WFX Phantom 利用被盗 GitHub 令牌在 CI 中运行凭据窃取脚本

攻击要求有可写入仓库的有效令牌，以及一条可执行载荷的路径。攻击者可修改现有工作流、新建工作流、在 CI 已调用的脚本末尾追加代码，或添加隐藏脚本并挂到 npm 生命周期、构建或测试命令上。工作流变体可显式传入密钥。脚本变体可在任务有权限时读取运行器内存和凭据存储。云端权限扩展取决于运行器所持凭据及对应权限和信任。载荷具备伪造必需检查结果的功能，但 StepSecurity 检查的样本均未启用该功能。

StepSecurity 发现 GitHub 将部分探测 PR 标为通过 Fly.io 的 GitHub App 发出，并判断涉及用户到服务器令牌。研究未确定令牌的获取方式，也未发现 Fly.io 基础设施失陷的证据。研究发现此活动与10 月 GhostAction存在重叠，未将两者归因于同一攻击者。

Nextcloud Docker 的第 2675 次运行在自托管运行器上执行了植入后的提交，任务以成功状态结束。StepSecurity 根据日志判断上传成功。日志未列出上传归档的具体内容。

应核查的发布制品

• Packagist 的 digitalelvis/neuronai-studio 3.14.3 带有脚本及 npm postinstall 钩子。在包目录中用 npm 安装依赖且启用生命周期脚本时，该钩子可执行。Composer 本身不会调用它。StepSecurity 建议固定到 3.14.2 或更早版本。
• Go 模块 github.com/onuragtas/docker-env v1.0.278 和 v1.0.280，以及 github.com/vkuznet/gocurl v0.0.0-20261111095532-8d5aad0cb0da 将载荷放在工作流文件里。常规 Go 构建不会执行 GitHub 工作流文件。检查 go.mod 和 go.sum 中的直接及间接依赖，用独立验证的输入替换上述版本。
• StepSecurity 报告没有 WebdriverIO 发布包受影响。对其他在植入与清理之间生成的发布包，用干净源码和构建记录核对。

需要关联核查的指标

• HTTP 端点 194.150.166[.]244:8080/exfil、18.143.168[.]96:8080/exfil 和 153.75.82[.]159:8080/exfil。此前被植入的部分 GhostAction 工作流仍含旧端点 193.32.204[.]199。HTTP 回调参数值包括 b42d70a7aab9140ca19e8249 和 15f44heehnax8jdf41yx。
• Telegram 的 api.telegram.org 和 sendDocument，聊天编号 -1004340163187，机器人 ID 为 8708988906、9196217635、9180059428、8902935164、8876515636。仅使用 Telegram 的样本将 HTTP 回调指向回环地址。
• 探测 PR 标题 docs: dependency audit notes，正文 Routine dependency audit notes，分支 wfx-docs，文件 docs/wfx-audit.md，Git blob ee6e5addfe591923fc385553cb66cf0d25634a6b。
• 提交信息 ci: refresh build cache、ci: restore、ci: cleanup、chore: add ci helper、chore: add dependency audit workflow，以及空仓库中工作流之前的 chore: initial commit。
• 分支模式 chore/[a-z0-9]{8}、ci-check-[0-9]{4}，路径模式 .ci-[a-z0-9]{6}.sh、.github/workflows/build-audit-[a-z0-9]{6}.yml，以及现有工作流、shell 脚本或 package.json 的改动。
• 步骤名 Pass runtime、Restore cache <4 characters> 或 Run audit，变量 WF_CALLBACK、WF_CTOKEN、WF_EXFIL_*、WF_TG_BOTS，暂存路径 .wfx-$$，日志字符串 memscan_files、archive_bytes、deliver_retry。
• Azure 中名为 wfx-ci-* 的联合凭据，AWS 中授予通配 AWS 主体权限的信任变更及名为 wfx-* 的会话。