wfx-loot: atacan 61.000 repositorios de GitHub para robar secretos

Algunas cuentas pertenecían a organizaciones del Fortune 100, a la Administración de Servicios Generales de EE. UU., al Gobierno francés, a Nextcloud y a WebdriverIO. Aikido sospecha que unas 50 podían publicar paquetes en npm, PyPI, Go, crates y Packagist, lo que preocupa a cualquiera que use ese software.

¿Qué roba el script de wfx-loot?

La carga maliciosa es un script de shell de 1.500 líneas. Los atacantes modificaron flujos de trabajo existentes de GitHub Actions, añadieron otros en ramas temporales recién creadas e insertaron hooks que se activan al instalar paquetes npm. El script recoge secretos y variables de Actions, el GITHUB_TOKEN y tokens OIDC. También busca credenciales de AWS, Azure y Google Cloud, y las de Git, SSH, GPG, Docker, Kubernetes, npm, PyPI, Vault y Terraform. En la lista están además los accesos a OpenAI, Anthropic, Gemini, Hugging Face, Cursor y GitHub Copilot, archivos .env, claves privadas, historial del shell y memoria de procesos.

Puede cambiar tokens OIDC de GitHub por sesiones cloud temporales y, si los permisos lo permiten, crear credenciales duraderas o modificar políticas de identidad y confianza para quedarse dentro. Lo robado se comprimía en archivos tar y se enviaba por HTTP POST a uno de dos servidores de los atacantes. Después revirtieron los cambios y borraron ejecuciones y registros, en menos de un minuto según Aikido.

Los investigadores ven coincidencias con la campaña GhostAction de 2025.

¿Cómo saber si mi repositorio está afectado?

Aikido recomienda buscar una rama llamada wfx-docs, un pull request llamado probe y saltos en la numeración de las ejecuciones de workflows. Si la carga se ejecutó, hay que dar por comprometidos todos los secretos y roles cloud accesibles a esos flujos y sustituirlos de inmediato.