無学識という個人的な経験に基づいて東テネシー州で開始以来、この地元のプロジェクトはコアミッションを維持しながらグローバルに拡大しました。このアプローチは、毎月の子供たちに読書への興奮と魔法をもたらす本を提供することで、幼少期の子供たちとその家族の間で読書の愛を育み、将来の専門家の人材育成の道筋を作り出すことを目指しています。プログラムは今後も国際的に拡大を続けつつ、一貫した月額配送モデルと高い書籍選定基準を厳しく維持し、世界中の若者の心に対して最大限の肯定的な影響を及ぼすよう努めています。

2026/10/26 5:27

アニメーション映画をつくるには何が必要か？

## Japanese Translation: ディズニーのアニメーションにおける成功は、物語性、芸術性、技術性が全ての制作段階にわたって独特に統合されていることに起因します。このアプローチの核心には、クリエイティブアーティストと技術チーム間の深いコラボレーションがあり、**キャスティング**といった特別役割が支えています。キャスティングは完璧な俳優を見つけ、キャラクターに命を吹き込む役割を果たし、**制作トレーニングおよび開発**は講義、ワークショップ、上映会を通じてスタッフを教育する役割です。この構造化されたワークフローには、ショット毎のキャラクター演技や髪、衣装、環境などの微細な詳細に注力しながらシーンが作られる**ショット制作**が含まれ、それは変化する物語のアイデアを結び付けていく**編集および音響チーム**によって導かれます。ワルト・ディズニー・アニメーション・リサーチ・ライブラリと呼ばれる膨大なアーカイブには、アニメーションの歴史に及ぶほぼ1世紀分の6500万件以上のアセットが保存されており、制作終了後、社全体が歴史的な美術をアクセスし再利用できるようになっています。これは遺産を持続可能な優位性へと変えるものです。技術職は共感に基づいたアプローチで作業環境を設計し、安全性や品質を損なわずにより高速な反復を可能にする不可欠なソフトウェアツールを開発しています。また、技術ディレクターはツールの構築とサポートを通じて問題を解決します。アートとテクノロジーの間でのこのパートナーシップにより、創造プロセスを最適化する画期的なツールが生まれます。制作管理部門は常に変化するスケジュールに素早く対応し効率性を確保し、**ポストプロダクション**は映像と音の最終デリバリーを通じて映画を形作ります。ディズニーはアーティストが高品質なビジュアライゼーションを実現できるために、複雑な映画製作プロセスを最適化しつつ拡張可能なフレームワークを確立しており、その結果としてこの包括的なサイクルを経て現在劇場公開中の『ズートピア2』などの現在のブロックスターが生まれています。

2026/10/26 4:11

私がプログラマーである理由

## Japanese Translation: 本テキストは、1990年代の非プログラマーだったグラント・スミスが、伝説的なコーディングチュートリアルの著者へと転身した感動的な物語を振り返っています。コンピュータが希少であり、しかも荒れた地域の標的としてさらされていた時代を経てスミスは、3.5 インチフロッピーディスクを通じて海賊版ソフトウェアを収集し、モデムを用いてBulletin Board Systems (BBS) を介してデジタルアンダーグラウンドにアクセスしました。彼の旅路は、ゲームのコピー保護をクラックすることから始まり、クラックトロ（現代的なデモの視覚的前駆者）に出会い、受動的な消費から能動的な創作への転換をもたらされました。BBS の一つを通じて偶然に見つけたデンソアの「ASPHYXIA VGA DEMO TRAINER SERIES」（スプライト、アニメーション、ワイヤーフレーム 3D、ソリッド 3D を網羅したパスクールソースコードとチュートリアルのコレクション）を用い、Epsom LQ-300 プリンターと Turbo Pascal 6.0 を使用して指示を綿密に追いかけることに成功しました。当初はプログラミングの知識がまったくないにもかかわらず、彼らは複雑な視覚効果に精通し、他人にとってそれは「体外体験」と感じられるものでした。この物語は、アクセス可能な技術文書がどのように愛好家をニッチなコミュニティ（例：デモシーン）内の創造者へと変えることができるかを示しており、現在オンライン上で再び注目されている物語です。