wfx-loot : 61 000 dépôts GitHub visés pour voler des secrets

Certains comptes appartenaient à des organisations du Fortune 100, à l'agence américaine General Services Administration, au gouvernement français, à Nextcloud et à WebdriverIO. Aikido estime qu'une cinquantaine pouvaient publier des paquets sur npm, PyPI, Go, crates et Packagist, ce qui inquiète bien au-delà de GitHub.

Que vole le script wfx-loot ?

Le code malveillant est un script shell de 1 500 lignes. Les attaquants ont modifié des workflows GitHub Actions existants, en ont ajouté sur des branches temporaires fraîchement créées et ont glissé des hooks qui se déclenchent à l'installation de paquets npm. Le script récupère les secrets et variables de GitHub Actions, le GITHUB_TOKEN et les jetons OIDC. Il cherche aussi des identifiants AWS, Azure et Google Cloud, ainsi que ceux de Git, SSH, GPG, Docker, Kubernetes, npm, PyPI, Vault et Terraform. Les accès à OpenAI, Anthropic, Gemini, Hugging Face, Cursor et GitHub Copilot figurent sur la liste, tout comme les fichiers .env, les clés privées, l'historique du shell et la mémoire des processus.

Il peut échanger des jetons OIDC GitHub contre des sessions cloud temporaires et, si les droits le permettent, créer des identifiants durables ou modifier les politiques d'identité et de confiance pour s'installer. Le butin, compressé en archives tar, partait en HTTP POST vers l'un de deux serveurs des pirates. Ils ont ensuite annulé leurs modifications et effacé exécutions et journaux, en moins d'une minute selon Aikido.

Aikido relève des points communs avec la campagne GhostAction de 2025.

Comment savoir si mon dépôt est touché ?

Aikido conseille de chercher une branche wfx-docs, une demande de fusion nommée probe et des trous dans la numérotation des exécutions de workflows. Si la charge malveillante s'est exécutée, tous les secrets et rôles cloud accessibles aux workflows concernés sont à considérer comme compromis et à remplacer sans attendre.