الأمن السيبراني13‏/11‏/2026، 11:13 م UTC·2 دقائق قراءة

حملة wfx-loot تستهدف 61 ألف مستودع على GitHub لسرقة الأسرار

استخدمت حملة wfx-loot نحو 4.8 ألف حساب مخترق على GitHub لفحص 61.7 ألف مستودع. وأكد الباحثون سرقة أسرار من أكثر من 1.8 ألف هدف.

A laptop screen showing code with a red warning overlay, symbolising a malicious GitHub Actions workflow stealing credentials. — الصورة: Хабр

بدأت حملة wfx-loot بطلب دمج يبدو عاديًا بعنوان «docs: dependency audit notes»، لكنه كان وسيلة لسرقة الأسرار من مستودعات GitHub. وبحسب باحثي شركة Aikido، فحص المهاجمون منذ 10 نوفمبر 2026 أكثر من 61 ألف مستودع، وتأكدت سرقة الأسرار من أكثر من 1.8 ألف هدف.

كيف عملت هجمات wfx-loot؟

استخدم المهاجمون بيانات دخول أكثر من 4.8 ألف حساب مخترق على GitHub، وأنشأوا طلبات دمج في 61.7 ألف مستودع لمعرفة هل يملك الحساب صلاحية الكتابة. وجاءت الطلبات على هيئة ملاحظات تدقيق للاعتماديات. ولا يزال نحو 92% منها مفتوحًا، ما يرجّح أن أصحاب المستودعات لم يلاحظوا شيئًا.

بعد ذلك دخل سكربت شل من 1500 سطر على الخط. عدّل المهاجمون مسارات عمل GitHub Actions القائمة، وأضافوا مسارات جديدة في فروع مؤقتة، وزرعوا خطافات تعمل عند تثبيت حزم npm. حاول السكربت جمع GITHUB_TOKEN ورموز OIDC وبيانات AWS وAzure وGoogle Cloud ومفاتيح SSH وGPG وبيانات Docker وKubernetes وnpm وPyPI وVault وTerraform، إضافة إلى مفاتيح الوصول إلى OpenAI وAnthropic وGemini وHugging Face وCursor وGitHub Copilot. كما استهدف ملفات .env والمفاتيح الخاصة وسجل الأوامر وذاكرة العمليات.

وكان السكربت قادرًا أيضًا على استبدال رموز GitHub OIDC بجلسات سحابية مؤقتة. وفي AWS يمكنه استخدام أدوار IAM التي يعثر عليها لإنشاء بيانات اعتماد طويلة الأمد. ثم أُرسلت البيانات في أرشيفات tar عبر HTTP POST إلى أحد خادمين يتحكم بهما المهاجمون. وبعدها تراجعوا عن التغييرات وحذفوا سجلات مسارات العمل، وكل ذلك في أقل من دقيقة بحسب Aikido.

أي الحسابات اختُرقت؟

شملت الحسابات المخترقة حسابات تتبع مؤسسات من قائمة Fortune 100، وإدارة الخدمات العامة الأمريكية، والحكومة الفرنسية، وNextcloud، وWebdriverIO. ويقدّر الباحثون أن نحو 50 حسابًا كان قادرًا على نشر حزم في npm وPyPI وGo وcrates وPackagist. كما رُصدت أوجه تشابه مع حملة GhostAction عام 2025.

ماذا يفعل أصحاب المستودعات؟

تنصح Aikido بفحص فرع wfx-docs وطلب الدمج المسمى probe والفجوات في أرقام تشغيل مسارات العمل. وإذا ثبت تنفيذ الحمولة، فيجب اعتبار كل الأسرار والأدوار السحابية المتاحة لتلك المسارات مخترقة واستبدالها فورًا.