--- title: "'Gheist' Saldırısı GitHub Tokenlarını Kötüye Kullanıp Bulut Sırlarını Çalıyor" url: "https://teknotayf.com/haber/gheist-saldirisi-github-tokenlarini-kotuye-kullanip-bulut-sirlarini-caliyor" markdown_url: "https://teknotayf.com/haber/gheist-saldirisi-github-tokenlarini-kotuye-kullanip-bulut-sirlarini-caliyor.md" site: "teknotayf.com" language: "tr" published: "2026-10-26 21:01:40" updated: "2026-10-27 04:18:15" category: "Siber Güvenlik" tags: ["Siber Saldırı","GitHub Güvenliği","Tedarik Zinciri","Bulut Sırları","Gheist"] source: "Dark Reading" --- # 'Gheist' Saldırısı GitHub Tokenlarını Kötüye Kullanıp Bulut Sırlarını Çalıyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/gheist-saldirisi-github-tokenlarini-kotuye-kullanip-bulut-sirlarini-caliyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Wiz Research raporuna göre Gheist adlı kampanya 850'den fazla ele geçirilmiş GitHub hesabında 13 bin 500'den fazla kötücül dal oluşturdu. Saldırı çalınmış tokenlarla sync-check adlı iş akışı ekleyerek depo sırlarını GitHub API üzerinden çekiyor. Araştırmacılar özel depolar ve kurumsal ortamlarda da başarılı vakalar tespit etti. - **Yayın tarihi:** 2026-10-26 21:01 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Saldırı, GitHub Güvenliği, Tedarik Zinciri, Bulut Sırları, Gheist - **Yazan:** TeknoTayf.com - **Kaynak:** [Dark Reading](https://www.darkreading.com/cyberattacks-data-breaches/gheist-stolen-github-tokens-cloud-secrets) !['Gheist' Saldırısı GitHub Tokenlarını Kötüye Kullanıp Bulut Sırlarını Çalıyor](https://teknotayf.com/assets/uploads/2026/10/d1192e3e66ec0d2321ed0530a06d754e.jpg) Süregelen bir tedarik zinciri saldırısı binlerce geliştirici deposundan kimlik bilgisi ve hassas veri topluyor. Devam eden bir saldırı, binlerce geliştirici deposundan bulut sırlarını ve kimlik bilgilerini toplamak için ele geçirilmiş GitHub tokenlarını kötüye kullanıyor; bu durum, ele geçirilmiş geliştirici hesaplarının kurumsal bulut ortamlarına kapı açabileceğini gözler önüne seriyor. Wiz Research tarafından hafta sonu yayımlanan rapora göre **Gheist** adını alan kampanya, **850'den fazla ele geçirilmiş GitHub hesabında** **13 bin 500'den fazla kötücül dal** bıraktı. Kampanya kişisel projelerden özel kurumsal depolarına kadar her şeyi etkiliyor. Rapora göre Temmuz ayında GitHub'ın getirdiği güvenlik önlemleri sayesinde açık depolar korunuyor. Wiz araştırmacısı Rami McCarthy Dark Reading'e verdiği demeçte, GitHub'ın eklediği kontrolün açık depoları iş akışı kötüye kullanımına karşı korumaya odaklandığını söyledi. Ancak kurumsal bir kimlik bilgisi ele geçirildiğinde bu kontrolün uygulanmadığını ekledi. Wiz, Gheist'ten etkilenen GitHub hesapları ile depo tabanlı kötü amaçlı yazılım dağıtımı, GitHub Actions'ı hesaplama kaynakları için sömürme girişimleri ve diğer kötü amaçlı yazılım operasyonlarıyla bağlantılı olası enfeksiyonlar gibi diğer kötüye kullanım kampanyaları arasında örtüşme buldu. McCarthy, bu örtüşmenin Gheist'i benzer kampanyalardan ayırdığını ve çalınan geliştirici tokenlarının tehdit aktörleri arasında yeniden kullanıldığını ya da paylaşıldığını gösterdiğini, bunun da tehdit ortamının karmaşıklığını ve hareketliliğini ortaya koyduğunu söyledi. ## Siber Hırsızlığı İş Akışı Yürütüyor Kampanya, çalınan bir token aracılığıyla erişilebilen her depoya eklenen sync-check adlı bir iş akışına dayanıyor. Araştırmacılar, iş akışının deponun sırlarını kendi iş akışı günlüğüne yazdırmaya çalıştığını belirtti. Ardından araç, günlüğü GitHub API üzerinden indiriyor ve çalışmayı saniyeler sonra siliyor. Araç API isteklerini gheist kullanıcı ajanı ile taşıyor; bu da kampanyaya adını veriyor. Wiz, faaliyeti **15 Eylül**'de izlemeye başladı ve 24 Ekim itibarıyla operasyonun aktif ve gelişen durumda olduğunu bildirdi. Araştırmacılar faaliyeti GitHub'a bildirdi ve söz konusu hesapların yaklaşık üçte ikisi artık erişilemiyor; bu durum muhtemelen müdahale faaliyetine işaret ediyor. ## Çalınan Tokenlar Daha Fazla Sır Hırsızlığını Besliyor Araştırmacılar, tokenların büyük ölçüde iki kaynaktan geldiğini kaydetti: infostealer kötü amaçlı yazılım ve daha önceki yazılım tedarik zinciri ihlallerinde açığa çıkan kimlik bilgileri. GitHub tokenları kullanıcıları ve uygulamaları depolar, kod ve yönetimsel işlevlere erişim için yetkilendirir; bu da onları projeleri ve kuruluşları tehlikeye atmak isteyen saldırganlar için değerli kılar. Gheist, çalınan GitHub tokenlarını ci-sync- ile başlayan ve ardından altı karakter gelen dallar oluşturmak için kullanıyor. Saldırganlar daha sonra .github/workflows/sync-check.yml konumuna GitHub Actions iş akışını ekliyor ve taahhüt mesajı olarak ci: sync config kullanıyor. Araştırmacılar, taahhüdün imzalanmadığını ve token sahibinin adına yapıldığını yazdı. Ortaya çıkan itme olayı, ortam değişkenlerini ve depo sırlarını günlüğe yazdırmaya çalışan bir iş akışını tetikliyor. Saldırı, çıktıları Base32 ile kodlamadan önce günlükleri GitHub API üzerinden alıyor ve iş akışı çalışmasını saniyeler sonra siliyor. Araştırmacılar, sırların GitHub'ın kendi API'si üzerinden çıktığı için saldırgan alan adı ya da engellenebilecek dış bağlantı bulunmadığını açıkladı. ## Kurumlar Hedefte Wiz'in önemli bir bulgusu, açık depo korumasının uygulanmadığı özel depolar ve kurumsal ortamlarda başarılı saldırılar gözlemlemesi oldu. McCarthy Dark Reading'e, GitHub'a yönelik faaliyetlerin çoğunun aksine öncelikle açık depoları etkilediğini söyledi. Tedarik zinciri güvenliği firması Cloudsmith'te güvenlik sorumlusu James Matchett e-posta görüşmesinde, saldırının kuruluşların en güvenli gördüğü ortamlarda başarılı olduğunu söyledi. Bir insan için aylar önce verilmiş bir kimlik bilgisinin hâlâ tam yazma yetkisi taşıdığını vurguladı. Özel, bir kontrol değildir. Kapsamlı, kısa ömürlü kimlik bilgileri, neyin itip çekebileceğinin sıkı bir envanteri ve her olaydan sonra döndürme disiplini kontroldür dedi. Wiz, saldırganların birden fazla kullanıcıya ve otomasyon hesabına ait tokenları dolaşıma soktuğunu ve kötü amaçlı iş akışlarını yerleştirmekten önce özel depoları klonladığını gözlemledi. Saatler içinde aynı kuruluşun bulut kimlik bilgileri AWS Secrets Manager'ı numaralandırmak için kullanıldı. McCarthy, kampanyanın yaklaşık bir düzine şirketi etkilediğini tahmin ettiklerini söyledi. Ancak GitHub depolarının kitlesel klonlanması ve temel kimlik bilgisi hırsızlığı dışında tutarlı ya da otomatik kötüye kullanım görmediklerini ekledi. ## Token Kötüye Kullanımına Karşı Savunma Token kötüye kullanımı, saldırganların geliştirici hattı üzerinden kuruluşlara sızmasının giderek yaygın bir yolu haline geliyor. Geçen yıl Black Hat Europe'da sunulan araştırmaya göre, bir önceki yıl içindeki en önemli yazılım tedarik zinciri olaylarından bazıları tehdit aktörlerinin GitHub açıklarını sömürmesiyle gerçekleşti. Savunmacılar bu nedenle geliştirici projelerini kritik kurumsal varlıklar olarak ele almalı. Gheist ve diğer token kötüye kullanımı biçimlerine karşı savunma için Wiz, güvenlik ekiplerinin kötü amaçlı GitHub Actions iş akışlarını avlamasını, açığa çıkan sırları döndürmesini ve ele geçirilmiş kendi barındırılan çalıştırıcıları olası altyapı ihlalleri olarak ele almasını istedi. Araştırmacılar özellikle ci-sync- ile başlayan ve ardından altı karakter gelen dalları aramalarını, tek değişikliğin yeni bir .github/workflows/sync-check.yml dosyası olduğu ve taahhüt mesajının ci: sync config olduğu durumları incelemelerini önerdi. Yöneticiler ayrıca tamamlanmasının ardından bir dakika içinde silinen ci-sync-* dallarındaki iş akışı çalışmaları ve gheist kullanıcı ajanı aktivitesi için GitHub denetim günlüklerini gözden geçirmeli. GitHub token kötüye kullanımına karşı daha geniş koruma için güvenlik firması Secure.com'da mühendislik sorumlusu Waseem Ahmed, kuruluşların uzun ömürlü kişisel erişim tokenlarını GitHub Apps veya kısa ömürlü ince taneli tokenlarla değiştirmesini ve üretim sırlarını tutan her ortamda inceleyici gerektirmesini önerdi. Bu önlemler, geçerli tokenlar elde edilse bile saldırganların hassas kimlik bilgilerine erişmesini sınırlamaya yardımcı olabilir. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/gheist-saldirisi-github-tokenlarini-kotuye-kullanip-bulut-sirlarini-caliyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.