सुरक्षा13 नव॰ 2026, 11:13 pm UTC·2 मिनट में पढ़ें

wfx-loot हमला: GitHub के 61,000 से ज़्यादा रिपॉज़िटरी निशाने पर

wfx-loot अभियान में हैक किए गए करीब 4,800 GitHub अकाउंट से 61,700 रिपॉज़िटरी खंगाले गए। शोधकर्ताओं के मुताबिक 1,800 से ज़्यादा निशानों से secrets चोरी हुए।

A laptop screen showing code with a red warning overlay, symbolising a malicious GitHub Actions workflow stealing credentials. — छवि: Хабр

अगर आप GitHub Actions इस्तेमाल करते हैं, तो wfx-loot अभियान आपके लिए मायने रखता है। इस हमले में हैकरों ने 61,000 से ज़्यादा GitHub रिपॉज़िटरी को निशाना बनाया और वर्कफ़्लो के ज़रिए secrets और क्लाउड क्रेडेंशियल चुराने की कोशिश की। सारे मामलों में उनका कोड नहीं चला, लेकिन शोधकर्ताओं ने 1,800 से ज़्यादा निशानों से secrets की चोरी की पुष्टि की है।

सिक्योरिटी कंपनी Aikido के अनुसार अभियान 10 नवंबर 2026 को शुरू हुआ। हमलावरों ने 4,800 से ज़्यादा हैक किए गए GitHub अकाउंट के क्रेडेंशियल इस्तेमाल किए। मक़सद यह जांचना था कि इन अकाउंट के पास 61,700 रिपॉज़िटरी में write अधिकार हैं या नहीं। इसके लिए "docs: dependency audit notes" नाम से pull request बनाए गए, जो डिपेंडेंसी ऑडिट के नोट्स जैसे दिखते थे। करीब 92% ऐसे pull request अब भी खुले हैं, यानी असली मालिकों ने शायद इन्हें देखा ही नहीं।

कुछ हैक किए गए अकाउंट Fortune 100 की कंपनियों, अमेरिकी जनरल सर्विसेज़ एडमिनिस्ट्रेशन, फ़्रांस सरकार, Nextcloud और WebdriverIO से जुड़े थे। Aikido का अनुमान है कि लगभग 50 अकाउंट के पास npm, PyPI, Go, crates और Packagist जैसे पैकेज रजिस्ट्री पर पैकेज प्रकाशित करने के अधिकार थे।

स्क्रिप्ट क्या चुराती थी?

हमलावरों ने 1,500 लाइन की एक shell स्क्रिप्ट बनाई। इसके लिए उन्होंने मौजूदा GitHub Actions वर्कफ़्लो बदले, नई अस्थायी शाखाओं में नए वर्कफ़्लो जोड़े और npm इंस्टॉल के दौरान चलने वाले hooks डाले। स्क्रिप्ट GITHUB_TOKEN, OIDC टोकन, AWS, Azure और Google Cloud के क्रेडेंशियल, Git, SSH, Docker, Kubernetes, Terraform जैसे टूल के क्रेडेंशियल जुटाती थी। OpenAI, Anthropic, Gemini, Hugging Face, Cursor और GitHub Copilot तक पहुंच के क्रेडेंशियल भी निशाने पर थे। इनके अलावा .env फ़ाइलें, निजी कुंजियां और शेल हिस्ट्री भी।

इतना ही नहीं, स्क्रिप्ट GitHub OIDC टोकन को AWS, Azure और GCP के अस्थायी एक्सेस टोकन से बदल सकती थी। अनुमति मिलने पर वह लंबे समय तक चलने वाले क्रेडेंशियल बनाकर या पहचान नीतियां बदलकर सिस्टम में टिके रहने की कोशिश भी करती थी।

डेटा tar आर्काइव में दबाकर HTTP POST से हमलावरों के दो सर्वरों में से एक पर भेजा गया। फिर बदलाव वापस लिए गए और वर्कफ़्लो रिकॉर्ड व लॉग मिटा दिए गए। Aikido के मुताबिक यह एक मिनट से कम में हो गया।

रिपॉज़िटरी मालिक क्या करें?

Aikido की सलाह है कि wfx-docs शाखा, probe नाम का pull request और वर्कफ़्लो रन नंबरों में अंतराल देखें। अगर पेलोड चलने की पुष्टि हो, तो प्रभावित वर्कफ़्लो की पहुंच वाले सभी secrets और क्लाउड रोल को लीक मानकर तुरंत बदल दें। कंपनी को यह अभियान 2025 के GhostAction से कुछ हद तक मिलता-जुलता लगा।