Bezpieczeństwo13 lis 2026, 23:13 UTC·2 min czytania

wfx-loot: atak na 61 tys. repozytoriów GitHub i kradzież sekretów

Kampania wfx-loot użyła 4,8 tys. przejętych kont GitHub, by sprawdzić 61,7 tys. repozytoriów. Badacze potwierdzają kradzież sekretów z ponad 1,8 tys. celów.

A laptop screen showing code with a red warning overlay, symbolising a malicious GitHub Actions workflow stealing credentials. — Zdjęcie: Хабр

Wystarczył fałszywy pull request o nazwie „docs: dependency audit notes”, by atakujący z kampanii wfx-loot zaczęli wynosić sekrety z repozytoriów GitHub. Według badaczy z firmy Aikido od 10 listopada 2026 roku sprawdzono w ten sposób ponad 61 tys. repozytoriów, a kradzież potwierdzono w ponad 1,8 tys. z nich.

Jak działał atak wfx-loot

Atakujący wykorzystali dane logowania do ponad 4,8 tys. przejętych kont GitHub. Z ich pomocą założyli pull requesty w 61,7 tys. repozytoriów, żeby sprawdzić, czy konto ma uprawnienia do zapisu. Pull requesty udawały notatki z audytu zależności. Około 92% z nich nadal jest otwartych, więc prawowici właściciele zapewne niczego nie zauważyli.

Potem do gry wszedł skrypt powłoki liczący 1,5 tys. linii. Atakujący zmieniali istniejące workflowy GitHub Actions, dodawali nowe w krótko żyjących gałęziach i podrzucali haki uruchamiane przy instalacji pakietów npm. Skrypt zbierał między innymi GITHUB_TOKEN, tokeny OIDC, dane do AWS, Azure i Google Cloud, klucze SSH i GPG, dane Dockera, Kubernetesa, npm, PyPI, Vault i Terraforma oraz klucze do usług AI, takich jak OpenAI, Anthropic, Gemini, Hugging Face, Cursor i GitHub Copilot. W kręgu zainteresowania były też pliki .env, klucze prywatne, historia powłoki i pamięć procesów.

Skrypt potrafił też wymieniać tokeny OIDC na tymczasowe sesje w chmurze, a w AWS wykorzystywać znalezione role IAM do tworzenia długoterminowych poświadczeń. Zebrane dane trafiały w archiwach tar na jeden z dwóch serwerów atakujących. Potem napastnicy cofali zmiany i kasowali logi oraz wpisy o workflowach, według Aikido w mniej niż minutę.

Czyje konta zostały przejęte

Wśród przejętych kont były konta należące do firm z listy Fortune 100, amerykańskiej Administracji Usług Ogólnych, rządu Francji, Nextcloud i WebdriverIO. Badacze szacują, że około 50 kont mogło publikować pakiety w npm, PyPI, Go, crates i Packagist. Wykryto też podobieństwa do kampanii GhostAction z 2025 roku.

Co powinni zrobić właściciele repozytoriów

Aikido radzi sprawdzić gałąź wfx-docs, pull request o nazwie probe oraz luki w numeracji uruchomień workflowów. Jeśli ładunek się wykonał, wszystkie sekrety i role chmurowe dostępne dla danego workflowu trzeba uznać za skompromitowane i od razu wymienić.